Glossario CyberArk >

Gestione degli Accessi Privilegiati (PAM - Privileged Access Management)

Cosa sono gli accessi privilegiati?

In un ambiente aziendale, “accesso privilegiato” è un termine utilizzato per descrivere accessi o poteri speciali ben oltre quelli garantiti ad un utente standard. Gli accessi privilegiati consentono alle organizzazioni di proteggere la propria infrastruttura e le proprie applicazioni e di operare con efficienza, mantenendo comunque la riservatezza dei dati sensibili e dell’infrastruttura critica.

Gli accessi privilegiati possono essere associati a utenti sia umani che non umani, come le applicazioni e le identità di macchina.

Esempi di accessi privilegiati utilizzati da identità umane:

  • Account super user: si tratta di un account potente utilizzato dagli amministratori dei sistemi informatici, che consente di configurare un sistema o un’applicazione, aggiungere o rimuovere utenti o eliminare dati.
  • Account amministrativo di dominio: si tratta di un account che garantisce l’accesso privilegiato amministrativo su tutte le workstation e i server all’interno di un dominio di rete. Questi account sono solitamente pochi, ma garantiscono il livello massimo di accesso all’intera rete in termini di estensione e potere. I privilegi accordati ad alcuni sistemi ed account amministrativi, vengono spesso descritti come “Le chiavi del regno informatico”.
  • Account amministrativo locale: questo account si trova su un endpoint o una workstation e utilizza una combinazione di nome utente e password. Aiuta le persone ad accedere ed apportare modifiche alle proprie macchine o ai propri dispositivi a livello locale.
  • Chiave SSH (Secure Socket Shell): le chiavi SSH sono protocolli di controllo dell’accesso molto utilizzati, che garantiscono l’accesso diretto a livello di root ai sistemi critici. Root è il nome utente o l’account che per impostazione predefinita ha accesso a tutti i comandi e i file sui sistemi operativi basati su Unix, come ad esempio Linux.
  • Account di emergenza: questo account offre agli utenti l’accesso amministrativo per proteggere i sistemi in caso di emergenza. A volte viene detto account “break glass” (rottura vetro) o “firecall” (chiamata antincendio), proprio per descriverne la natura d’emergenza.
  • Utente aziendale privilegiato: si tratta di account riservato a chiunque non lavori nel reparto IT ma debba per forza accedere ai sistemi critici. Può trattarsi di un operatore che debba per necessità accedere ai sistemi finanziari, RU (risorse umane) o marketing.

Esempi di accessi privilegiati non umani:

  • Account di applicazione: si tratta di un account privilegiato specifico del software applicativo, che viene tipicamente utilizzato per amministrare, configurare o gestire l’accesso al software applicativo stesso.
  • Account di servizio: si tratta di un account che viene utilizzato da un’applicazione o da un servizio per interagire col sistema operativo. I servizi utilizzano questi account per accedere ed apportare modifiche al sistema operativo o alla configurazione
  • Chiave SSH: (come descritto sopra). Le chiavi SSH vengono inoltre utilizzate dai processi automatizzati.
  • Segreto: spesso utilizzato dal team DevOps come termine onnicomprensivo per designare le chiavi SSH, le chiavi API (Application Program Interface) e le altre credenziali utilizzate da tali team per garantire l’accesso privilegiato.

Account, credenziali e segreti privilegiati esistono ovunque; si ritiene che tipicamente superino di tre o quattro volte il numero di dipendenti. Nei moderni ambienti aziendali, la superficie di attacco correlata agli accessi privilegiati si sta espandendo rapidamente, in parallelo alla crescente interconnessione tra sistemi, applicazioni, account M2M (da macchina a macchina), ambienti sia cloud che ibridi, DevOps, RPA (Robotic Process Automation) e dispositivi IoT. Gli aggressori lo sanno bene: per questo prendono di mira gli accessi privilegiati. Attualmente, quasi il 100% degli attacchi più avanzati si basa sullo sfruttamento delle credenziali privilegiate per arrivare ai dati, alle applicazioni e alle infrastrutture più sensibili di un obiettivo. L’utilizzo illegittimo degli accessi privilegiati può in potenza destabilizzare qualsiasi azienda.

Violazioni più significative alla sicurezza tramite gli accessi privilegiati

Durante lo scorso decennio, ci sono state diverse violazioni alla sicurezza legate all’utilizzo illegittimo degli accessi privilegiati. Da Terry Childs ed Edward Snowden a Yahoo! e le massicce violazioni dello U.S. Office of Personnel Management e la Bangladesh Bank, oppure l’attacco alla rete elettrica ucraina o la pubblicizzatissima violazione ai sistemi Uber: tutti questi eventi avevano in comune lo sfruttamento delle credenziali privilegiate per pianificare, coordinare ed eseguire attacchi informatici.

