Сотрудник входит в электронную почту в 9:00 утра. В 10:15 тому же человеку требуются права администратора для устранения производственной проблемы. Одна учетная запись, два совершенно разных уровня риска.
Именно здесь управление идентификацией и доступом (IAM) и управление привилегированным доступом (PAM) расходятся. IAM управляет доступом сотрудников. PAM ужесточает контроль в случаях, когда учетная запись или сессия могут вносить существенные изменения.
IAM управляет идентификацией и стандартным доступом в рамках организации, при этом ВПП Применяет более жесткий контроль к привилегированным учетным записям и действиям с повышенными правами. Большинству организаций необходимы оба подхода: IAM устанавливает базовый уровень доступа, а PAM ограничивает мощные разрешения с помощью таких средств контроля, как временное повышение прав, утверждения, управление учетными данными и мониторинг активности. Scalefusion OneIdP Поддерживает рабочие процессы управления идентификацией сотрудников и привилегиями конечных точек посредством единого входа (SSO), многофакторной аутентификации (MFA), условного доступа, администрирования по принципу «точно в срок» (JIT Admin) и LAPS.
Что такое управление идентификацией и доступом (IAM)?
Управление идентификацией и доступом Это структура, которую организация использует для идентификации пользователей и определения того, к каким ресурсам они могут получить доступ. Отсюда следует, что доступ предоставляется с первого дня работы сотрудника до изменения роли или увольнения.
Система управления идентификацией и доступом (IAM) отвечает на часто задаваемые вопросы: Кто запрашивает доступ? Может ли человек подтвердить свою личность? Какие приложения и данные должны быть доступны? Следует ли изменить этот доступ в связи с новой ролью или риском при входе в систему?
Основные функции IAM
Программа управления идентификацией и доступом (IAM) обычно включает в себя:
- Управление жизненным циклом идентификации: Создает, обновляет и удаляет учетные записи пользователей по мере того, как люди присоединяются к организации, перемещаются внутри нее или покидают ее.
- Аутентификация: Проверяет, является ли пользователь тем, за кого себя выдает, с помощью паролей, сертификатов, биометрических данных или многофакторная аутентификация.
- Авторизация: Определяет, что авторизованный пользователь может просматривать, использовать или изменять.
- Единая точка входа: Обеспечивает пользователям единый безопасный способ входа в систему для всех одобренных приложений. Узнайте больше об этом. Единая точка входа.
- Политики доступа: Применяет правила на основе ролей, групп, положения устройства, местоположения или контекста.
- Обзоры доступа: Помогает командам убедиться, что права доступа по-прежнему соответствуют обязанностям каждого пользователя.
Пример IAM
Рассмотрим нового финансового аналитика. Система управления идентификацией и доступом (IAM) может создать учетную запись сотрудника, что потребует... МИДи предоставлять доступ на основе ролей к электронной почте, инструментам для совместной работы и финансовым приложениям. Если аналитик переходит в отдел закупок, этот доступ изменяется. При увольнении сотрудника учетная запись и связанный с ней доступ могут быть отключены в рамках того же процесса управления жизненным циклом.
Что такое управление привилегированным доступом (PAM)?
Управление привилегированным доступом защищает учетные записи, учетные данные и сеансы, которые могут приводить к существенным изменениям. К ним относятся администраторы домена, корневые и служебные учетные записи, роли облачной консоли и учетные данные для экстренных случаев.
В данном случае ставки разные. Взлом стандартной учетной записи может привести к утечке файлов одного пользователя. Привилегированная учетная запись может изменять параметры безопасности, создавать новые учетные записи, отключать средства контроля или влиять на всю среду.
В рамках программы PAM административный доступ рассматривается как исключение, которое необходимо обосновать, ограничить и контролировать, а не как постоянное право, которое преследует человека.
Основные элементы управления PAM
В зависимости от продукта PAM и модели развертывания, к общим элементам управления могут относиться:
- Обнаружение привилегированных учетных записей: Обнаруживает учетные записи администраторов, служб и другие учетные записи с повышенными правами в рамках всей среды.
- Хранение и ротация учетных данных: Обеспечивает безопасное хранение конфиденциальных учетных данных и их регулярную или последующую замену.
- Доступ «точно в срок»: Предоставляет расширенные права только в случае необходимости и отменяет их по истечении утвержденного периода.
- Рабочие процессы утверждения: Для предоставления доступа к конфиденциальной информации требуется веская причина.
- Мониторинг сеанса: Осуществляет запись или мониторинг конфиденциальной деятельности в целях проведения расследований и привлечения к ответственности.
- Применение принципа наименьших привилегий: Предоставляет пользователям только те разрешения, которые необходимы для выполнения текущей задачи.
