Con Privileged Access Management (PAM) si intende la componente dell’Identity and Access Management che si occupa di proteggere, controllare, monitorare e gestire le attività privilegiate sulle risorse IT.
Si parla talvolta anche di Privileged Account Management (ancora PAM), Privileged Identity Management (PIM) o anche di Privileged User Management (PUM). Pur con alcune sottili differenze fra una dicitura e l’altra, con tali terminologie si intende di solito lo stesso concetto.
Generalmente, la dicitura Privileged Access Management è la più comune e sarà anche quella utilizzata qui.
Indice degli argomenti
Controllo degli accessi e Privileged Access Management
In un precedente articolo abbiamo già affrontato il tema delle problematiche e degli strumenti relativi alla gestione delle identità e al controllo degli accessi, focalizzandomi sul fatto che l’implementazione di sistemi di Identity and Access Management (IAM), e, ancor più, quelli di Identity and Account Governance (IAG), siano misure principalmente organizzative e procedurali e solo secondariamente tecnologiche, e di come l’adozione di questi strumenti impatti l’organizzazione di tutta l’azienda e di tutte le tipologie di sistemi ICT.
Nello stesso articolo è stato introdotto anche il Privileged Access Management (PAM) che è un caso particolare di controllo degli accessi: tema che deve essere affrontato in maniera specifica a causa degli ampi privilegi di accesso assegnati agli account privilegiati, visto che possono accedere ad informazioni critiche anche senza averne necessità dal punto di vista del business.
Questo articolo intende approfondire tale argomento, descrivendo scopi e funzionalità dei processi e degli strumenti di PAM, anche indipendentemente dalla gestione generale delle identità e degli accessi.
Nonostante, come visto, il PAM sia una componente dello IAM e nonostante gli indubbi benefici che una governance matura delle identità possa apportare in termini di efficacia nelle gestione degli accessi privilegiati, il tema del PAM può essere affrontato proficuamente anche in maniera indipendente.
Alcune organizzazioni, che non hanno infatti la maturità per implementare processi di IAM, possono implementare con successo un processo per la gestione degli account e degli accessi privilegiati, supportati da appositi strumenti di PAM, in quanto tale componente richiede uno sforzo organizzativo minore con un minor coinvolgimento funzioni aziendali diverse dall’ICT.
Naturalmente, anche per tali organizzazioni, l’unificazione dei processi di PAM e IAM dovrebbe essere l’obiettivo finale.
Obiettivi dei sistemi di Privileged Access Management
Il tema della gestione degli account e degli accessi privilegiati è affrontato dai principali framework e best practice in tema di sicurezza, come la ISO/IEC 27001, il Cybersecurity Framework del NIST, il Cloud Control Matrix della Cloud Security Alliance (CSA), i Critical Security Controls del Center for Internet Security (CIS): ognuno di tali framework dedica al PAM uno o più controlli.
Il PAM gestisce qualsiasi tipo di risorse, come sistemi operativi, applicazioni, database, dispositivi di rete, script, DevOps, IoT, risorse cloud e così via. Così come avviene per lo IAM, il PAM può utilizzare soluzioni tecnologiche, policy e procedure dedicate che si concentrano sulla gestione dei privilegi in tutti i punti in cui vengono utilizzati. A differenza di quanto avviene nello IAM esistono soluzioni tecnologiche che coprono quasi tutte le esigenze di gestione degli accessi privilegiati, anche se tali soluzioni devono essere sempre integrate in processi ben definiti all’interno dell’organizzazione.
Per le aziende più mature che implementano anche processi di IAM corredati da una soluzione tecnologica, la soluzione di IAM si interfaccia con il PAM gestendo e certificando le identità associate agli account e alle credenziali privilegiati utilizzando una soluzione di Identity Governance integrata.
