Если назрел вопрос автоматизации управления доступом и ощущается неопределенность в том, какие задачи требуется закрыть в первую очередь и какими средствами это лучше сделать, предлагаем разобраться в возможных вариантах.

• IdM — для автоматизации бизнес-процессов управления правами доступа.
• IAM — для аутентификации в системы.
• PAM — для контроля и фиксации действий привилегированных пользователей (администраторов) в системах.

IdM обеспечивает следующие функции:

• Управление жизненным циклом учетных записей и прав доступа в целевых системах (в соответствии с ролевыми моделями). IdM получает информацию из кадровой системы и автоматически изменяет доступ и атрибуты пользователей при приеме, переводе, увольнении и подобном.
• Автоматизация создания, согласования и исполнения заявок. IdM предоставляет специализированный портал, позволяющий запросить и согласовать предоставление прав доступа в целевые системы, регистрацию внешних пользователей и технологических УЗ, сброс паролей. Согласованные заявки исполняются автоматически.
• Автоматизация контрольных процедур. IdM обеспечивает процессы пересмотра прав доступа, хранит информацию о том, кто, когда и почему права получил, обнаруживает несогласованные права доступа.

IdM — это всегда про бизнес-процессы, их аудит и проектирование. При правильном подходе к проекту команда внедрения проводит серьезный аудит действующих в компании бизнес-процессов, после чего проектирует целевые процессы управления доступом и настраивает их в IdM-системе. Единственная из трех названных систем, которую едва ли получится успешно внедрить без участия бизнес-аналитика в проекте.

Какие проблемы действительно закрывает IdM?

• Сотрудники простаивают в ожидании необходимых прав доступа в системы при приеме на работу или переводе.
• Администраторы систем перегружены задачами по управлению правами доступа.
• После увольнения сотрудников не все учетные записи блокируются.
• У сотрудников накапливаются избыточные права доступа.
• В системах обнаруживаются бесхозные учетные записи (в том числе сервисные УЗ без владельцев).
• В компании нет единого источника данных о пользователях-подрядчиках и их правах доступа, состав и срок действия полномочий плохо контролируются.
• В компании нет единого источника данных о правах доступа пользователей, аудит доступа занимает слишком много времени.

Что НЕ входит в основные функции IdM?

• Аутентификация пользователей (это IAM).
• Контроль сессий привилегированных пользователей (это PAM).
• Обнаружение неактивных учетных записей (в большинстве случаев это IAM).
• Управление паролями привилегированных УЗ (это PAM).
• Управление тонкими правами внутри целевых систем.

Основная задача IAM: контроль аутентификации и авторизации пользователей при доступе в информационные системы.

IAM обеспечивает следующие основные функции:

• Сквозная аутентификация (Single Sign-On — SSO). Благодаря SSO можно пройти аутентификацию один раз, а затем получать доступ к защищенным ресурсам без необходимости повторно вводить учетные данные.
• Многофакторная аутентификация. В рамках обеспечения доступа к информационным системам в IAM настраиваются сценарии аутентификации с помощью различных факторов и методов. IAM, как правило, содержат в своем составе широкий набор методов аутентификации. Если же в компании уже функционирует решение по многофакторной аутентификации, например, для обеспечения доступа к VPN, то IAM может быть интегрирован с данным решением, используя его функционал при контроле доступа в системы.
• Авторизация. В случае успешной аутентификации IAM проверяет наличие у пользователя необходимых прав доступа для входа в конкретную информационную систему. Если соответствующих прав нет, IAM отказывает во входе.

