IAM vs PAM: jaka jest różnica i czy potrzebujemy obu?

Czym jest IAM

Zarządzanie tożsamością i dostępem (IAM) to praktyka zarządzania tożsamościami cyfrowymi i tym, co każda z nich może robić, w całej organizacji. Obejmuje każde konto: pracowników, kontraktorów oraz tożsamości maszynowe (NHI), takie jak konta serwisowe i automatyzacje, które również potrzebują dostępu.

NIST określa IAM jako „fundamentalną i krytyczną zdolność cyberbezpieczeństwa", która zapewnia, że „właściwi ludzie i rzeczy mają właściwy dostęp do właściwych zasobów we właściwym czasie". CISA i NSA opisują ją jako zestaw procesów biznesowych, polityk i technologii do zarządzania tożsamościami cyfrowymi, tak aby użytkownicy uzyskiwali dostęp tylko wtedy, gdy mają odpowiednie dane uwierzytelniające.

W codziennej pracy IAM to mechanizm stojący za kilkoma znajomymi pytaniami:

• Provisioning i deprovisioning. Tworzenie kont, gdy ktoś dołącza, dostosowywanie ich przy zmianie roli i usuwanie, gdy ktoś odchodzi.
• Uwierzytelnianie. Potwierdzanie, że osoba logująca się jest tym, za kogo się podaje, zwykle wzmocnione uwierzytelnianiem wieloskładnikowym.
• Autoryzacja. Decydowanie, do czego każda tożsamość ma prawo sięgnąć, najczęściej przez role i zasadę least privilege.
• Single sign-on i przeglądy dostępów. Centralizacja logowania, dzięki której łatwiej je zabezpieczyć, oraz cykliczne sprawdzanie, kto ma dostęp do czego, i usuwanie tego, co nie jest już potrzebne.

IAM stosuje te kontrole jednolicie wobec całej populacji tożsamości. Handlowiec, kierownik finansowy i młodszy deweloper są objęci tym samym aparatem IAM, mimo że każdy z nich ma inne uprawnienia. Cechą definiującą IAM jest zasięg: odpowiada za każdego i za wszystko, co ma tożsamość w twoich systemach.

Czym jest PAM

Zarządzanie dostępem uprzywilejowanym (PAM) to węższa dyscyplina skupiona na jednej kategorii kont: kontach uprzywilejowanych. Konto uprzywilejowane to każda tożsamość zdolna wprowadzać daleko idące zmiany w systemach, danych albo innych kontach. Kwalifikują się do tego administratorzy domeny, konta root w chmurze, administratorzy baz danych oraz silne konta serwisowe obsługujące infrastrukturę. Te konta są cenne dla atakujących właśnie dlatego, co potrafią zrobić, i z tego samego powodu są groźne w niepowołanych rękach.

Gartner definiuje narzędzia PAM jako rozwiązania dające podwyższony dostęp techniczny poprzez zarządzanie i ochronę kont, danych uwierzytelniających oraz poleceń używanych do administrowania systemami lub ich konfigurowania. Tam, gdzie IAM pyta „kim jest ta osoba i do czego może sięgnąć", PAM zadaje ostrzejsze pytanie o mniejszą grupę: „to konto jest niebezpieczne, więc jak upewnić się, że jest używane ostrożnie, przez właściwą osobę, w odpowiednim momencie i z zapisem tego, co się wydarzyło".

PAM zwykle opiera się na kilku podstawowych kontrolach:

• Skarbiec danych uwierzytelniających. Uprzywilejowane hasła, klucze i sekrety trzymane są w zabezpieczonym skarbcu i rotowane automatycznie, zamiast być znane pojedynczym osobom albo zapisane w skryptach. Ludzie wypożyczają dostęp, gdy go potrzebują, zamiast trzymać hasło na stałe.
• Monitorowanie i nagrywanie sesji. Gdy konto uprzywilejowane jest używane, sesję można monitorować i nagrywać, co zostawia ślad do przejrzenia, dokładnie pokazujący, co zrobił administrator.
• Podnoszenie uprawnień just-in-time. Zamiast trzymać uprawnienia administracyjne przez cały czas, użytkownik prosi o podwyższony dostęp do konkretnego zadania i na ograniczone okno czasowe. Dostęp jest nadawany, gdy jest potrzebny, i odbierany po fakcie, co skraca czas, w którym konto jest faktycznie uprzywilejowane.
• Zarządzanie sekretami dla kont maszynowych. Dane uwierzytelniające, których aplikacje, obciążenia (workloady) i automatyzacje używają do komunikacji między sobą, są chronione i rotowane z taką samą dyscypliną, ponieważ często mają duże uprawnienia i rzadko ktoś zwraca na nie uwagę.