Пример PAM
Специалисту службы поддержки необходимы расширенные права доступа для устранения неполадок ноутбука. Постоянные права администратора создадут излишние постоянные привилегии. PAM может предоставлять расширенные права на определенный период и отменять их по истечении этого периода. В зависимости от реализации, запрос может также потребовать утверждения и создания записей о действиях для последующего анализа.
IAM против PAM: ключевые различия
Сравнение IAM и PAM в значительной степени сводится к типу защищаемого доступа и связанному с ним риску.
| Район | IAM | ВПП |
|---|---|---|
| Основная цель | Управляет идентификацией и стандартным доступом. | Обеспечивает расширенный доступ и привилегированную деятельность. |
| Типичные пользователи | Сотрудники, подрядчики, партнеры и клиенты | Администраторы, ИТ-команды, разработчики, учетные записи служб и утвержденные пользователи, которым требуется временное повышение привилегий. |
| Доступ обеспечен | Бизнес-приложения, данные, сервисы и стандартный доступ к устройствам. | Административные консоли, критически важные системы, привилегированные учетные данные и расширенные права доступа к устройствам. |
| Длительность | Часто сохраняется на прежнем уровне, пока роль или политика остаются в силе. | Предпочтительно временная, ориентированная на выполнение задач и ограниченная по времени работа. |
| Основные элементы управления | Аутентификация, единый вход (SSO), многофакторная аутентификация (MFA), предоставление доступа, авторизация и проверка прав доступа. | Хранение данных в хранилище, ротация учетных данных, утверждения, оперативное повышение квалификации и контроль за сессиями. |
| Фокус на риске | Несанкционированный доступ, вызванный недостаточной идентификацией или чрезмерными стандартными правами доступа. | Злоупотребление или компрометация важных учетных записей и учетных данных. |
| Акцент на аудите | Кто получил доступ к какому ресурсу? | Кто воспользовался привилегиями, почему, когда и что произошло во время сессии. |
Объем
Система IAM охватывает более широкий круг пользователей. Она может регулировать деятельность сотрудников, подрядчиков, партнеров и клиентов.
PAM фокусируется на доступе, который может существенно повлиять на системы или безопасность. Охват аудитории меньше, но потенциальное воздействие больше. Он также охватывает важные нечеловеческие идентификаторы, такие как учетные записи служб.
Продолжительность доступа
Обычный доступ часто сохраняется до тех пор, пока этого требует выполняемая роль. Продавец может сохранять доступ к CRM-системе на протяжении всей работы, при условии предварительного согласования.
Для привилегированного доступа следует установить более короткий срок действия. Администратору могут потребоваться расширенные права на период технического обслуживания или для внесения одного утвержденного изменения. Как только эта причина исчезнет, срок действия привилегий также должен сократиться. Ограничения по времени уменьшают вероятность ошибок и злоупотреблений.
надзор
Система управления идентификацией и доступом (IAM) регистрирует входы в систему, события предоставления доступа, решения по политикам и изменения прав доступа. Эти данные показывают, кто имел доступ и был ли он надлежащим.
PAM более детально рассматривает конфиденциальные действия: почему был запрошен доступ к привилегиям, кто дал на это разрешение, как долго он длился и что сделал администратор. Контроль соответствует возможному радиусу взрыва.
Сходства между IAM и PAM
Несмотря на различие между IAM и PAM, эти две концепции не конкурируют друг с другом. Они имеют общую основу безопасности:
- Подтвержденная личность: Достоверность решений о предоставлении доступа зависит от личности человека, стоящего за этими решениями.
- Наименьшие привилегии: Пользователям не следует предоставлять доступ в объеме, превышающем необходимый для их работы.
- Управление на основе политик: Права доступа должны соответствовать четко определенным правилам, а не быть неформальными, разовыми решениями.
- Управление жизненным циклом: Изменения в правах доступа происходят при изменении роли пользователя, его статуса занятости или уровня риска.
- Прозрачность и подотчетность: Группам безопасности необходимы записи, показывающие, как был предоставлен и использован доступ.
- Поддержка соответствия: Оба подхода помогают продемонстрировать, что конфиденциальные системы и данные защищены преднамеренными мерами контроля.
Они лучше всего работают как взаимосвязанные уровни. IAM устанавливает идентификацию и базовый доступ; PAM добавляет условия для административных действий. Когда системы работают изолированно, уволенный пользователь может потерять доступ к приложениям, в то время как упущенные из виду привилегированные учетные данные остаются активными.
Какой из них следует использовать: IAM, PAM или оба?
Выбор правильного подхода к управлению идентификацией и доступом (IAM) или управлению персональным доступом (PAM) зависит от того, в какой части вашей организации существует риск нарушения доступа.
Выбирайте IAM, когда…
Выбирайте IAM, когда это необходимо:
- Централизуйте идентификацию пользователей во всех приложениях и сервисах.