Le soluzioni di PAM forniscono alle organizzazioni gli strumenti di accesso privilegiato sicuro necessari per proteggere tutte le risorse indipendentemente da dove si trovano e in genere si concentrano sulle risorse critiche contenenti le informazioni e le infrastrutture più sensibili, includendo più componenti per gestire identità, account e credenziali privilegiati, password, certificati e chiavi corrispondenti.
Problematiche nella gestione degli accessi privilegiati
La necessità di adottare un’efficiente strategia di gestione degli accessi privilegiati deriva da alcuni problemi intrinseci che le organizzazioni di ogni tipo e dimensioni si trovano ad affrontare.
Mancanza di visibilità e consapevolezza
Non sempre l’IT aziendale ha la visibilità completa degli account e delle credenziali privilegiati. Spesso gli account privilegiati sono disseminati in sistemi di diverso tipo gestiti da team differenti, ognuno dei quali utilizza il proprio set di credenziali. Diventa quindi difficile tenere traccia di tutte le password, di chi vi ha accesso e di chi le utilizza.
Mancanza di supervisione e verifica
Anche se l’IT fosse in grado di identificare correttamente tutte le credenziali utilizzate, questo non si tradurrebbe nella conoscenza di quali attività vengano effettuate durante le sessioni privilegiate. Il fatto che ad un utente sia stato assegnato un accesso privilegiato non significa che quell’utente sia autorizzato a fare qualsiasi cosa in qualsiasi momento. Spesso i sistemi tengono traccia degli eventi di accesso o disconnessione degli utenti privilegiati, ma non sono in grado di tenere traccia delle attività effettuate e di segnalare attività privilegiate non autorizzate.
Condivisione di account privilegiati
I team IT condividono comunemente credenziali di account privilegiati impersonali (es. utente root per i sistemi Unix, utente administrator per i sistemi Windows, SA per SQL Server, e così via). Con più persone che condividono le credenziali, può essere impossibile imputare le azioni eseguite con un account ad un singolo individuo (identità), rendendo difficile il controllo e l’assegnazione delle responsabilità.
Credenziali hard-coded o incorporate in file di testo
Un altro ambito in cui vengono utilizzate credenziali privilegiate è quello delle comunicazioni e automazione tra app ad app (A2A), da applicazione a database (A2D) e le operazioni di sviluppo (DevOps). Tali credenziali vengono spesso archiviate in file di testo non cifrati, come file di configurazione, script o codice, in maniera non protetta.
Chiavi SSH
Per evitare l’inserimento manuale di credenziali di accesso per l’accesso remoto sicuro ai server, soprattutto quando c’è necessità di automatizzare task che richiedono l’accesso remoto, viene utilizzata l’autenticazione attraverso chiavi SSH. Questa prassi può portare ad un’esplosione incontrollata di chiavi di cui può essere perso il controllo, l’utilizzo della stessa chiave per diversi sistemi, l’utilizzo della stessa chiave SSH da parte di diversi utenti. La compromissione di una chiave può essere utilizzata per l’accesso non autorizzato su uno o più server.
Credenziali privilegiate degli ambienti cloud
Le console amministrative degli ambienti cloud (SaaS, IaaS e PaaS) offrono ampie funzionalità di superuser, consentendo di eseguire operazioni come provisioning, configurazione e cancellazione di server e servizi su vasta scala.
Account di terze parti
Sempre più spesso le organizzazioni si affidano a terze parti esterne per la gestione dei sistemi IT, con la necessità di fornire accessi privilegiati a consulenti e personale di fornitori esterni. L’organizzazione deve quindi assicurarsi che le credenziali loro assegnate siano protette ed utilizzate in modo appropriato, per esempio non vengano utilizzate da più persone oppure bloccando gli account quando un dipendente di un fornitore lascia l’azienda.
Accessi remoti
Sebbene l’accesso remoto non riguardi solo gli account privilegiati, visto il maggior livello di esposizione di tale tipologia di accessi e il conseguente elevato livello di rischio, generalmente tutte le tipologie di accesso remoto vengono trattate nell’ambito della gestione degli accessi privilegiati.
