การจัดการการเข้าถึงสิทธิพิเศษ (PAM) คืออะไร?

ผู้ใช้ที่มีสิทธิ์เข้าถึงระบบและเครือข่ายขององค์กรถือเป็นภัยคุกคามพิเศษ ผู้คุกคามภายนอกมักจะกำหนดเป้าหมายบัญชีที่ได้รับสิทธิพิเศษโดยใช้แผนการฟิชชิ่งและเทคนิควิศวกรรมสังคม เนื่องจากการได้รับการควบคุมข้อมูลประจำตัวเหล่านี้ช่วยให้พวกเขาเคลื่อนไหวภายในเครือข่ายได้อย่างอิสระมากขึ้น นอกจากนี้ บางครั้งผู้คนใช้บัญชีสิทธิพิเศษของตนเองในทางที่ผิด การโจมตีทางไซเบอร์ประเภทนี้ใช้เวลานานที่สุดในการค้นพบ ตามรายงานการสืบสวนการละเมิดข้อมูลของ Verizon

เครื่องมือการจัดการการเข้าถึงสิทธิพิเศษ (PAM) ช่วยให้ผู้ดูแลระบบเครือข่ายควบคุมการเข้าถึงที่มีสิทธิพิเศษเพื่อลดความเสี่ยงของการใช้บัญชีที่มีประสิทธิภาพเหล่านี้ในทางที่ผิดโดยไม่ได้ตั้งใจหรือโดยเจตนา

สิทธิพิเศษในการเข้าถึงคืออะไร?

การเข้าถึงแบบมีสิทธิพิเศษคือการเข้าถึงด้านไอทีในระดับที่สูงกว่าที่มอบให้กับผู้ใช้บางราย เช่น ผู้เชี่ยวชาญด้านไอทีที่ต้องทำงานด้านการดูแลระบบ หรือผู้ใช้ที่ต้องการอ่านหรือแก้ไขข้อมูลที่ละเอียดอ่อน บัญชีสิทธิพิเศษยังสามารถใช้งานได้โดยบริการที่ต้องการเข้าถึงระบบหรือข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลลูกค้าที่จัดเก็บไว้ในฐานข้อมูล

กล่าวโดยสรุป บัญชีผู้ใช้ที่ได้รับสิทธิพิเศษมีสิทธิ์ในการเข้าถึงระบบ บริการ อุปกรณ์ปลายทาง และข้อมูลมากกว่าบัญชีผู้ใช้ทั่วไป ตัวอย่างของบัญชีสิทธิพิเศษมีดังต่อไปนี้:

• บัญชีผู้ดูแลระบบไอที — ช่วยให้ผู้เชี่ยวชาญด้านไอทีสามารถทำหน้าที่ต่างๆ เช่น:

  • การติดตั้งฮาร์ดแวร์หรือซอฟต์แวร์
  • การรีเซ็ตรหัสผ่านสำหรับบัญชีผู้ใช้มาตรฐาน
  • เข้าสู่ระบบทุกเครื่องในสภาพแวดล้อมเฉพาะ
  • ทำการเปลี่ยนแปลงโครงสร้างพื้นฐานด้านไอที

• บัญชีผู้ดูแลระบบโดเมน — ให้สิทธิ์การเข้าถึงระดับผู้ดูแลระบบแก่เวิร์กสเตชันและเซิร์ฟเวอร์ทั้งหมดภายในโดเมน
• บัญชีบริการ — ใช้โดยแอปพลิเคชันหรือบริการเพื่อเข้าถึงข้อมูลและทรัพยากรอื่นๆ
• บัญชีแอปพลิเคชัน — ใช้โดยแอปพลิเคชันเพื่อเข้าถึงฐานข้อมูล รันงานแบทช์หรือสคริปต์ หรือให้การเข้าถึงแอปพลิเคชันอื่น
• บัญชีผู้ใช้สิทธิพิเศษทางธุรกิจ — มอบให้กับบุคคล เช่น ผู้ดำเนินการฐานข้อมูลหรือผู้จัดการที่ได้รับมอบหมายให้ทำงานกับข้อมูลที่ละเอียดอ่อน เช่น บันทึกด้านทรัพยากรบุคคลหรือการเงิน
• บัญชีฉุกเฉิน — มอบให้กับผู้ใช้ที่นำเข้ามาเพื่อจัดการกับภัยพิบัติหรือการหยุดชะงักอื่นๆ ที่รบกวนความพร้อมใช้งานของเครือข่ายและระบบของบริษัท

