Mejores prácticas de Privileged Access Management

Privileged Access Management (PAM)

Las mejores prácticas para Privileged Access Management (PAM) se han desarrollado con el tiempo para mejorar la seguridad. Tradicionalmente, las organizaciones mantenían docenas o incluso cientos de cuentas privilegiadas para permitir que los administradores completaran tareas esenciales. Estas credenciales privilegiadas representan un grave riesgo de seguridad porque pueden ser mal utilizadas por sus propietarios o tomadas por atacantes.

Para reducir el riesgo, las herramientas de Privileged Access Management (PAM) inicialmente se centraron en bloquear esas cuentas utilizando técnicas como bóvedas de credenciales, lo que resultó en luchas de gestión complejas y sin fin. El moderno Privileged Access Management adopta un enfoque completamente diferente: reemplazar los privilegios permanentes con privilegios just-in-time que proporcionan el acceso justo necesario para realizar una tarea específica, solo por el tiempo requerido. Esta estrategia reduce drásticamente los riesgos de seguridad y la sobrecarga de gestión al mismo tiempo.

Mejores prácticas para Traditional Privileged Account Management

Las organizaciones que siguen el enfoque tradicional para Privileged Access Management (PAM) necesitan implementar muchas de las mejores prácticas para intentar asegurar sus numerosas cuentas privilegiadas, incluyendo las siguientes:

• Mantenga un inventario de todas las cuentas privilegiadas. El inventario debe identificar al propietario de cada cuenta privilegiada, su información de contacto y sus ubicaciones principales en la oficina, así como todos los derechos de acceso que tiene la cuenta. Asegúrese de incluir todos los siguientes tipos de cuentas:
  • Todos los miembros de grupos poderosos de Active Directory como Domain Admins y Enterprise Admins
  • Todas las cuentas de root para servidores "*nix"
  • Todos los administradores de sistemas para sus sistemas de mainframe, bases de datos y aplicaciones clave
  • Todos los administradores de sistema para dispositivos de red como cortafuegos, enrutadores y conmutadores telefónicos
  • Todas las cuentas de servicio que tienen acceso elevado a datos, recursos e infraestructura
  • Cuentas privilegiadas más allá de su firewall, incluyendo aquellas asociadas con redes sociales, aplicaciones SaaS, socios, contratistas y clientes
  • Cuentas privilegiadas basadas en la nube, como aquellas para gestionar Microsoft Entra (anteriormente Azure Active Directory)
• Revise regularmente los derechos de acceso privilegiado. Mantenga su inventario de cuentas privilegiadas actualizado revisándolo al menos una vez al mes. Elimine rápidamente cualquier cuenta privilegiada innecesaria y cualquier permiso innecesario para las cuentas que permanezcan, y documente todos los cambios en detalle.
• No permita que los administradores compartan cuentas. Esta mejor práctica de Privileged Access Management hace que los administradores sean responsables de sus acciones al asignar una cuenta privilegiada separada a cada individuo. Utilice la cuenta de administrador predeterminada, root y cuentas similares solo cuando sea absolutamente necesario; es mejor renombrarlas o deshabilitarlas.
• Minimice la cantidad de cuentas privilegiadas. Idealmente, cada administrador debería tener solo una cuenta privilegiada para todos los sistemas.
• Cree una política de contraseñas y hágala cumplir estrictamente.Siga las mejores prácticas de contraseñas, incluyendo las siguientes:
  • Cambie la contraseña en cada dispositivo para no utilizar una contraseña predeterminada o temporal.
  • Evite usar contraseñas codificadas de forma fija en aplicaciones y dispositivos.
  • Exija que las contraseñas de las cuentas privilegiadas se cambien regularmente para reducir el riesgo de que los empleados que se van comprometan sus sistemas.
• Requiere autenticación multifactor (MFA) para cuentas privilegiadas. Las opciones incluyen tokens físicos, tokens blandos, autenticación/aprobación mediante notificación push, balizas Bluetooth de comunicación de campo cercano, información de GPS/ubicación y huellas dactilares. Una contraseña sola no es suficiente.
• Limite los permisos para cada cuenta privilegiada.No pocas cuentas privilegiadas deben tener acceso completo a todo. Más bien, para minimizar el riesgo, debe hacer cumplir ambos de los siguientes principios clave:
  • Separación de funciones: Ningún empleado puede realizar todas las acciones privilegiadas para un sistema o aplicación dado. Esto garantiza que ninguna persona tenga todo el poder.
  • Privilegio mínimo: A cada usuario solo se le otorgan los privilegios estrictamente necesarios para realizar su trabajo. Esto limita el daño que cualquier usuario puede causar, ya sea de manera deliberada o accidental, así como el poder que un atacante obtendría al comprometer la cuenta.

Estrategias útiles para limitar permisos incluyen delegar permisos en Active Directory y configurar control de acceso basado en roles (RBAC) para cada sistema que utilices.