L’accesso remoto presenta livelli di rischio elevati in primo luogo perché può essere potenzialmente sfruttato attraverso Internet da qualsiasi malintenzionato, in secondo luogo perché l’organizzazione che concede l’accesso non ha nessun controllo sul dispositivo utilizzato per l’accesso; il tutto è aggravato dal fatto che le organizzazioni, a causa del sempre maggior utilizzo del lavoro in mobilità e del sempre maggior affidamento su fornitori esterni per svolgere le attività, sono costrette a concedere in maniera crescente l’accesso remoto.
Funzionalità dei sistemi di Privileged Access Management
Secondo la definizione data da Gartner, un sistema PAM viene utilizzato per mitigare il rischio di accesso privilegiato. In altre parole si occupa di account, credenziali e operazioni che offrono un livello di accesso elevato (o “privilegiato”). Gli strumenti PAM sono utilizzati da macchine (software) e da persone che amministrano o configurano i sistemi IT. Una soluzione PAM può essere distribuita come software on-premise, SaaS o appliance hardware.
Vediamo ora quali sono le principali funzionalità di uno strumento di PAM.
Gestione delle password nei sistemi di Privileged Access Management
Si tratta di una delle principali funzionalità di un PAM, che mira a proteggere le password degli account privilegiati evitando che gli utenti debbano memorizzarla o scriverla. Con questa funzionalità è possibile risolvere alcuni dei problemi legati all’utilizzo di account amministrativi non personali, come gli account root e administrator.
Le password gestite vengono conservate crittografate in un vault, una cassaforte virtuale; a seconda delle impostazioni l’utente autorizzato può accedere al sistema finale utilizzando una sessione gestita dal PAM, e quindi non viene a conoscenza della password utilizzata, oppure può richiedere al PAM la password ed utilizzarla per l’accesso al sistema: dopo il suo utilizzo la password viene modificata dal PAM. In entrambi i casi il PAM tiene traccia di chi ha utilizzato la credenziale per l’accesso al sistema finale.
Il PAM deve poter gestire i ruoli in modo che ogni utente possa utilizzare le password per le quali è dotato di autorizzazione, ruotare le password, fornire API e fornire funzionalità di auditing. Il PAM deve essere in grado di gestire le password di un’ampia varietà di sistemi. Il vault diventa naturalmente un sistema molto critico che deve essere protetto adeguatamente e configurato in alta disponibilità. Devono essere inoltre previste e testate delle procedure di emergenza che permettano il recupero delle password in caso di indisponibilità del vault.
Privileged Access Management: gestione dei privilegi minimi
Il principio del minimo privilegio richiede che ogni utente abbia accesso alle sole risorse e/o informazioni necessarie per eseguire il proprio compito. Normalmente nei sistemi esistono utenti normali, con accessi ridotti alle risorse, e utenti amministratori che possono effettuare qualsiasi attività. Poiché molte attività, applicazioni e configurazioni richiedono autorizzazioni più elevate rispetto ad un utente standard, si finisce per concedere privilegi amministrativi più spesso di quanto sarebbe necessario.
I PAM forniscono componenti attraverso i quali è possibile, attraverso agenti in esecuzione sui sistemi gestiti, concedere privilegi specifici agli utenti che accedono. È quindi possibile assegnare criteri e regole attraverso le quali fornire ai comandi, alle applicazioni e alle funzioni di sistema operativo solo le autorizzazioni necessarie ad operare e nulla più, rispettando il principio del minimo privilegio, evitando di fornire accesso privilegiato all’utente finale.
Gestione delle sessioni privilegiate
Un’altra importante funzionalità offerta dai sistemi PAM è la possibilità di avviare e gestire completamente la sessione dell’account privilegiato verso il sistema finale.