เหตุใดบัญชีที่ได้รับสิทธิพิเศษจึงต้องได้รับการปกป้องเป็นพิเศษ

การเข้าถึงแบบสิทธิพิเศษถือเป็นความเสี่ยงด้านความปลอดภัยที่สำคัญสำหรับทุกองค์กร โดยทั่วไปแล้ว มีเหตุผลหลักสามประการในการจัดการการเข้าถึงแบบมีสิทธิพิเศษ:

• บัญชีสิทธิพิเศษเป็นเป้าหมายหลักสำหรับผู้โจมตี หากผู้โจมตีพบวิธีที่จะบุกรุกบัญชีที่ได้รับสิทธิพิเศษ พวกเขาอาจสามารถเข้าถึงระบบและข้อมูลที่ละเอียดอ่อน — และสามารถปกปิดเส้นทางของพวกเขาได้เป็นเวลานานในขณะที่ยังคงรักษาการเข้าถึงไว้
• บัญชีสิทธิพิเศษสามารถนำไปใช้ในทางที่ผิดโดยเจ้าของบัญชีได้ ผู้ดูแลระบบอาจปิดการควบคุมความปลอดภัยโดยไม่ได้ตั้งใจหรือจงใจ แก้ไขนโยบายกลุ่ม ขโมยข้อมูลที่ละเอียดอ่อน หรือสร้างความเสียหายให้กับโครงสร้างพื้นฐาน
• การควบคุมบัญชีที่ได้รับสิทธิพิเศษเป็นข้อกำหนดของกฎระเบียบการปฏิบัติตามหลักๆ ทั้งหมด ผู้ตรวจสอบให้ความสนใจเป็นพิเศษกับข้อกำหนดนี้ และช่องว่างในการควบคุมการเข้าถึงที่มีสิทธิพิเศษอาจนำไปสู่ค่าปรับที่สูงชันได้

เส้นทางในการใช้ประโยชน์จากบัญชีพิเศษ

ต่อไปนี้คือตัวอย่างบางส่วนของการใช้บัญชีที่ได้รับสิทธิพิเศษในทางที่ผิด:

• ผู้ใช้ข้ามขอบเขตความปลอดภัย แนวปฏิบัติที่ดีที่สุดแนะนำให้ผู้ดูแลระบบแต่ละคนได้รับไม่เพียงแค่บัญชีผู้ใช้ที่มีสิทธิ์เท่านั้น แต่ยังรวมถึงบัญชีผู้ใช้ปกติที่พวกเขาควรใช้สำหรับกิจกรรมประจำวันที่ไม่ต้องการสิทธิ์การเข้าถึงพิเศษ การไม่ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดนี้อาจนำไปสู่เหตุการณ์ด้านความปลอดภัยได้ ตัวอย่างเช่น หากผู้ดูแลระบบใช้บัญชีพิเศษของตนเพื่อเข้าสู่ระบบเวิร์กสเตชัน ข้อมูลประจำตัวของพวกเขาจะถูกจัดเก็บไว้ในเครื่อง และผู้โจมตีที่เข้ามาตั้งหลักในเครื่องนั้นก็สามารถขโมยข้อมูลเหล่านั้นได้
• บัญชีสิทธิพิเศษมีการแบ่งปัน หากผู้ดูแลระบบหลายคนแบ่งปันการเข้าถึงบัญชีพิเศษ เป็นการยากที่จะให้บุคคลนั้นรับผิดชอบต่อการกระทำของตน ซึ่งจะเพิ่มความเป็นไปได้ที่หนึ่งในนั้นอาจใช้ในลักษณะที่ไม่ได้รับอนุญาต
• เพิ่มพื้นผิวการโจมตีจากสิทธิ์ยืน โดยปกติแล้ว บัญชีที่ได้รับสิทธิพิเศษจะเป็นบัญชียืน — บัญชีนี้สามารถใช้งานได้ตลอดเวลา ดังนั้น ผู้โจมตีที่โจมตีบัญชีผู้ดูแลระบบจึงสามารถใช้บัญชีดังกล่าวเพื่อเคลื่อนที่ไปรอบ ๆ สภาพแวดล้อมของคุณ และมองหาโอกาสในการขยายสิทธิ์ของตนได้ฟรี สิ่งนี้จะเพิ่มความเสี่ยงอย่างมากที่พวกเขาจะจัดการเพื่อให้บรรลุเป้าหมายสูงสุดในการขโมยข้อมูลหรือสร้างความเสียหายอื่นๆ ต่อองค์กรของคุณ

