Принцип наименьших привилегий: основы и лучшие практики

Один из наиболее важных принципов при реализации комплекса мер в сфере безопасности – принцип наименьших привилегий. В этой статье мы рассмотрим суть данной идеи, и как эта модель может повысить ваш уровень безопасности.

Суть принципа наименьших привилегий

Принцип наименьших привилегий основан на идее, что у каждого пользователя должен быть доступ только к ресурсам, необходимым для выполнения требуемых обязанностей. Например, у менеджера по продажам не должно быть доступа к финансовым отчетам, а аккаунт сотрудника, занимающегося маркировкой, не должен иметь административных привилегий.

Преимущества модели наименьших привилегий

Организация может получить много преимуществ от внедрения принца наименьших привилегий среди своих сотрудников. Компания, которая успешно внедрила эту модель, создает среду, где у пользователей есть доступ только к самым нужным ресурсам, что, помимо всего прочего, влияет на повышение эффективности и производительности.

Среди других преимуществ можно выделить следующие:

• Повышение безопасности: когда привилегии раздаются строго в рамках сферы ответственности, значительно сокращается риск ущерба от многих потенциальных внутренних угроз.

• Снижение вероятности атак, связанных с «горизонтальным» движением по инфраструктуре: переизбыток привилегированных аккаунтов дает много возможностей для атак, связанных с горизонтальным перемещением по инфраструктуре (lateral movement attack).

• Защита от других угроз: принцип наименьших привилегий помогает предотвратить и другие распространенные угрозы, в частности, связанные с вредоносными программами.

• Безопасная сеть: в хорошо организованной и безопасной сети в обязанности администратора входит аудит прав доступа всех пользователей. Принцип «все для всех» быстро приведет к хаосу.

Пример практик в сфере безопасности, связанных с принципом наименьших привилегий

Ниже продемонстрировано два примера, как в организации может быть использован принцип наименьших привилегий.

Аккаунты с наименьшими необходимыми привилегиями

Идея о назначении только нужных прав доступа кажется очевидной, но является одной из самых эффективных и недооцененных для снижения риска многих угроз. Например, снижается вероятность распространения вредоносов, если произошел фишинг сотрудника с непривилегированной учетной записью.

Привилегии на ограниченный период

Периодически сотруднику, например, работающему в службе поддержки, на короткое время требуется доступ с высокими привилегиями или доступ к ресурсам, которые обычно не используются. В этом случае имеет смысл наделить учетную запись привилегиями на лету (just-in-time) и на строго отведенное время.

Нулевые привилегии

Наименьшие необходимые привилегии, выдаваемые на лету, могут быть частью философии нулевых привилегий, цель которой – отключение привилегий, выданных на постоянной основе.

Шаги по внедрению модели наименьших привилегий (наилучшие практики)

Для внедрения политики наименьших привилегий следуйте шагам, указанным ниже:

1. Ревизия.

2. Оценка привилегий.

3. Управление.

4. Мониторинг.

5. Встроенные административные права.

6. Принудительное делегирование наименьших привилегий.

Ревизия

Просканируйте и каталогизируйте все системы и директории, подключенные к корпоративной сети. Сделайте ревизию всех учетных записей и групп, включая данные, как, например, срок пароля, время последней авторизации и права доступа.

Оценка привилегий

Идентифицируйте совместно используемые и назначенные привилегированные аккаунты, а также членов групп администраторов, используемых по умолчанию. Выясните, у кого есть привилегированный доступ к серверам и директориям, как, например, Active Directory.

Управление

Внедрите ротацию привилегированных аккаунтов по расписанию с использованием сильных паролей, определяемых соответствующей политикой. У любого решения должна быть возможность предоставить доступ «на лету» и обеспечить ротацию учетных записей, которые оказались обнародованными даже в течение непродолжительного периода времени.

Мониторинг

Выполняйте аудит привилегированных учетных записей и выстройте внутренние процессы, связанные с регулярной сертификацией полномочий и ревизией сессий. Убедитесь, что пользователи имеют привилегии согласно своей роли, а повышенные права вовремя отключаются в случае отсутствия необходимости.

Встроенные административные права

Отключите административные права для рабочих станций, серверов и директорий при помощи технологий на базе агентов или без использования агентов. Убедитесь, что ни у одного пользователя нет административного доступа без прохождения через механизм контроля на основе политик, который выполняет аудит и управляет доступом через политику.

Принудительное делегирование наименьших привилегий

Внедрите политики делегированного доступа, где указаны уровни полномочий для задач без необходимости выдачи полных административных прав. Там, где без административных прав не обойтись, следует назначать эти полномочия только отдельным аккаунтам и вести строгую отчетность. Расширенные права должны выдаваться на ограниченное время и иметь конкретные максимальные сроки действия.