La gestione della sessione privilegiata ha le seguenti caratteristiche:
- fornire l’autenticazione avanzata interfacciandosi con i sistemi di autenticazione aziendali (es. Active Directory) e i sistemi di Multi-Factor Authentication; molti PAM possono fornire essi stessi un sistema di MFA che può essere affiancato al sistema aziendale, per esempio per gli utenti esterni;
- lanciare automaticamente una sessione, inserendo automaticamente le credenziali, che non vengono così comunicate all’utente, e gestendo completamente la connessione;
- supportare tutti i principali protocolli per l’accesso remoto: RDP, SSH, VNC e HTTPS;
- cifrare tutte le comunicazioni end-to-end per ogni sessione;
- registrare e documentare tutte le attività svolte per l’auditing real-time o a posteriori.
Accessi remoti sicuri con i sistemi di Privileged Access Management
Come abbiamo visto sopra è bene equiparare la gestione degli accessi remoti alla gestione degli accessi privilegiati.
Un sistema di Privileged Access Management permette di rendere sicuri gli accessi remoti utilizzando tutte le sue funzionalità, come la gestione delle password, la gestione delle sessioni, il monitoraggio delle operazioni eseguite, consentendo così l’accesso point-to-point a risorse aziendali senza necessità di utilizzare VPN o software dedicato.
Accessi application-to-application
Sempre più spesso, con l’affermarsi delle applicazioni basate su micro servizi, le applicazioni hanno necessità di comunicare con altre applicazioni on prem o in cloud, comunicazioni che richiedono quindi la necessità di autenticarsi in maniera automatica. La stessa tipologia di problemi si presenta per la necessità di accesso a database da parte delle applicazioni.
Anche in questo ambito il PAM fornisce funzionalità che permettono di evitare l’archiviazione di credenziali in file di testo o all’interno di script o codice applicativo, gestendo le credenziali applicative ed esponendo API per recuperare le credenziali di autenticazione dell’utente, dell’applicazione, dell’infrastruttura, della soluzione cloud o del database e quindi rilasciare le credenziali al termine della sessione. La password è generata in maniera casuale e tutto il ciclo di vita della password è completamente automatico.
Auditing e reportistica
Tutte le funzionalità analizzate finora sono molto importanti per mitigare tutti i rischi associati ai vettori di attacco privilegiati, ma presi da soli non permettono di identificare eventuali problemi nell’assegnazione degli accessi privilegiati che potrebbero portare ad accessi non autorizzati o ad una violazione dei dati.
Per tale motivo il PAM fornisce componenti che permettono di monitorare e documentare le modifiche, creare report degli eventi e dei permessi di accesso assegnati. Tali componenti permettono di fornire:
- reportistica di regole, criteri e accessi privilegiati basati su ruoli concessi a un determinato account, compresa la documentazione di eventuali modifiche apportate a queste risorse;
- reportistica dettagliata di tutte le attività svolte durante le sessioni complete, come elenco dei comandi eseguiti e degli output mostrati sul terminale, completi di timestamp, oppure video con la registrazione delle sessioni interattive in ambienti grafici;
- reportistica sull’utilizzo e la rotazione delle credenziali;
- reportistica su credenziali e account gestiti e su pianificazione della rotazione per le credenziali e le chiavi gestite;
- monitoraggio dell’integrità di file di configurazione o altri file particolarmente sensibili, in modo da rilevare modifiche non autorizzate;
- documentazione delle applicazioni che richiedono privilegi elevati.
Le funzionalità di auditing e reportistica rappresentano quindi strumenti operativi di supporto alla gestione operativa e al monitoraggio della compliance.
Analytics
In aggiunta alle funzionalità di auditing e reportistica i PAM possono fornire funzionalità di analytics le quali, a partire dall’analisi avanzata delle minacce e del comportamento, permettono di identificare comportamenti sospetti sugli account privilegiati.
Poiché i PAM sono soluzione che possono concedere o negare l’accesso, attraverso gli analytics si possono affiancare all’identificazione anche azioni di contenimento, permettendo di adattare dinamicamente le politiche di accesso e i workflow di approvazione degli accessi.