• Utilice las mejores prácticas de elevación de privilegios. Cuando los usuarios necesitan derechos de acceso adicionales, deben seguir un proceso documentado de solicitud y aprobación, ya sea en papel o utilizando un ticket en un sistema de Privileged Access Management. Tras la aprobación, eleve los privilegios del usuario solo por el período de tiempo requerido para realizar la tarea especificada. De manera similar, un administrador de TI debe usar su cuenta privilegiada solo cuando necesite sus permisos elevados para una tarea específica; de lo contrario, debe usar su cuenta regular.
• Registre toda actividad privilegiada. Para reducir el riesgo de violaciones de datos costosas y tiempos de inactividad, esté atento a las acciones que realizan los usuarios privilegiados utilizando una variedad de técnicas de registro y monitoreo. Active el registro para firewalls, herramientas de control de acceso a la red y otros sistemas que limitan el acceso a los sistemas, especialmente sistemas críticos como su sistema de detección de intrusiones (IDS) y la solución de Identity and Access Management (IAM). También debe habilitar el registro del sistema para eventos de inicio/cierre de sesión y otras acciones que realicen los usuarios privilegiados.
• Implemente el monitoreo de actividades privilegiadas y las alertas. También necesita monitoreo en tiempo real de la actividad del usuario privilegiado y la capacidad de alertar a los miembros del personal apropiados sobre acciones críticas. Crear estas alertas requiere que la información en los registros sea clara y comprensible; esto no está disponible de forma nativa para muchas plataformas informáticas, pero puede obtener esta información de software de auditoría de TI de terceros.
• Analice el riesgo de cada usuario privilegiado.Evalúe regularmente el riesgo que representa cada usuario privilegiado y concéntrese primero en investigar y asegurar las cuentas más riesgosas.
• Eduque a los usuarios. Todos — no solo los administradores, sino todos los usuarios — deben saber cómo gestionar y utilizar correctamente las credenciales privilegiadas. Proporcione a su personal la información que necesitan para tener éxito y asegúrese de actualizarlos sobre las políticas y procedimientos relevantes cada vez que haya un cambio en sus responsabilidades.
• Documente sus políticas y prácticas de gestión de cuentas.Por último, pero no menos importante, asegúrese de que sus reglas y procesos estén explícitamente escritos y firmados por el equipo de gestión para que todo sea claro y aplicable. Esto es especialmente importante cuando el cumplimiento normativo está en juego.

Privileged Access Management moderno

Seguir rigurosamente todas estas mejores prácticas para docenas o cientos de cuentas privilegiadas es un gran desafío. Además, incluso si logras alcanzar este objetivo, todavía te queda una amplia superficie de ataque, ya que cada cuenta privilegiada que existe corre el riesgo de ser tomada por un atacante o ser mal utilizada por su propietario.

Ingrese a la gestión de acceso privilegiado de tercera generación. Este enfoque moderno implica las siguientes prácticas:

• Aplique el principio de cero privilegios permanentes (ZSP).Siempre que sea posible, reemplace los privilegios permanentes por privilegios otorgados justo a tiempo para proporcionar el acceso justo y necesario para realizar la tarea en cuestión y retire los privilegios inmediatamente después. ZSP minimiza el riesgo de que las credenciales privilegiadas sean mal utilizadas por personas internas o comprometidas por atacantes.
• Implemente aprobaciones para solicitudes de sesiones privilegiadas. Para las tareas más críticas, debe haber un flujo de trabajo de aprobación en el cual la solicitud de sesión privilegiada debe ser aprobada o denegada por el personal adecuado. Con la solución de Privileged Access Management adecuada, puede establecer fácilmente un flujo de trabajo que sea efectivo y conveniente.
• Mantenga un registro de auditoría y grabaciones para todas las sesiones privilegiadas. Las organizaciones necesitan rastrear todas las acciones que realizan los administradores. Algunas soluciones modernas de Privileged Access Management (PAM) proporcionan tanto el monitoreo en tiempo real de la actividad del usuario privilegiado como capacidades de grabación y reproducción de sesiones.

Próximo paso: Reduzca su superficie de ataque con la solución Netwrix Privileged Access Management

La solución de Privileged Access Management de Netwrix te ayuda a proteger tus datos sensibles y sistemas críticos y cumplir con las regulaciones de la industria y el gobierno. Te permite reemplazar fácilmente tus privilegios permanentes de alto riesgo con privilegios just-in-time que proporcionan el acceso justo y necesario para la tarea en cuestión, sin afectar la productividad del administrador. Puedes establecer rápidamente flujos de trabajo de solicitud/aprobación que facilitan la consecución de Zero Standing Privilege de manera fácil y conveniente. Además, la solución PAM de Netwrix mantiene un registro detallado de toda la actividad de las cuentas privilegiadas, te alerta inmediatamente sobre comportamientos sospechosos para que puedas responder con rapidez y permite la reproducción fácil de sesiones privilegiadas grabadas para facilitar investigaciones y hacer cumplir la responsabilidad.

De manera más amplia, la solución de Privileged Access Management (PAM) de Netwrix es fácil de implementar y usar, con una interfaz amigable y tableros personalizables. Y es escalable para satisfacer las necesidades de su organización hoy y en el futuro, allanando el camino para una seguridad estricta.