Współdzielone konta administracyjne

czym to jest

Współdzielone konto administracyjne to jeden zestaw danych uwierzytelniających, nazwa użytkownika i hasło, posiadany i używany przez wiele osób. Konto ma podwyższone uprawnienia: dostęp administracyjny do konsoli chmurowej, dostęp root do serwera, uprawnienia superużytkownika w platformie SaaS.

Takie rozwiązanie jest częste w mniejszych zespołach IT i środowiskach, które rosły szybko bez formalizowania struktur dostępu. Jest praktyczne w danym momencie. Jedno hasło do zarządzania, nie trzeba nikogo prowizjonować, każdy, kto potrzebuje dostępu, go ma.

Problemy pojawiają się, gdy coś idzie nie tak, gdy ktoś odchodzi albo gdy audytor zadaje proste pytanie.

dlaczego się gromadzi

Współdzielone konta administracyjne często zaczynają się jako wygoda, która nigdy nie została sformalizowana. Zespół IT zakłada wspólne konto „admin", żeby coś uruchomić. Z czasem kilka osób poznaje hasło. Nikt nie zmienia tej praktyki, bo nikt nie jest za nią konkretnie odpowiedzialny.

W środowiskach bez narzędzi do zarządzania dostępem uprzywilejowanym nadanie poszczególnym osobom własnych kont administracyjnych wymaga prowizjonowania, deprowizjonowania i zarządzania uprawnieniami dla każdej osoby. Współdzielenie jednego konta omija to wszystko.

Konto trwa też dlatego, że jego usunięcie wymaga migracji. Przejście na indywidualne konta oznacza najpierw ustalenie, co robi wspólne konto, potem prowizjonowanie alternatyw, potem testowanie, że nic się nie psuje. Ta praca zostaje odłożona.

co to kosztuje

Najbardziej bezpośrednim kosztem jest utrata odpowiedzialności. Każde działanie podjęte pod wspólnym kontem jest przypisywane samemu kontu, podczas gdy osoba stojąca za nim w danym momencie pozostaje niewidoczna. Jeśli coś zmienia się w Twoim środowisku i trzeba zrozumieć, co się stało i kiedy, log audytowy mówi, że zrobiło to wspólne konto. Nie mówi nic o tym, kto go w tym momencie używał.

Drugi problem to offboarding. Gdy jedna z osób znających hasło wspólnego konta odchodzi, jedyną bezpieczną reakcją jest zmiana hasła. Oznacza to przerwanie pracy wszystkim innym, którzy go używają, aktualizację każdego miejsca, gdzie jest przechowywane, i nadzieję, że odchodząca osoba go nie zapisała ani nie przechowuje gdzieś, do czego wciąż ma dostęp.

Trzeci problem to ryzyko ekspozycji danych uwierzytelniających. Hasło znane wielu osobom ma więcej dróg do ekspozycji niż hasło znane jednej. Każda osoba, która je zna, stanowi powierzchnię: swoje prywatne urządzenia, swoje menedżery haseł, swoje notatki.

Frameworki compliance adresują to wprost. Kontrole SOC 2 wymagają indywidualnej odpowiedzialności za dostęp. ISO 27001 adresuje kontrole uwierzytelniania z oczekiwaniem indywidualnych identyfikatorów użytkowników. Współdzielenie danych uwierzytelniających podważa oba te wymagania.

co działa

Współdzielone konta ukrywają się na widoku, a szukanie opiera się na nazwach i przypisaniu. Wpisy w katalogu, których wyświetlana nazwa lub opis sugeruje współdzielone użycie, razem z kontami w konsolach chmurowych, platformach infrastrukturalnych i panelach administracyjnych SaaS, które nie odpowiadają żadnej konkretnej osobie, tworzą listę kandydatów. Zanim cokolwiek się zmieni, każde konto potrzebuje obrazu użycia: kto od niego zależy i do czego, bo ścieżka migracji wynika bezpośrednio z bieżących zależności.

Struktura zastępcza to indywidualne konta administracyjne: jedno na osobę, która faktycznie potrzebuje dostępu, każde z własnymi danymi uwierzytelniającymi, każde zawężone do uprawnień, jakich wymaga praca danej osoby, co jest często węższe niż ogólne uprawnienia wspólnego konta. Indywidualne konta poprawiają sytuację tylko wtedy, gdy są właściwie chronione, a na kontach administracyjnych oznacza to MFA bez wyjątku. MFA blokuje ponad 99,2% ataków na przejęcie kont (Microsoft).

Wycofanie wspólnego konta stosuje tę samą logikę „najpierw wyłącz", która obowiązuje przy każdym usuwaniu konta. Gdy wszyscy przejdą na nowe konta, wspólne zostaje wyłączone, nie usunięte, a środowisko jest obserwowane pod kątem tego, co po cichu od niego zależało: zaplanowane zadanie, integracja, skrypt z zaszytymi na stałe danymi uwierzytelniającymi. Po zdefiniowanym okresie ciszy bez żadnych awarii usunięcie jest bezpieczne. Migracja kosztuje trochę koordynacji, a trwale odkupuje trzy rzeczy, które oddało współdzielenie: przypisanie każdego działania, czysty offboarding i dane uwierzytelniające, które może wyeksponować tylko jedna osoba.