การจัดการการเข้าถึงสิทธิพิเศษคืออะไร?

Privileged Access Management (PAM) เป็นกลยุทธ์ด้านความปลอดภัยที่ครอบคลุมสำหรับการจัดการบัญชีที่มีสิทธิ์ระดับสูงในการเข้าถึงทรัพยากรที่สำคัญขององค์กร และการควบคุมการใช้บัญชีเหล่านั้น PAM อยู่ภายใต้การดูแลของการระบุตัวตนและการจัดการการเข้าถึง (IAM)

เหตุผลในการลงทุนใน PAM ได้แก่ :

• การป้องกันการโจรกรรมข้อมูลประจำตัวที่มีสิทธิพิเศษ
• การลดความเสี่ยงของการละเมิดข้อมูลประจำตัว
• สร้างความมั่นใจในความรับผิดชอบส่วนบุคคล
• ลดความเสี่ยงของการหยุดทำงานของฐานข้อมูล เซิร์ฟเวอร์ และโครงสร้างพื้นฐานที่สำคัญอื่นๆ เนื่องจากการใช้บัญชีพิเศษโดยเจตนาหรือโดยไม่ได้ตั้งใจ
• ยึดมั่นในหลักการสิทธิพิเศษน้อยที่สุด
• ปฏิบัติตามข้อกำหนดของกรอบการรักษาความปลอดภัยและกฎระเบียบการปฏิบัติตาม

คุณสมบัติและความสามารถของ PAM

ด้านล่างนี้คือรายการประเด็นหลักที่เกี่ยวข้องกับการสนับสนุนการรักษาความปลอดภัยของบัญชีที่มีสิทธิพิเศษ:

• การจัดการข้อมูลประจำตัวที่มีสิทธิพิเศษ — จัดการกระบวนการจัดเก็บและเรียกค้นรหัสผ่านสำหรับบัญชีผู้ใช้ที่มีสิทธิ์พิเศษ เพื่อลดความเสี่ยงที่จะถูกขโมยข้อมูลประจำตัว ผู้ดูแลระบบสามารถสร้างและเพิกถอนข้อมูลประจำตัวได้ตามต้องการจากตำแหน่งศูนย์กลาง
• วิธี PAM แบบทันเวลา (JIT) — ช่วยให้แน่ใจว่าบัญชีจะได้รับการเข้าถึงแบบพิเศษเมื่อจำเป็นเท่านั้น และเฉพาะเวลาที่จำเป็นในการทำงานทางธุรกิจให้เสร็จสิ้นเท่านั้น สิ่งนี้จะป้องกันไม่ให้บัญชีผู้ใช้รักษาสิทธิ์การเข้าถึงที่เพิ่มขึ้นเป็นเวลานานเกินความจำเป็นเพื่อหลีกเลี่ยงการแสวงหาประโยชน์จากผู้ใช้ภายในหรือภัยคุกคามจากภายนอก
• การค้นพบบัญชีที่มีสิทธิ์พิเศษและการเริ่มต้นใช้งาน — ช่วยค้นพบว่าบัญชีที่ได้รับสิทธิ์นั้นมีอยู่ที่ใดภายในองค์กร เพื่อให้องค์กรมั่นใจได้ว่าบัญชีเหล่านั้นจะอยู่ภายใต้การดูแลของ PAM
• การติดตามกิจกรรมของผู้ใช้ที่มีสิทธิพิเศษ — ช่วยติดตามวิธีที่ผู้ใช้ใช้ข้อมูลรับรองการเข้าถึงที่มีสิทธิพิเศษของตน ดังนั้นบริษัทต่างๆ จึงสามารถระบุการใช้บัญชีที่มีสิทธิพิเศษโดยไม่ได้รับอนุญาตได้รวดเร็วยิ่งขึ้น
• การบันทึกและการรายงาน — ช่วยให้องค์กรสามารถบันทึกและสร้างรายงานเกี่ยวกับการใช้บัญชีที่มีสิทธิ์
• การตรวจสอบสิทธิ์แบบหลายปัจจัย — บังคับให้ผู้ใช้ยืนยันตัวตนของตนมากกว่าหนึ่งวิธีก่อนที่จะอนุญาตให้เข้าถึงแอปพลิเคชันและระบบของบริษัท
• การจัดการเซสชันแบบสิทธิพิเศษ — ให้ผู้ดูแลระบบความปลอดภัยควบคุมเซสชันการทำงานของผู้ใช้ที่มีสิทธิ์การเข้าถึง ตัวอย่างเช่น พวกเขาสามารถบล็อกการเข้าถึงทรัพยากรที่สำคัญเมื่อตรวจพบกิจกรรมที่น่าสงสัยจากบัญชีผู้ใช้ที่มีสิทธิ์
• การยกระดับสิทธิ์และการมอบสิทธิ์ — ช่วยให้ผู้ดูแลระบบดำเนินการควบคุมสิทธิ์ที่มอบให้กับบัญชีผู้ใช้ที่ได้รับสิทธิ์ได้ละเอียดยิ่งขึ้น เมื่อเทียบกับแนวทางแบบทั้งหมดหรือไม่มีเลย
• งานอัตโนมัติที่มีสิทธิพิเศษ — ช่วยให้ผู้ดูแลระบบตั้งค่าโฟลว์อัตโนมัติที่จัดการงาน PAM ที่ซ้ำซ้อนได้?

• 2023 Gartner® Magic Quadrant™ สำหรับ PAM

โซลูชัน PAM ทำงานอย่างไร

1. ผู้ใช้ที่ต้องการทำงานที่ต้องใช้สิทธิ์ระดับสูงสามารถร้องขอการเข้าถึงบัญชีผู้ใช้ที่มีสิทธิ์ได้ ผู้ใช้ต้องระบุเหตุผลทางธุรกิจว่าเหตุใดจึงต้องมีการเข้าถึงแบบมีสิทธิพิเศษ
2. โซลูชัน PAM อนุมัติหรือปฏิเสธคำขอและบันทึกการตัดสินใจ โซลูชัน PAM ส่วนใหญ่สามารถตั้งค่าเพื่อขออนุมัติจากผู้จัดการสำหรับคำขอบางรายการได้
3. หากได้รับการอนุมัติ ผู้ใช้จะได้รับสิทธิ์การเข้าถึงชั่วคราวที่จำเป็นเพื่อทำงานที่ระบุให้เสร็จสิ้น โดยปกติแล้ว พวกเขาจะได้รับการเข้าถึงผ่าน PAM แทนที่จะเรียนรู้รหัสผ่านสำหรับบัญชีที่ได้รับสิทธิพิเศษ

ความท้าทายหลักของ PAM คืออะไร

แนวทางดั้งเดิมสำหรับ PAM ล้วนเกี่ยวข้องกับความท้าทายร้ายแรง ซึ่งรวมถึงสิ่งต่อไปนี้:

