Privilegovaný prístup označuje oprávnenia, ktoré idú nad rámec bežnej práce: správa serverov, domény, databáz, sieťových prvkov či cloudového tenantu. Majú ho administrátori, ale aj servisné účty aplikácií, dodávatelia s vzdialeným prístupom alebo automatizačné skripty.

PAM (Privileged Access Management) je súbor procesov a nástrojov, ktoré takýto prístup obmedzujú na nevyhnutné minimum, prideľujú ho len na čas, keď je potrebný, a zaznamenávajú, kto čo urobil.

Prečo sú privilegované účty najcennejším cieľom

Útočník, ktorý získa bežný účet, má obmedzené možnosti. S administrátorským účtom však môže vypnúť ochranu, zmazať zálohy, rozšíriť ransomware na všetky servery alebo vyniesť dáta. Laterálny pohyb v sieti preto zvyčajne smeruje práve k privilegovaným identitám. Typické slabiny sú účty doménových administrátorov používané na bežný e-mail, zdieľané heslá, servisné účty s heslom, ktoré sa roky nemenilo, a prístupy bývalých dodávateľov.

Základné princípy PAM

  • Minimálne oprávnenia – každý dostane len to, čo na danú úlohu potrebuje.
  • Oddelené účty – administrátor má na bežnú prácu iný účet ako na správu.
  • Prístup na čas (just-in-time) – rola sa aktivuje na schválený čas a potom sama zanikne, napríklad cez Privileged Identity Management v Entra ID.
  • Trezor hesiel a rotácia – heslá privilegovaných a lokálnych administrátorských účtov sa uchovávajú centrálne a pravidelne menia.
  • Vrstvenie (tiering) – účty na správu domény sa neprihlasujú na bežné pracovné stanice.
  • Záznam a dohľad – logovanie privilegovaných relácií a ich vyhodnocovanie, napríklad v SIEM.

Ako začať v praxi

Prvým krokom je inventúra: kto má aké privilegované práva, v ktorých skupinách a prečo. V Active Directory býva členov privilegovaných skupín výrazne viac, než je potrebné, často vplyvom vnorených skupín a historického delegovania. Potom nasleduje upratanie, zavedenie MFA pre všetky administrátorské prístupy a postupné nasadzovanie technických nástrojov PAM. Prístup dodávateľov by mal mať jasného vlastníka a dátum ukončenia.

Posúdenie privilegovaných účtov a delegovania práv je súčasťou analýzy AD a Entra ID, ktorú opisuje článok o systematickom posilňovaní kybernetickej odolnosti.

Časté otázky

Potrebuje aj menšia firma PAM?

Princípy áno, drahý nástroj nie vždy. Oddelené admin účty, MFA, rotácia hesiel lokálnych administrátorov a pravidelná revízia členstva v skupinách sú dostupné aj bez veľkých investícií.

Ako súvisí PAM s identity governance?

Identity governance rieši životný cyklus všetkých prístupov, PAM sa sústreďuje na tie najrizikovejšie. V dobrej praxi sa oba prístupy dopĺňajú.

Ak chcete zistiť, kto má vo vašom prostredí kľúče od kráľovstva, ozvite sa PosAm a dohodnite si jednorazové posúdenie identít.