La elevación de privilegios es un acceso exclusivo y por tiempo limitado que los equipos de TI conceden a los usuarios estándar que normalmente no tienen permisos para acceder a recursos críticos de la empresa. En resumen, en lugar de otorgar privilegios permanentes o continuos, la elevación de privilegios otorga acceso limitado a ciertos activos empresariales por un periodo específico.
Por ejemplo, los empleados que necesiten acceder a recursos fuera de su ámbito necesitarán una elevación de privilegios basada en el tiempo para realizar las tareas pertinentes. De este modo se garantiza que solo puedan acceder a las zonas autorizadas cuando se les designe, sin tener que asumir controles innecesarios. La delegación de acceso basada en las necesidades evita que se concedan permisos excesivos y refuerza la seguridad de TI de la organización.
Los ataques de escalamiento de privilegios se producen cuando un intruso malicioso intenta acceder ilícitamente a los recursos de la empresa. Las cuentas huérfanas o que tienen privilegios elevados de forma permanente permiten a estos usuarios acceder a la información confidencial de una empresa y realizar acciones maliciosas como la exfiltración de datos.
En un escenario empresarial, los ataques de escalamiento de privilegios toman el control de las funcionalidades de acceso al sistema de forma progresiva de las siguientes maneras:
El escalamiento de privilegios horizontal se concede para dar acceso a funcionalidades entre los mismos niveles de rol. Permite a un usuario hacerse pasar por otro, mientras ambos tienen el mismo nivel de privilegios. Por ejemplo, si un empleado inicia sesión en el sistema de otro empleado utilizando credenciales robadas, puede acceder a la información confidencial de dicho usuario, como contraseñas, archivos o incluso a las redes de las que forma parte.
El escalamiento de privilegios vertical permite a los usuarios no administrativos acceder a las funcionalidades de los usuarios administrativos. Por ejemplo, un nuevo empleado que intenta acceder al portal del administrador del sistema de la organización requiere una elevación de privilegios a un área administrativa a la que normalmente no tendría acceso.
Incorporar la gestión de la delegación y elevación de privilegios en un flujo de trabajo empresarial agiliza las estrategias de elevación de privilegios, ya que permite que se concedan privilegios controlados a los usuarios y ayuda a establecer un modelo eficaz de confianza cero.
La PEDM es una parte de la gestión de acceso privilegiado (PAM), que está diseñada para dar a usuarios no administrativos privilegios temporales y detallados con base en sus requisitos.
Al aprovechar la PEDM, los equipos de TI pueden garantizar que el acceso a cuentas y recursos privilegiados se puede otorgar solo cuando la necesidad surja. Esta función detallada, cuando se integra con los sistemas de PAM, mitiga el riesgo de exposición accidental de cuentas y contraseñas, lo que previene el movimiento lateral de los atacantes e intrusos maliciosos mediante las rutas privilegiada de una empresa.
Mientras que las soluciones para la gestión de cuentas y sesiones privilegiadas (PASM) aplican el principio de mínimo privilegio (POLP) para suministrar acceso temporal a credenciales privilegiadas mediante sus bóvedas de contraseñas digitales, pueden dar acceso únicamente en función de "todo o nada". En estos casos, se dará a los usuarios cuentas administrativas temporales, también conocidas como cuentas efímeras, que les da acceso completo a los sistemas deseados, incluyendo aplicaciones y servicios que no necesitan o a los que no deberían tener acceso. Si luego se comparten estas cuentas efímeras con más usuarios o, mucho peor, quedan comprometidas, cualquier atacante podría obtener control completo del sistema deseado.
Otorgar a los usuarios mayores privilegios y un acceso permanente a las cuentas críticas introduce importantes riesgos de seguridad. Incluso mediante una exposición accidental, dichos privilegios permanentes podrían dar a los atacantes acceso a los recursos más valiosos de una organización. Además, si estos usuarios comparten sus credenciales en texto plano o sus contraseñas se ven comprometidas, es probable que ofrezcan control completo de sus privilegios a atacantes que podrían permanecen sin ser detectados con las medidas de seguridad tradicionales. La PEDM ayuda a resolver este problema al permitir que usuarios y aplicaciones accedan a información privilegiada usando un método basado en tiempo y en solicitud.
Al implementar soluciones de PEDM, se otorga el acceso a la información por un tiempo estipulado sobre la base de la validación de sus requisitos; estos privilegios se revocan luego de dicho tiempo. Este modelo termina con dar a los usuarios privilegios permanentes, lo cual es un vector de abuso.
Si los usuarios requieren mayores privilegios para acceder a sistemas y aplicaciones críticos, deben enviar solicitudes de elevación de privilegios a los administradores. Los administradores revisarán y validarán estas solicitudes y luego se otorgará la elevación de privilegios a los usuarios por un periodo limitado. A esto se le llama gestión de acceso privilegiado justo a tiempo (JIT PAM), donde se otorgan privilegios temporalmente con base en los méritos de las solicitudes.