กระบวนการแบบแมนนวล

องค์กรอาจเลือกที่จะจัดเก็บข้อมูลประจำตัวที่มีสิทธิพิเศษในสเปรดชีตและหมุนเวียนด้วยตนเอง นี่เป็นงานที่ต้องใช้แรงงานมากและเกิดข้อผิดพลาดได้ง่าย ปัญหาที่สำคัญที่สุดคือมันไม่ปลอดภัยและเปิดประตูให้ทั้งผู้โจมตีและการใช้งานในทางที่ผิดภายใน

เครื่องมือฟรี

สิ่งเหล่านี้มีความปลอดภัยมากกว่าการไม่ทำอะไรเลย แต่ยังคงทิ้งช่องว่างไว้มากมาย เช่น ขั้นตอนการทำงาน การหมุนเวียนหลังเซสชัน หรือการไม่สามารถตรวจสอบว่าใครกำลังเข้าถึงข้อมูลเหล่านั้น

โซลูชัน PAM แบบดั้งเดิม

โซลูชัน PAM รุ่นเก่ามีความท้าทายหลักสองประการ ประการแรก ความซับซ้อนทำให้มีค่าใช้จ่ายสูงในการดำเนินการ นอกเหนือจากโครงสร้างพื้นฐาน PAM และการออกใบอนุญาตแล้ว องค์กรต่างๆ ยังต้องใช้เวลาหลายชั่วโมงในการกำหนดค่า การเปิดตัว และการบำรุงรักษาอย่างต่อเนื่อง นอกจากนี้ โซลูชัน PAM จำนวนมากจำเป็นต้องมีใบอนุญาตเพิ่มเติมเพื่อดำเนินการ เช่น CAL ของบุคคลที่สาม โครงสร้างพื้นฐานฐานข้อมูล และส่วนประกอบเสริม

ประการที่สอง โซลูชัน PAM ส่วนใหญ่ใช้แนวทางที่มีห้องนิรภัยเป็นศูนย์กลาง: พวกเขาเพียงแค่จัดการบัญชีที่ได้รับสิทธิพิเศษและมุ่งเน้นไปที่การควบคุมการเข้าถึงเท่านั้น วิธีการนี้ไม่ได้ช่วยลบหรือจำกัดพื้นผิวการโจมตีการเคลื่อนไหวด้านข้างที่นำเสนอโดยบัญชีเหล่านี้ ซึ่งเรียกว่า Standing Privilege ผู้คุกคาม เช่น แรนซัมแวร์สามารถแพร่กระจายข้ามองค์กร โดยใช้ประโยชน์จากบัญชีที่ได้รับสิทธิพิเศษ แม้ว่าบัญชีเหล่านั้นจะถูกป้องกันก็ตาม

เอาชนะความท้าทายของ PAM

วิธีที่ดีที่สุดในการลดความเสี่ยงด้านความปลอดภัยโดยไม่ส่งผลกระทบต่อประสิทธิภาพทางธุรกิจคือการเปิดใช้งานสิทธิพิเศษตามความต้องการ Zero Standing Privilege เป็นแนวทางที่ผู้ดูแลระบบได้รับสิทธิ์เพียงพอที่จะทำงานเฉพาะให้สำเร็จ และเฉพาะเวลาที่จำเป็นในการทำงานนั้นให้สำเร็จเท่านั้น เมื่อผู้ดูแลระบบดำเนินการเสร็จสิ้น สิทธิ์จะถูกลบออกจากบัญชี หรือบัญชีจะถูกลบออกทั้งหมด วิธีการทันเวลานี้ช่วยลดความเสี่ยงที่บัญชีที่มีประสิทธิภาพจะถูกโจมตีจากภัยคุกคามภายในหรือภายนอกได้อย่างมาก