- Упростите вход в систему с помощью единого входа (SSO) и усильте аутентификацию с помощью многофакторной аутентификации (MFA).
- Автоматизируйте процесс приема на работу, изменения ролей и увольнения сотрудников.
- Применяйте единые правила доступа ко всем группам пользователей.
- Проверьте и удалите разрешения, которые больше не соответствуют обязанностям пользователя.
Система управления идентификацией и доступом (IAM) устанавливает идентификатор и базовый контекст доступа, на основе которых принимаются рутинные решения о доступе сотрудников.
Добавить PAM, когда…
Выбирайте PAM, когда вам это необходимо:
- Управляйте учетными записями администратора, root, служб или другими учетными записями с высокими привилегиями.
- Замените существующие административные права на временное повышение статуса по запросу.
- Защитите и обновляйте привилегированные учетные данные.
- Отслеживайте конфиденциальные сессии и создавайте более убедительные доказательства для аудита.
- Ограничьте ущерб, который может нанести взломанная учетная запись с привилегиями.
Необходимость в PAM становится более очевидной, когда мощные права доступа являются общими, постоянными, плохо документированными или их трудно отозвать.
Используйте оба варианта, когда…
Пользователи имеют обычные учетные данные, но иногда им требуется исключительный доступ. Управление идентификацией и доступом (IAM) определяет базовый уровень повседневной работы. Управление персональными данными (PAM) создает дополнительные сложности там, где риск это оправдывает.
ИТ-инженер может войти в систему через SSO и MFA, а затем запросить административный доступ на 30-минутный период. IAM обрабатывает первый шаг; PAM обрабатывает второй и отменяет привилегию по истечении времени.
Как Scalefusion OneIdP поддерживает IAM и управление привилегиями конечных точек
Scalefusion OneIdP Объединяет средства управления идентификацией и правами доступа конечных точек для управляемых сред. Службы каталогов поддерживают централизованное управление пользователями и группами, а единый вход (SSO), многофакторная аутентификация (MFA) и условный доступ помогают регулировать аутентификацию и доступ к поддерживаемым приложениям и ресурсам.
Административный доступ по запросу Обеспечивает временное повышение привилегий на поддерживаемых устройствах Windows и macOS, но механизм работы различается в зависимости от платформы. WindowsПользователи, не являющиеся администраторами и отвечающие установленным требованиям, могут запускать разрешенные приложения с повышенными привилегиями в течение заданного периода времени. MacOSСтандартный пользователь может временно получить статус администратора и по истечении заданного периода возвращается к стандартному статусу.
OneIdP LAPS Помогает ИТ-командам управлять, обновлять и восстанавливать пароли для поддерживаемых локальных учетных записей администраторов на конечных устройствах Windows и macOS. Наряду с элементами управления идентификацией и конечными устройствами OneIdP, он предоставляет выделенный рабочий процесс для управления учетными данными локальных администраторов.
OneIdP не стирает различие между IAM и PAM. Он связывает рабочие процессы управления идентификацией и привилегиями конечных точек, которые в противном случае могли бы оставлять «слепые зоны».
Запросить демонстрацию OneIdP чтобы изучить, как эти средства контроля могут вписаться в вашу стратегию управления доступом.
Далее
Часто задаваемые вопросы (FAQ)
1. В чем разница между IAM, PIM и PAM?
Управление идентификацией и доступом (IAM) обеспечивает управление идентификацией и доступом в масштабах всей организации. Управление привилегированной идентификацией (PIM) фокусируется на привилегированных учетных записях или ролях. PAM защищает привилегированный доступ с помощью таких средств контроля, как безопасность учетных данных, утверждения, временное повышение прав и контроль сеансов. Возможности PIM часто являются частью более широкой стратегии PAM.
2. В чем разница между IAM, PAM и DAM?
IAM контролирует доступ к ресурсам. PAM ужесточает контроль над привилегированными учетными записями и действиями. Управление доступом к данным (DAM) регулирует доступ к самим данным, включая то, кто может получить доступ к конфиденциальной информации и что они могут с ней делать.
3. Что такое IAM и PAM в кибербезопасности?
IAM проверяет личности и регулирует обычный доступ. PAM обеспечивает безопасность важных учетных записей, учетных данных и привилегированных сессий. Первый метод в целом снижает риски доступа; второй фокусируется на действиях с наибольшим потенциальным влиянием.
4. Может ли IAM заменить PAM?
Не совсем. IAM может аутентифицировать администраторов, назначать роли и обеспечивать многофакторную аутентификацию, но он может не предоставлять хранилище учетных данных, автоматическую смену паролей, повышение прав доступа с ограничением по времени или детальный контроль привилегированных сессий. Организациям со значительным административным доступом, как правило, помимо IAM, необходимы средства управления доступом к привилегиям (PAM).
