Постоянные привилегии — постоянный риск
По мере роста ИТ-инфраструктуры права администратора расходятся по рукам. Системная команда работает с серверами, сетевая — с межсетевыми экранами, разработчики — с базами данных, подрядчик — с сервером ERP. К этому добавляются служебные пароли, зашитые в приложения, сертификаты с истекающим сроком действия и забытые права локального администратора на компьютерах пользователей. Когда всё это управляется разными инструментами, целостной картины не видит никто.
ManageEngine PAM360 — корпоративное решение для управления привилегированным доступом (PAM), которое объединяет весь привилегированный доступ на одной платформе. Оно охватывает возможности Password Manager Pro и Access Manager Plus и добавляет к ним новые.
Что умеет PAM360?
Находит учётные записи и помещает их в хранилище
Сканируя сеть, решение обнаруживает привилегированные учётные записи на серверах, сетевых устройствах и в базах данных и помещает их в хранилище с шифрованием AES-256. Пароли автоматически меняются с заданной Вами периодичностью.
Выдаёт права строго в необходимом объёме
Благодаря временным привилегиям (just-in-time) повышенные права назначаются доменной учётной записи только на время выполнения работы, по истечении срока отзываются, а пароль сбрасывается. Управление привилегиями на конечных точках позволяет убрать лишние права локального администратора с компьютеров пользователей и контролировать приложения с помощью разрешающих и запрещающих списков.
Отслеживает и записывает сеансы
Подключения по RDP, SSH и аналогичным протоколам открываются без агентов через зашифрованный шлюз. Сеансы записываются на видео, при необходимости их можно наблюдать в реальном времени и принудительно завершать. Поведенческий анализ на основе искусственного интеллекта выявляет нетипичные действия привилегированных пользователей.
Управляет и машинными идентификаторами
Решение обнаруживает и ротирует SSH-ключи, отслеживает жизненный цикл сертификатов SSL/TLS. Через API приложения и инструменты DevOps получают пароли из хранилища, не встраивая их в код. Частью платформы является и управление облачными правами, которое отслеживает избыточные права в облачных средах.
PAM360 с Unna
PAM360 предназначен для организаций с несколькими ИТ-командами, внешними поставщиками услуг, облачными нагрузками и обязательствами по аудиту. Если Вам нужно только хранилище паролей, мы порекомендуем более лёгкий продукт.
- Сначала слушаем. Вместе с Вами составляем реестр привилегированных и служебных учётных записей, SSH-ключей и сертификатов.
- Планируем вместе. Проектируем, какая команда к какой системе и с каким согласованием получает доступ и какие учётные записи переводятся на временные привилегии.
- Внедряем поэтапно. Сначала включаем хранилище и запись сеансов, затем автоматическую смену паролей и в последнюю очередь — управление привилегиями на конечных точках. Каждый шаг проверяем на некритичных системах.
- Остаёмся рядом. Регулярно разбираем с Вами отчёты о доступе и проверяем, что доступ уволившихся сотрудников и завершённых проектов закрыт.
Часть единого целого
- На странице «Идентификация и доступ» мы сравнили три продукта ManageEngine.
- Если нужно только хранилище паролей, лучше подойдёт Password Manager Pro, если только удалённый доступ с записью — Access Manager Plus.
- ADManager Plus управляет жизненным циклом пользовательских учётных записей, а PAM360 — использованием самых критичных из них.
- С помощью Firewall Analyzer мы анализируем сетевые журналы вместе с записями сеансов PAM360.
- В плане аварийного восстановления хранилище PAM360 тоже должно быть доступно на резервной площадке; мы включаем это в план.
Частые вопросы
Можно ли перейти с Password Manager Pro на PAM360?
Да. ManageEngine предусматривает путь миграции. Записи из хранилища переносятся, а новые функции включаются по мере необходимости.
Нужно ли устанавливать агенты на компьютеры пользователей?
Для удалённых сеансов — нет. Однако некоторые функции, например управление привилегиями на конечных точках, требуют агента на соответствующих устройствах.
Что это даёт при аудитах?
Решение предоставляет журналы и готовые отчёты о том, кто, к какой системе, когда и с чьего согласования получал доступ. В рамках работ по ISO 27001 и KVKK (турецкий Закон о защите персональных данных № 6698) это конкретное доказательство контроля доступа.