Gartner grupuje je w klasy, w tym zarządzanie kontami uprzywilejowanymi i sesjami (skarbiec i monitorowanie), zarządzanie podnoszeniem i delegowaniem uprawnień (just-in-time) oraz zarządzanie sekretami (konta maszynowe). Same etykiety mają mniejsze znaczenie niż leżąca u ich podstaw idea: stosować znacznie ostrzejsze traktowanie wobec kont, które mogą wyrządzić największą szkodę.

Dlaczego PAM to warstwa nałożona na IAM

Najprościej wyobrazić sobie tę relację jako koncentryczny zasięg. IAM to zewnętrzny pierścień, który obejmuje każdą tożsamość. PAM to wewnętrzny pierścień, owijający ściślejszymi kontrolami niewielki podzbiór tych tożsamości, które są uprzywilejowane.

PAM zależy od tego, że IAM już istnieje. PAM nie tworzy tożsamości, nie obsługuje single sign-on ani nie zarządza dołączaniem i odejściami w całej firmie. Zakłada, że IAM już to robi, i skupia się na wzmacnianiu najbardziej ryzykownych kont w tej populacji. Konto uprzywilejowane wciąż jest tożsamością, którą IAM tworzy, uwierzytelnia i w końcu usuwa. PAM dokłada do tego cyklu życia skarbiec, monitorowanie i podnoszenie uprawnień just-in-time dla kont, które na to zasługują.

Dlatego traktowanie IAM i PAM jak konkurentów prowadzi do nieporozumień. To dwie odpowiedzi na różne pytania. IAM odpowiada na pytanie „jak zarządzać całym dostępem w kontrolowany sposób". PAM odpowiada na pytanie „jak zastosować dodatkową rygorystyczność wobec garstki kont, które mogłyby spowodować katastrofalne szkody". Firma może mieć IAM bez PAM, zarządzając wszystkimi jednolicie i akceptując pewne stałe ryzyko administracyjne. Firma nie może w sensowny sposób mieć PAM bez IAM, bo PAM bez leżącego u podstaw zarządzania tożsamością chroni kilka najcenniejszych kont, podczas gdy reszta majątku pozostaje bez zarządzania.

Ta wewnętrzna warstwa istnieje, bo konta uprzywilejowane są celem nieproporcjonalnie częstym. Większość poważnych włamań w pewnym momencie wiąże się z tym, że atakujący zdobywa dostęp uprzywilejowany albo eskaluje do niego, bo to on zamienia przyczółek w kontrolę. Stałe prawa administracyjne, współdzielone hasła administratorów i zapomniane konta serwisowe to dokładnie te warunki, które ułatwiają taką eskalację, a PAM to zestaw kontroli zaprojektowanych, by je wyeliminować.

Kiedy dobre IAM plus MFA wystarczy

Dla dużej części firm mid-market najbardziej wartościową pracą jest najpierw dopięcie IAM i wdrożenie silnego uwierzytelniania wieloskładnikowego wszędzie, zanim dojdzie dedykowany produkt PAM. Sięganie po PAM, gdy podstawy kuleją, zwykle rozwiązuje niewłaściwy problem.

Dobre IAM z MFA to często rozsądny punkt zatrzymania, gdy:

• Liczba kont uprzywilejowanych jest mała i znana. Garstka administratorów, każdy jako imiennie nazwana osoba, bez współdzielonych ani anonimowych loginów administracyjnych.
• Dostęp administracyjny jest już zakresowany i przeglądany. Uprawnienia administracyjne odpowiadają aktualnym rolom, zasada least privilege jest faktycznie stosowana, a przeglądy dostępów naprawdę usuwają to, co nie jest już potrzebne.
• MFA obejmuje ścieżki administracyjne. Każde uprzywilejowane logowanie, zwłaszcza do dostawców tożsamości, konsol chmurowych i infrastruktury, jest chronione uwierzytelnianiem wieloskładnikowym odpornym na phishing.
• Nie ma wymogu regulacyjnego ani kontraktowego, który wprost wymagałby nagrywania sesji uprzywilejowanych, skarbca danych uwierzytelniających czy kontroli just-in-time.

W takiej sytuacji krańcowa ochrona z pełnego wdrożenia PAM jest często skromna względem wysiłku, a te same godziny zwykle lepiej wydać na domykanie luk w IAM: usuwanie kont osieroconych, zaostrzanie deprovisioningu i doprowadzenie pokrycia MFA do stanu faktycznie kompletnego. Solidna higiena IAM załatwia dużą część tego, co ma powstrzymywać PAM.