Cos’è la gestione degli accessi privilegiati (PAM)?

Le organizzazioni implementano strategie di gestione degli accessi privilegiati (PAM) per proteggersi da minacce come il furto delle credenziali o l’utilizzo illegittimo dei privilegi. L’acronimo PAM si riferisce a una strategia complessiva per la sicurezza informatica che include persone, processi e tecnologie e implica il controllo, il monitoraggio, la protezione e la verifica di tutte le identità privilegiate, umane o non umane, presenti complessivamente in un ambiente IT aziendale.

A volte detti anche PIM (Privileged Identity Management – gestione delle identità privilegiate) o PAS (Privileged Access Security – sicurezza degli accessi privilegiati), i programmi PAM si basano sul principio dei privilegi minimi, che prevede che a ogni utente sia assegnato il livello minimo di accesso richiesto per svolgere le proprie mansioni. Il principio del privilegio minimo è ampiamente ritenuto una buona pratica per la sicurezza informatica ed è un passo fondamentale per proteggere gli accessi privilegiati a dati e risorse di massima criticità. L’applicazione del principio dei privilegi minimi consente alle organizzazioni di ridurre la superficie di attacco e mitigare i rischi portati da malintenzionati interni o cyber-attacchi esterni che possono causare violazioni dei dati estremamente dannose.

Sfide principali per la gestione degli accessi privilegiati

Le organizzazioni si trovano ad affrontare diverse sfide per proteggere, controllare e monitorare gli accessi privilegiati, come:

  • Gestione delle credenziali degli account: Diverse organizzazioni IT si affidano per la rotazione e l’aggiornamento delle credenziali privilegiate a processi amministrativi manuali, esposti ad errori. Questo approccio può risultare inefficiente e dispendioso.
  • Tracciamento delle attività privilegiate: Diverse aziende non sono in grado di monitorare e controllare in maniera centralizzata le sessioni privilegiate, esponendosi a minacce alla sicurezza informatica e a violazioni della conformità.
  • Monitoraggio e analisi delle minacce: Diverse organizzazioni sono prive di strumenti per l’analisi approfondita delle minacce e non sono quindi in grado né di identificare proattivamente le attività sospette, né di porre rimedio agli incidenti di sicurezza.
  • Controllo dell’accesso degli utenti privilegiati: Le organizzazioni hanno spesso difficoltà a controllare con efficacia gli accessi degli utenti privilegiati alle piattaforme sul cloud (Infrastructure as a Service e Platform as a Service), alle applicazioni SaaS, ai social media e altro ancora, il che determina rischi per la conformità e causa complessità operativa.
  • Protezione dei controller di dominio di Windows: Gli attaccanti informatici possono sfruttare le vulnerabilità nel protocollo di autenticazione Kerberos per impersonare un utente autorizzato e ottenere l’accesso a risorse informatiche e dati riservati di livello critico.

Perché la gestione degli accessi privilegiati (PAM) è fondamentale per la tua organizzazione?