La PEDM normalmente se implementa usando una solución de PAM. Por ejemplo, los administradores pueden otorgarle acceso a la base de datos a un usuario por un periodo estipulado y pueden deshabilitar cualquier acción crítica, como cambiar contraseñas, eliminar y editar, con el fin de evitar modificaciones no autorizadas a la base de datos. Además, a este usuario se le dará solo acceso de vista básico, que se le revocará luego del periodo solicitado. Las credenciales para dichos activos críticos se rotarán subsecuentemente utilizando el módulo de PAM para garantizar que no haya intentos de acceso no autorizado en el futuro.
La PEDM permite a los equipos de TI aplicar privilegios detallados con base en la validez de la solicitud de un usuario. Las organizaciones pueden mejorar la postura de seguridad de su acceso privilegiado al imponer limitaciones integradas y requisitos basados en tiempo cuando se den mayores privilegios asociados con ciertas aplicaciones, sistemas, scripts y procesos. Realizar la elevación de privilegios con controles tan detallados permite a los equipos de TI integrar el principio de mínimos privilegios para dar a los usuarios no administrativos solo los privilegios necesarios para realizar sus actividades.
Una relación cooperativa entre la PEDM, los mínimos privilegios y la PAM puede reducir significativamente el riesgo de los privilegios permanentes y del abuso de credenciales por parte de atacantes externos y de intrusos maliciosos. Ya que los privilegios se otorgan a nivel detallado, los administradores temporales no obtienen acceso completo a sus sistemas deseados, lo que evita que los atacantes obtengan control sobre los datos críticos.
La PEDM también permite a los usuarios solicitar roles personalizados que mejor se ajusten a sus requisitos de acceso privilegiado. Las solicitudes de elevación de autoservicio se validan con base en criterios predeterminados, lo que aprueba automáticamente el aprovisionamiento justo a tiempo. Adicionalmente, la PEDM ayuda a las organizaciones a satisfacer requisitos de cumplimiento, ya que usualmente estos incluyen funciones de monitoreo, auditoría e informes de sesiones.
La ventaja clave de emplear la PEDM es que reduce la superficie de ataque de las organizaciones al limitar el número de cuentas y sesiones de usuarios privilegiados. Esto les deja a los criminales cibernéticos menos vectores vulnerables para explotar.
Incluir controles de delegación y elevación de privilegios en su estrategia PAM implica un enfoque de seis fases.
Identifique y elimine los privilegios permanentes y las cuentas de usuario con privilegios excesivos. Implemente políticas de elevación de privilegios a nivel aplicación, servicio y dispositivo en lugar de a nivel usuario. Esto también incluye separar las cuentas administrativas de las de usuarios regulares.
Asigne privilegios predeterminados para las cuentas de usuario, que idealmente deberían ser los menos posibles. Este paso garantiza que se eliminan privilegios administrativos locales innecesarios y que los usuarios humanos e identidades de equipos solo tengan privilegios de acceso justo a tiempo para realizar sus tareas designadas.
Proteja el acceso a credenciales administrativas usando una bóveda protegida (un módulo inherente en las soluciones de PASM). Rote estas contraseñas periódicamente y luego de cada uso para invalidar cualquier credencial comprometida. Además, monitoree continuamente todas las sesiones y actividades privilegiadas para detectar y terminar proactivamente todo comportamiento sospechoso.
Permita que los usuarios accedan a sistemas críticos temporalmente. Eleve los privilegios por una cantidad específica de tiempo con base en la validez de sus requisitos, monitoree sus sesiones en tiempo real, revoque su acceso y rote las credenciales tras la expiración de la sesión con el fin de evitar cualquier acceso no autorizado en el futuro.
Monitoree y registre las actividades y sesiones privilegiadas, y busque actividades sospechosas, como configuraciones de red recientemente añadidas o intentos fallidos de inicio de sesión, que se realizaron sin una previa autorización. Aproveche la correlación de logs según el contexto para estudiar los patrones de comportamiento de los usuarios y tome decisiones de seguridad con base en los datos.
Revise los privilegios regularmente para garantizar que las cuentas de usuarios solo tienen la cantidad mínima designada de privilegios. Revoque cualquier privilegio excesivo y elimine las cuentas inactivas para eliminar los eslabones más débiles.
PEDM es un verdadero cambio de juego en la esfera de la PAM, y los reguladores y líderes de la industria ahora están pujando por ella como una estrategia de referencia para el control de acceso. Una de las mayores ventajas de incluir la PEDM en su estrategia de PAM es la prevención proactiva de atacantes internos y externos mediante una efectiva gestión de privilegios. Con controles adicionales como la implementación de mínimos privilegios, la PEDM funciona a nivel aplicación y proceso en lugar de a nivel usuario, lo que facilita a los administradores tomar control completo y detallado de las cuentas y recursos privilegiados.
Para obtener más información sobre cómo ManageEngine PAM360 aprovecha los controles de acceso privilegiado justo a tiempo para proteger sus cuentas locales y de dominio en Windows, siéntase libre de solicitar una versión de demostración que le dará un entendimiento práctico.
Proteja y gestione sus cuentas y privilegios de usuarios efectivamente con ManageEngine PAM360.