Помимо вышеперечисленного IAM обеспечивает дополнительный функционал:

• Адаптивная аутентификация. Сценарий аутентификации может автоматически адаптироваться исходя из критериев. Примером таких критериев могут служить:
  • атрибуты пользователя;
  • время доступа;
  • геолокация пользователя.
• Аудит. IAM хранит информацию обо всех попытках входа пользователей в информационные системы. Эти события безопасности могут передаваться в SIEM организации и использоваться в рамках общего мониторинга информационной безопасности.
• Восстановление доступа. IAM дает возможность пользователям самостоятельно восстанавливать пароли в централизованном хранилище (например, в корпоративном LDAP-каталоге) без привлечения службы технической поддержки. IAM позволяет при восстановлении доступа более достоверно определить, что доступ восстанавливает именно владелец учетной записи, а не мошенник. Для этого IAM использует имеющиеся в его наборе методы аутентификации (например, код на SMS или TOTP-код на мобильное приложение и подобное).
• Управление сессиями. IAM хранит информацию о наличии сессии пользователей в информационных системах. IAM автоматически следит за длительностью сессии, а также позволяет администраторам в случае необходимости прервать сессию пользователя, принуждая его повторно пройти аутентификацию.

Особняком стоит вопрос, где организовать сброс пароля при наличии в компании IAM- и IdM-систем. IAM восстанавливает пароль в централизованном хранилище пользователей (LDAP-каталоге), так как далее вход в прикладные ИС не потребует ввода пароля. При этом IAM предоставляет self-service для сброса пароля персональных доменных УЗ с использованием различных методов аутентификации (например, код на SMS или TOTP-код на мобильное приложение и прочее). IdM же позволяет восстанавливать пароль для всех ИС, в которых он управляет учетными записями, но с условиями. В отличие от процесса в IAM, для восстановления доступа в домен через IdM пользователю придется обратиться за помощью к тому, кто может зайти в IdM и запросить для него сброс пароля. Но если доступ в домен у пользователя есть и ему требуется сбросить пароль от какой-либо дополнительной УЗ, это он может сделать самостоятельно в личном кабинете IdM. За смену паролей привилегированных УЗ отвечает система PAM.

Какие проблемы закрывает IAM?

• Сотрудникам необходимо запоминать большое количество паролей.
• Сотрудники используют одинаковые пароли, либо хранят их на видном месте.
• Служба ТП загружена запросами на восстановление доступа.
• Необходимо обеспечивать доступ к системам компании для внешних партнеров или с помощью внешних систем (соцсети, банки, Госуслуги).
• Нужен контроль доступа в информационные системы на основе контекста (геолокация, устройство, время).
• Необходим аудит доступа пользователей в системы (кто, куда и с какого устройства зашел).

Что НЕ входит в основные задачи IAM?

• Управление учетными записями и правами доступа в ИС (это IdM).
• Контроль сессий и управление паролями привилегированных УЗ в ИС (это PAM).
• Автоматический вход в приложения под привилегированными УЗ (это PAM).

Система PAM предназначена для контроля и управления доступом администрирующего персонала и внешних подрядчиков с повышенными привилегиями (далее — привилегированные пользователи) к информационным системам Заказчика.

Основные задачи PAM:

• Регистрация действий привилегированных пользователей, подключающихся к ИС с использованием привилегированных УЗ.
• Предотвращение несанкционированного доступа к привилегированным УЗ.
• Обеспечение аутентификации для доступа администраторов к ИС с использованием привилегированных УЗ.

PAM обеспечивает следующий функционал:

• Контроль сессий привилегированных пользователей до компонентов ИС.
• Ограничение действий привилегированных пользователей в сессии, например, настройка запрещенных команд, доступ к локальным дискам, буферу обмена, настройка направлений для передачи файлов и прочее.
• Ограничение сессий привилегированных пользователей по времени, Source IP, по максимальному количеству подключений, по длительности сессии и прочее.
• Управление паролями привилегированных УЗ.
• Создание видеозаписи, снимков экрана и текстового лога сессий привилегированных пользователей.
• Поведенческий анализ действий привилегированных пользователей.

Какие проблемы закрывает PAM?