แนวทางปฏิบัติที่ดีที่สุดสำหรับการจัดการการเข้าถึงที่มีสิทธิพิเศษ

• จัดทำบัญชีสิทธิพิเศษทั้งหมดของคุณ
• ดำเนินการประเมินความเสี่ยงเพื่อทำความเข้าใจภัยคุกคามที่ร้ายแรงที่สุดต่อบัญชีสิทธิพิเศษของคุณ
• ใช้โมเดล Zero Standing Privilege เพื่อลบบัญชีที่ได้รับสิทธิพิเศษเมื่อไม่ได้ใช้งาน
• กำหนดนโยบายอย่างเป็นทางการเพื่อควบคุมการเข้าถึงสิทธิ์
• ติดตามการใช้บัญชีพิเศษ เพื่อให้คุณสามารถแจ้งพฤติกรรมที่น่าสงสัยได้อย่างรวดเร็ว
• ใช้ประโยชน์จากเครื่องมือที่เปิดใช้งานสิทธิพิเศษตามความต้องการสำหรับกิจกรรมในแต่ละวัน
• ล้างบัญชีที่ไม่ได้ใช้งานหรือไม่ได้ใช้ใน Active Directory ก่อนที่จะนำไปใช้ในทางที่ผิด
• ใช้หลักการของ Zero Trust และสิทธิพิเศษน้อยที่สุด

PAM แบบทันเวลาพร้อมทั้งลดพื้นผิวการโจมตี

Netwrix Privilege Secure for Access Management อำนวยความสะดวกในการเข้าถึงผู้ดูแลระบบอย่างปลอดภัยโดยใช้เทคโนโลยีรุ่นที่ 3 ที่คุ้มค่า ใช้งานง่าย และปรับใช้ได้ง่าย Netwrix Privilege Secure for Access Management จะสร้างบัญชีชั่วคราวโดยอัตโนมัติสำหรับแต่ละเซสชันที่ได้รับสิทธิพิเศษ จากนั้นจะจัดสรรและยกเลิกการจัดสรรสิทธิ์แบบทันเวลาที่เหมาะสมแบบไดนามิกสำหรับกิจกรรมที่ร้องขอ การดำเนินการนี้จะลบพื้นผิวการโจมตี "สิทธิ์ที่ยืนหยัด" เมื่อบัญชีไม่ได้ใช้งาน ให้การเข้าถึงที่มีสิทธิพิเศษที่ควบคุมได้โดยไม่มีค่าใช้จ่ายและความรับผิดของโซลูชันที่เน้นห้องนิรภัยแบบเดิม

คำถามที่พบบ่อย

การจัดการการเข้าถึงแบบสิทธิพิเศษมีอะไรบ้าง

การจัดการการเข้าถึงแบบมีสิทธิพิเศษรวมถึงการรักษาความปลอดภัยการจัดการผู้ใช้และกระบวนการที่ได้รับสิทธิ์ระดับสูงภายในแพลตฟอร์มไอทีของบริษัท มันสร้างการควบคุมการเข้าถึงทรัพยากรขององค์กร?

เหตุใดฉันจึงต้องมีการจัดการการเข้าถึงแบบสิทธิพิเศษ

การจัดการการเข้าถึงแบบมีสิทธิพิเศษช่วยให้บริษัทต่างๆ มั่นใจได้ว่าผู้ใช้จะไม่สามารถเข้าถึงระบบของบริษัทโดยไม่ได้รับอนุญาต นอกจากนี้ยังป้องกันผู้โจมตีทางไซเบอร์ไม่ให้เข้าถึงข้อมูลรับรองบัญชีผู้ใช้ที่มีสิทธิพิเศษ

การจัดการการเข้าถึงแบบสิทธิพิเศษในระบบเครือข่ายคืออะไร

PAM ในระบบเครือข่ายหมายถึงการรวมศูนย์การควบคุมรหัสผ่านและการจำกัดการเข้าถึงผ่านโซลูชัน PAM ซึ่งช่วยให้บริษัทต่างๆ ป้องกันการโจมตีบนเครือข่ายของตน