  • Gli esseri umani sono il punto più debole. Si tratti di utenti privilegiati interni che utilizzano illegittimamente il proprio livello di accesso, oppure di aggressori informatici esterni che prendono di mira e si appropriano dei privilegi degli utenti per operare di nascosto come “interni privilegiati”, gli esseri umani sono sempre il punto più debole nella catena della sicurezza informatica. La gestione degli accessi privilegiati aiuta le organizzazioni a fare in modo che gli operatori dispongano solo del livello di accesso richiesto per adempiere alle proprie mansioni. Una strategia PAM consente inoltre ai team di sicurezza di identificare le attività nocive legate all’utilizzo illegittimo dei privilegi e di reagire rapidamente per contrastarle.
  • Nelle aziende digitali, i privilegi sono ovunque. I sistemi devono poter accedere e comunicare l’uno con l’altro per lavorare insieme. Al crescere dell’adozione di cloud, DevOps, automazione robotica di processo, IoT e altro ancora, è aumentato il numero macchine e applicazioni che richiede l’accesso privilegiato, così come si è estesa la superficie di attacco. Queste entità non umane sono molte di più delle persone in un’azienda, e gestirle e monitorarle risulta molto più complesso, sempre che si riesca a identificarle. Le applicazioni COTS (Commercial-Off-The-Shelf) richiedono tipicamente l’accesso a diverse parti della rete, e questo è un punto di attacco per gli aggressori. Una robusta strategia di gestione degli accessi privilegiati tiene conto dei privilegi ovunque “risiedano”: in loco, sul cloud e in ambienti ibridi – rilevando le attività anomale mentre si stanno verificando.
  • Gli aggressori informatici aggrediscono gli endpoint e le workstation. In una azienda, ogni singolo endpoint (laptop, smartphone, tablet, desktop, server, ecc.) contiene privilegi per impostazione predefinita. Gli account amministrativi incorporati consentono ai team IT di risolvere eventuali problemi a livello locale, ma introducono anche enormi rischi. Gli aggressori possono violare un account admin e sfruttarlo per saltare da una workstation all’altra, trafugare ulteriori credenziali, elevare i privilegi e spostarsi lateralmente nella rete finché non trovano quello che stanno cercando. Un programma PAM proattivo deve prevedere tra le altre cose l’approfondita rimozione dei diritti amministrativi locali dalle workstation, proprio per ridurre tali rischi.
  • Un programma PAM è fondamentale per ottenere la conformità. La capacità di monitorare e rilevare gli eventi sospetti in un ambiente è molto importante, ma l’azienda resterà vulnerabile in assenza di una chiara focalizzazione sul rischio maggiore: gli accessi privilegiati non gestiti, non monitorati e non protetti. Implementare un programma PAM nell’ambito di una più ampia strategia di sicurezza e gestione dei rischi consente alle organizzazioni di registrare tutte le attività correlate all’infrastruttura IT critica e alle informazioni sensibili, contribuendo così a semplificarne la verifica e i requisiti di conformità.

Le organizzazioni che danno la priorità ai programmi PAM nell’ambito di una strategia di cyber-sicurezza più ampia godono di diversi benefici organizzativi: mitigazione dei rischi per la sicurezza, riduzione della superficie esposta ai cyber-attacchi, dei costi operativi e della complessità, maggiore visibilità e consapevolezza operativa in tutta l’azienda, e infine migliore conformità normativa.

Migliori pratiche per la gestione degli accessi privilegiati

I seguenti passaggi costituiscono una infrastruttura all’interno della quale porre in essere controlli PAM essenziali per rafforzare la postura di sicurezza. Implementare un programma che si avvalga di questi passaggi può aiutare qualsiasi organizzazione a ridurre più rischi in meno tempo, proteggere la reputazione del proprio brand e contribuire al raggiungimento degli obiettivi di sicurezza e normativi impegnando meno risorse interne.

  • Eliminazione degli attacchi irreversibili che consentono di assumere il controllo della rete. Isolare tutti gli accessi privilegiati ai controller di dominio e agli altri asset Tier0 e Tier1, e richiedere l’autenticazione multifattoriale.
  • Controllo e protezione degli account dell’infrastruttura. Riporre tutti gli account ben noti dell’infrastruttura in una cassaforte digitale gestita a livello centrale. Ruotare le password automaticamente dopo ogni utilizzo.
  • Limitazione degli spostamenti laterali. Rimuovere completamente tutti gli utenti dell’endpoint dai gruppi admin locali sulle workstation IT Windows, per prevenire il furto delle credenziali.
  • Protezione delle credenziali per le applicazioni di terzi. Mettere in cassaforte tutti gli account privilegiati utilizzati da applicazioni di terzi ed eliminare le credenziali per le applicazioni COTS.
  • Gestione delle chiavi *NIX SSH. Mettere in cassaforte tutte le coppie di chiavi SSH sui server di produzione Linux e Unix e ruotarle regolarmente.
  • Difesa dei segreti DevOps sul cloud e in loco. Proteggere tutti gli account privilegiati, le chiavi e le chiavi API del cloud pubblico. Riporre tutte le credenziali e i segreti utilizzati da tool CI/CD come Ansible, Jenkins e Docker in una cassaforte sicura, consentendone il recupero al volo nonché la rotazione e la gestione in automatico.
  • Protezione degli admin SaaS e degli utenti privilegiati aziendali. Isolare tutti gli accessi alle ID condivise e richiedere l’autenticazione multifattoriale.
  • Investimenti in esercizi periodici del Red Team per testare le difese. Convalidare e migliorare l’efficacia delle difese contro gli attacchi reali.

Qui puoi esplorare le best practice in dettaglio.

Maggiori informazioni su PAM

RESTA IN CONTATTO

RESTA IN CONTATTO!

Rimani aggiornato sulle best practice di sicurezza, gli eventi e i webinar.