Aspetti di governance degli accessi privilegiati
Indipendentemente dall’utilizzo o meno di un sistema di Privileged Access Management e dal tipo di sistema utilizzato, la governance del processo di gestione degli accessi privilegiati è focalizzata sulla definizione di politiche e procedure richieste dall’organizzazione per implementare efficacemente il processo, garantendo gli obiettivi di sicurezza all’interno dell’IT operation.
Gli aspetti di governance da considerare nella gestione degli accessi privilegiati sono elencati di seguito.
Politiche di Privileged Access Management
Le politiche definiscono chi deve avere accesso, quando e con quali privilegi. Non tutti gli amministratori devono avere privilegi amministrativi su ogni risorsa, pertanto le policy definiscono tutti gli aspetti della gestione dei privilegi, compresi i criteri e le modalità con cui dovrebbero essere assegnati, revisionati e revocati.
Un’organizzazione matura sfrutta le assegnazioni di ruolo gestite dallo IAM per implementare correttamente la gestione dei privilegi.
Proprietà degli account privilegiati
Poiché ogni identità può avere più account e le identità possono essere associate sia a persone fisiche che ad entità come applicazioni o macchine, occorre definire e documentare chiaramente le proprietà di ogni account e la correlazione tra account ed identità.
Revisione degli account privilegiati
I ruoli all’interno delle organizzazioni cambiano frequentemente, così come cambiano frequentemente le tecnologie, le applicazioni e le risorse. La revisione (riconciliazione) degli account privilegiati ha lo scopo di verificare periodicamente che tutti le proprietà e i privilegi siano quelli appropriati.
Scegliere una soluzione di Privileged Access Management
Per parlare dei criteri di scelta di uno strumento di Privileged Access Management Enterprise, possiamo prendere in considerazione i criteri definiti da Gartner nella valutazione dei sistemi di Privileged Access Management ai fini della redazione del suo “magic quadrant”, qui riportato.
Secondo Gartner le funzionalità principali di un sistema PAM includono:
- discovery di account privilegiati su più sistemi, infrastrutture e applicazioni;
- gestione delle credenziali per gli account privilegiati;
- deposito delle credenziali e controllo dell’accesso agli account privilegiati;
- creazione, gestione, monitoraggio e registrazione di sessioni per l’accesso privilegiato interattivo.
Le funzionalità opzionali di PAM includono:
- delega di accesso ad account privilegiati;
- elevazione controllata dei comandi;
- gestione delle credenziali per applicazioni, servizi e dispositivi;
- automazione delle attività privilegiate (PTA);
- accesso privilegiato remoto per la forza lavoro e gli utenti esterni;
- gestione dei diritti dell’infrastruttura cloud (CIEM).
Sulla direttrice del quadrante della capacità di esecuzione Gartner valuta funzionalità, qualità e documentazione delle diverse componenti dei sistemi PAM analizzati come: la governance degli accessi privilegiati, il discovery e l’onboarding degli account, la gestione delle credenziali e delle sessioni privilegiate, la gestione delle credenziali per gli accessi automatici, le funzionalità di logging e reportistica, l’automazione e orchestrazione di operazioni privilegiate, l’elevazione e delega dei privilegi per Windows e Linux, l’integrazione con altre tipologie di sistemi come Identity Governance, SSO, MFA, SIEM, accessi privilegiati Just in Time, ovvero accesso privilegiato su richiesta.
Oltre a ciò Gartner prende in considerazione la vitalità del produttore, l’abilità del produttore nel rispondere alle sfide del mercato, l’esperienza dei clienti, la visibilità e l’operatività del produttore.
Sulla direttrice del quadrante riguardante la completezza della visione, Gartner prende in considerazione la capacità di comprendere il mercato, la strategia di marketing, di vendita e di offerta, la strategia per i mercati verticali e geografica, il modello di business, l’innovazione.