Kiedy firma potrzebuje PAM

Argument za dedykowanym PAM zyskuje na sile, gdy dostęp uprzywilejowany robi się coraz trudniejszy do ogarnięcia samą dyscypliną. Sygnały, że dobre IAM i MFA już nie wystarczają, to między innymi:

• Rosnąca populacja kont uprzywilejowanych. Gdy infrastruktura i zespoły rosną, liczba administratorów, kont serwisowych i tożsamości zautomatyzowanych z podwyższonymi uprawnieniami przekracza to, co da się śledzić w arkuszu kalkulacyjnym.
• Współdzielone albo stałe dane uwierzytelniające administratorów. Hasła administracyjne znane kilku osobom albo konta trzymające podwyższone uprawnienia na stałe to dokładnie ta ekspozycja, którą skarbiec i podnoszenie uprawnień just-in-time mają eliminować.
• Wrażliwe systemy, gdzie jedno nadużyte konto administracyjne to poważny incydent. Systemy finansowe, magazyny danych klientów i infrastruktura produkcyjna podnoszą koszt każdego przejęcia konta uprzywilejowanego.
• Wymóg udowodnienia, co zrobili administratorzy. Regulacje, audyty i kwestionariusze ubezpieczeń cybernetycznych coraz częściej wymagają dowodu, że sesje uprzywilejowane są kontrolowane i możliwe do przejrzenia, co trudno spełnić bez monitorowania sesji i skarbca.
• Wiele uprzywilejowanych tożsamości maszynowych. Konta serwisowe i dane uwierzytelniające automatyzacji, które cicho trzymają istotne uprawnienia i rzadko są rotowane, to częsta martwa strefa, którą adresuje zarządzanie sekretami.

Gdy kilka z tych warunków jest spełnionych, zarządzanie dostępem uprzywilejowanym za pomocą dobrych chęci i arkuszy przestaje się skalować, a ustrukturyzowane kontrole, jakie daje PAM, stają się praktycznym sposobem na utrzymanie najbardziej niebezpiecznych kont pod kontrolą.

Tabela porównawcza

• Zakres · IAM (zarządzanie tożsamością i dostępem): Wszystkie tożsamości: pracownicy, kontraktorzy, konta serwisowe · PAM (zarządzanie dostępem uprzywilejowanym): Podzbiór kont z podwyższonymi uprawnieniami o dużym wpływie
• Kluczowe pytanie · IAM (zarządzanie tożsamością i dostępem): Kim jest ta osoba i do czego powinna mieć dostęp? · PAM (zarządzanie dostępem uprzywilejowanym): To konto jest niebezpieczne, więc jak używać go bezpiecznie i z rozliczalnością?
• Typowe kontrole · IAM (zarządzanie tożsamością i dostępem): Provisioning, uwierzytelnianie, SSO, role, least privilege, przeglądy dostępów · PAM (zarządzanie dostępem uprzywilejowanym): Skarbiec danych uwierzytelniających, monitorowanie sesji, podnoszenie uprawnień just-in-time, zarządzanie sekretami
• Kogo obejmuje · IAM (zarządzanie tożsamością i dostępem): Każdego, kto ma tożsamość w twoich systemach · PAM (zarządzanie dostępem uprzywilejowanym): Administratorów, konta root i domenowe, uprzywilejowane konta serwisowe
• Relacja · IAM (zarządzanie tożsamością i dostępem): Szeroki fundament · PAM (zarządzanie dostępem uprzywilejowanym): Wyspecjalizowana warstwa nałożona na IAM
• Co daje samo w sobie · IAM (zarządzanie tożsamością i dostępem): Zarządza całym majątkiem tożsamości, przy pewnym stałym ryzyku administracyjnym · PAM (zarządzanie dostępem uprzywilejowanym): Wzmacnia kilka kont, ale zakłada, że pod spodem istnieje IAM
• Sygnał dojrzałości · IAM (zarządzanie tożsamością i dostępem): Potrzebuje tego niemal każda organizacja · PAM (zarządzanie dostępem uprzywilejowanym): Potrzebne, gdy konta uprzywilejowane rosną liczbą, wrażliwością albo skalą kontroli

Źródła

• NIST, Identity and Access Management · https://www.nist.gov/identity-and-access-management (IAM zapewnia, że właściwi ludzie i rzeczy mają właściwy dostęp do właściwych zasobów we właściwym czasie)
• NIST CSRC Glossary, identity and access management · https://csrc.nist.gov/glossary/term/identity_and_access_management (standardowa definicja IAM ze słownika)
• CISA i NSA, wytyczne Identity and Access Management · https://www.cisa.gov/news-events/alerts/2023/03/21/cisa-and-nsa-release-enduring-security-framework-guidance-identity-and-access-management (IAM jako zestaw procesów, polityk i technologii do zarządzania tożsamościami cyfrowymi)
• Gartner Peer Insights, rynek Privileged Access Management · https://www.gartner.com/reviews/market/privileged-access-management (PAM daje podwyższony dostęp techniczny przez zarządzanie i ochronę kont, danych uwierzytelniających i poleceń; klasy narzędzi PAM)
• NIST SP 800-53 Rev. 5, least privilege (AC-6) · https://csrc.nist.gov/glossary/term/least_privilege (zasada, że dostęp jest ograniczony do tego, czego wymaga rola)