• Отсутствует доказательная база для расследования инцидентов.
• Не выполняется своевременная смена паролей, используются слабые пароли привилегированных УЗ.
• Отсутствует персонификация действий привилегированных пользователей в ИС при использовании общих привилегированных УЗ.
• Необходимо ограничение доступа к серверам ИС под привилегированными УЗ на основе времени или Source IP.
• Необходимо ограничение действий в сессии привилегированного доступа — реагирование на запрещенные команды, блокировка буфера обмена, проброс дискового пространства и подобное.
• Не выстроен контроль согласования привилегированного доступа или доступа к паролям привилегированных УЗ.

Что НЕ является основной задачей PAM?

• Аутентификация рядовых пользователей в приложениях ИС (IAM).
• Сброс паролей пользовательских УЗ (IdM, IAM).
• Управление жизненным циклом привилегированных УЗ (то есть их создание, изменение, блокировка и прочее) (IdM).
• Предоставление доступа привилегированным УЗ к компонентам ИС на уровне доменных групп или ИС (это выполняется вручную администратором или на уровне IdM).

Пользовательский доступ:

Привилегированный доступ:

Помимо различий в функциональности и назначении систем, различаются, конечно, и подходы к внедрению, сложность и сроки. Так, IdM внедряется 10–30 месяцев, IAM — 6–10 месяцев, PAM — 6–12 месяцев.

К задаче автоматизации управления доступом как таковой большинство компаний приходит уже при существенном уровне зрелости процессов ИБ и немалой численности персонала. Но следующий шаг в сторону максимальной эффективности и безопасности — выстраивание единой системы управления доступом, совместное использование систем. Исходя из нашего опыта, в таких комплексных проектах внедрения IdM, IAM и PAM можно выделить несколько типовых сценариев их интеграции.

IdM –> IAM: IdM создает учетные записи в каталоге. IAM читает из каталога логин, пароль и группы доступа учетной записи и аутентифицирует пользователя в управляемой системе. На основании членства пользователя в группе каталога IAM сможет провести авторизацию доступа в ИС: разрешить или запретить вход.

IdM –> PAM: управление жизненным циклом привилегированной УЗ и назначенными на нее правами доступа в ИС.

IAM –> PAM: IAM может выступать как точка входа для аутентификации привилегированных пользователей и администраторов системы PAM в веб-интерфейсе PAM (SSO + MFA).

Универсального ответа на этот вопрос нет. Можно пойти поэтапным путем и сначала внедрить IAM для идентификации и аутентификации пользователей. IAM в сравнении с IdM позволяет показать «быстрые победы» при меньших объемах пользователей. В зрелых компаниях можно запараллелить проекты или начать с IdM, чтобы сперва навести порядок в учетных записях и правах доступа. Так или иначе, эти темы граничат друг с другом. PAM можно внедрять независимо от наличия IdM/IAM.

Экспертная помощь на этапе анализа требований позволит сделать правильный выбор в конкретной ситуации, сэкономить ресурсы и обойти грабли.

IdM, IAM и PAM — это три разных инструмента для разных задач. Рынок сложился таким образом, что полноценного универсального решения «3 в 1» или даже «2 в 1» на сегодняшний день не существует. Надежда решить все проблемы одной системой приведет, скорее, к покупке сырого решения, не отличающегося необходимой гибкостью. К выбору стоит подходить внимательно, опираясь на конкретные бизнес-задачи, требования безопасности и зрелость процессов.

Если фокус направлен на снижение трудозатрат, ручное управление доступом, обеспечение своевременного предоставления и отзыва доступа, исключение бесхозных учетных записей и избыточных полномочий — грамотное внедрение IdM с этим поможет.

Если необходимо решить проблему множества логинов и паролей, контролировать доступ в приложения, сделать вход в них более удобным для пользователей — это обеспечит IAM.

Если необходимы контроль сессий администраторов, автоматизация управления паролями привилегированных УЗ для повышения их надежности, а также их сокрытие от администраторов — это позволит реализовать PAM.