მთავარი დასკვნა
დაადასტურეთ პრივილეგირებული ანგარიშების მფლობელი და მიზანი; ადამიანების პრივილეგირებული შესვლისთვის MFA მოითხოვეთ, სერვისულ ანგარიშებს კი დატვირთვის შესაბამისი ავტორიზაციის მონაცემები და წვდომის შეზღუდვები მიუყენეთ. სადაც პრაქტიკულია, ამაღლება დროით შეზღუდეთ და აუდიტის კვალი შეინარჩუნეთ.
აღმოაჩინეთ პრივილეგიები და მათი შემცირება დაიწყეთ
აღრიცხეთ დომენის, ღრუბლის, ქსელის, მონაცემთა ბაზის, ჰიპერვიზორისა და აპლიკაციის ადმინისტრატორები, აგრეთვე სერვისული ანგარიშები და შენახული ავტორიზაციის მონაცემები. დაადასტურეთ მფლობელები და ბიზნესსაჭიროება, საერთო მუდმივი ადმინისტრაციული ანგარიშები გამოყავით და როლით განსხვავებული ადმინისტრაციული ანგარიშები განსაზღვრეთ. პრივილეგირებული ანგარიშებიდან ელფოსტასა და ჩვეულებრივ ვებდათვალიერებას მოერიდეთ. მოძებნეთ ყოფილი თანამშრომლების, ძველი აპლიკაციებისა და სატესტო გარემოების დავიწყებული წვდომა.
დაიცავით ავტორიზაციის მონაცემები და სესიები
ადამიანების პრივილეგირებული შესვლა MFA‑თა და შეზღუდული ადმინისტრაციული მოწყობილობით დაიცავით. სერვისული ანგარიშებისთვის დატვირთვის შესაბამისი ავტორიზაციის მონაცემები და წვდომის შეზღუდვები გამოიყენეთ. მხარდაჭერისას საჭირო მომენტში ამაღლება და დამტკიცება გამოიყენეთ; საერთო ან ჩაშენებული პაროლები დამტკიცებულ საიდუმლოებების საცავში შეინახეთ და გამოყენების შემდეგ როტაცია დაგეგმეთ. სესიის ხანგრძლივობა ამოცანისთვის განსაზღვრეთ, დისტანციური ადმინისტრირება აღრიცხეთ და სენსიტიური სესიები სათანადოდ მართეთ. ყველგან ერთნაირი ხშირი როტაციის ნაცვლად რისკზე დაფუძნებული საიდუმლოებების მართვა და კომპრომეტაციაზე რეაგირება განსაზღვრეთ.
განიხილეთ გამოყენება და ივარჯიშეთ რეაგირებაში
აღრიცხეთ პრივილეგიის მინიჭება და ამაღლება, დისტანციური სესიები, საიდუმლოს ამოღება და საგანგებო წვდომა. ჟურნალები ხელყოფისგან დაიცავით და მოულოდნელი გამოყენების გამოძიებას მფლობელი დაუნიშნეთ. დაიცავით თავად PAM საცავი და მართვის ფენა, რადგან კომპრომეტაციამ ბევრი საიდუმლო და სესია შეიძლება გამოაჩინოს. საგანგებო ანგარიშები მცირე რაოდენობით შეინარჩუნეთ, მათი გამოყენება სწრაფად განიხილეთ და ინციდენტის შემდეგ ავტორიზაციის მონაცემები შეცვალეთ. ნებართვები მფლობელებთან კვარტალურად ან რისკის შესაბამისი სხვა ინტერვალით განიხილეთ.
PAM შესაძლებლობები როლითა და რისკით შეარჩიეთ
PAM შესაძლებლობები სამიზნე სისტემასა და ინტეგრაციაზეა დამოკიდებული; მხოლოდ პაროლების მენეჯერი სრულ PAM პროგრამას არ ცვლის. სამიზნე სისტემაში ანგარიშის აღმოჩენის, გამოყენების შემდგომი როტაციისა და გაფრთხილებების მხარდაჭერაც გადაამოწმეთ. განსაზღვრეთ თითო შესაძლებლობის დაკავშირება და ავტორიზაციის მონაცემის გაცემის დამმტკიცებელი. დაიწყეთ კრიტიკული ანგარიშების მცირე ჯგუფით, გამოსცადეთ გაუმართაობისა და აღდგენის სცენარები და შემდეგ დაფარვა გააფართოეთ.
| შესაძლებლობა | მიზანი | რა გადაამოწმოთ |
|---|---|---|
| საცავიდან/საიდუმლოს ამოღება | ამოსაღებ საიდუმლოებებზე წვდომის კონტროლი | კონექტორი და ამოღების აუდიტი |
| დროით შეზღუდული ამაღლება | მუდმივი პრივილეგიის შემცირება | თანხმობა, ვადა და რეალური მოხსნა |
| სესიის ზედამხედველობა | პრივილეგირებული მოქმედებების განხილვა | მხარდაჭერილი პროტოკოლი, შენახვა და ჩანაწერზე ავტორიზებული წვდომა |
| საგანგებო წვდომა | აღდგენა გაუმართაობისას | დამოუკიდებლობა, მონიტორინგი და გამოყენების შემდგომი განხილვა |