Privileged access is een kwelgeest binnen de informatiebeveiliging. Organisaties hebben te maken met een explosie van privileged accounts en een IT-landschap dat snel verandert; interne en externe teams willen vanaf elke locatie en machine privileged access.
Dit leidt tot hoofdpijn bij menig security manager die de balans moet vinden tussen toegankelijkheid, beschikbaarheid, correctheid en veiligheid van privileged access en bijkomende secrets zoals wachtwoorden, keys en tokens.
Privileged Access Management (PAM) oplossingen zoals gecentraliseerd wachtwoordbeheer, multifactorauthenticatie en sessiemanagers zijn ontzettend populair en zorgen voor een effectief en veilig beheer van privileged access. Ondanks deze kostbare inspanningen zijn gestolen secrets nog steeds een veel voorkomende oorzaak bij gehackte organisaties. Een mogelijke reden hiervoor is dat eerder genoemde PAM-oplossingen het aanvalsoppervlak niet verkleinen. Een privileged account blijft immers een doelwit zolang deze bestaat.
Wanneer een secret van een privileged account ergens is opgeslagen, dan is sprake van ‘standing privileged access’. Dat is een term die aangeeft dat een privileged account bestaat en dus een potentieel doelwit is. Ondanks dat privileged accounts vaak niet meer dan luttele seconden tot een uur gebruikt worden blijven secrets, al dan niet in PAM, opgeslagen. Door secrets te bewaren wordt impliciet vertrouwen gegeven aan privileged access.
Dit impliciete vertrouwen van privileged access is tegen het zere been van Zero Trust: een populaire strategie die het ingebakken vertrouwen in systemen en processen wil elimineren. Om Zero Trust toe te passen op privileged access moet authenticatie dus expliciet vertrouwd worden. Dat betekent dat secrets niet meer bewaard worden en elke inlogpoging opnieuw geauthentiseerd wordt. Dit concept wordt’zero standing access’ genoemd.
Zero standing access refereert aan het ‘least privilege principle’: precies genoeg privileged access voor een taak en goedgekeurd voor een bepaalde tijd. Het doel van zero standing access is om alle privileged access te elimineren.. Praktisch houdt dit in dat er geen wachtwoorden, tokens of keys opgeslagen zijn. Ook niet in PAM. Authenticatie wordt vervangen door ephemeral certificates, oftewel kortstondige certificaten.
Een ephemeral certificate wordt just-in-time uitgegeven door een Certificate Authority (CA) en kan vervolgens gebruikt worden voor authenticatie op een systeem of applicatie. De CA bepaalt op basis van rollen en beveiligingsbeleid zoals gedefinieerd in een Identity and Access Management (IAM) en PAM systeem wanneer, en onder welke voorwaarden, een account een connectie (SSH/RDP/HTTPS) kan maken. Zodra de connectie is gemaakt wordt het certificaat weer verwijderd en zijn er geen secrets meer beschikbaar en dus geen privileged access. Hierdoor is het aanvalsoppervlak verkleind. Een hacker zou een bestaande sessie moeten overnemen om zich toegang te verschaffen.
Zoals eerder benoemd is het belangrijk om een balans te vinden tussen toegankelijkheid, beschikbaarheid, correctheid en veiligheid van privileged access:
Toegankelijkheid: in beide gevallen kan het normale user account worden geauthentiseerd met multifactorauthenticatie voor er privileged access verkregen kan worden. Het eindsysteem waar een connectie naartoe gemaakt wordt moet echter wel ephemeral certificates accepteren. Een inventarisatie en controle op geschiktheid van de infrastructuur is hiervoor nodig.
Beschikbaarheid: in beide gevallen is er een single point of failure. Als de CA of PAM niet naar verwachting functioneert of bereikbaar is, dan kan er in mindere mate privileged access plaatsvinden.
Correctheid: de informatiekwaliteit van een secret in PAM of een ephemeral certificaat van de CA moet honderd procent correct zijn. Een secret in PAM dat niet overeenkomt met een secret op het eindsysteem werkt niet. Dat geldt ook voor een certificaat dat bijvoorbeeld door een misconfiguratie niet vertrouwd wordt. Door de frequentie en aantallen certificaten dat gebruikt wordt voor ephemeral access zal de Public Key Infrastructure (PKI) in hoge mate vertrouwd en geautomatiseerd moeten zijn.
Veiligheid:er zijn geen permanente geheimen beschikbaar in het geval van ephemeral access. Dit verkleint het aanvalsoppervlak drastisch en verlaagt het risico om gehackt te worden significant.
Privileged access draait om secrets zoals wachtwoorden, keys en tokens die altijd beschikbaar moeten zijn. Deze zogenoemde standing access wordt door de beschikbaarheid van secrets impliciet vertrouwd. Dat is niet in lijn met een Zero Trust strategie en het vergroot bovendien het aanvalsoppervlak. Een oplossing hiervoor is geen secrets meer gebruiken en authenticatie via ephemeral certificates te laten plaatsvinden. Dat vereist echter een state-of-the-art PKI-service en een hoge maturiteit in de IT-organisatie
Menu
