ما هو الوصول المميز

في بيئة المؤسسة، الوصول المميز هو مصطلح يستخدم لتعيين وصول خاص أو قدرات تفوق قدرات المستخدم العادي. ويسمح الوصول المميز للمؤسسات بتأمين بنيتها التحتية وتطبيقاتها وتشغيل الأعمال بكفاءة والحفاظ على سرية البيانات الحساسة والبنية التحتية الحيوية.

امتياز الوصول يمكن أن تترافق مع المستخدمين البشريين وكذلك المستخدمين غير البشريين مثل التطبيقات و الهويات الجهاز. حيث يمكن ل (PAM) حل نقاط الضعف الأمنية مثل وصول مستخدمين متعددين ومعرفة نفس كلمة المرور الإدارية لخدمة معينة.

• “PAM” هي اختصار “Privileged Access Management”.

أمثلة على الوصول المميز الذي يستخدمه البشر

• حساب المستخدم المتميز: حساب قوي يستخدمه مسؤولو نظام تكنولوجيا المعلومات ويمكن استخدامه لعمل تكوينات لنظام أو تطبيق أو إضافة مستخدمين أو إزالتهم أو حذف البيانات.

• الحساب الإداري للمجال: حساب يوفر وصولاً إداريًا متميزًا عبر جميع محطات العمل والخوادم داخل مجال الشبكة. وعادةً ما تكون هذه الحسابات قليلة العدد، ولكنها توفر الوصول الأكثر شمولاً وقوة عبر الشبكة.

• حساب إداري محلي: يقع هذا الحساب على نقطة نهاية أو محطة عمل ويستخدم مجموعة من اسم المستخدم وكلمة المرور. ويساعد الأشخاص في الوصول إلى أجهزتهم أو أجهزتهم المحلية وإجراء تغييرات عليها.

• مفتاح غلاف مأخذ التوصيل الآمن (SSH): تستخدم مفاتيح (SSH) بكثرة بروتوكولات التحكم في الوصول التي توفر وصولاً مباشرًا إلى الجذر للأنظمة الهامة. والجذر هو اسم المستخدم أو الحساب الذي بشكل افتراضي، لديه حق الوصول إلى جميع الأوامر والملفات على (Linux) أو نظام تشغيل آخر يشبه (Unix).

• حساب الطوارئ: يوفر هذا الحساب للمستخدمين حق الوصول المطلق إلى أنظمة آمنة في حالة الطوارئ. ويشار إليه أحيانًا باسم حساب (Firecall).

• مستخدم الأعمال المميز: هو شخص يعمل خارج مجال تكنولوجيا المعلومات، ولكن لديه حق الوصول إلى الأنظمة الحساسة. ويمكن أن يشمل ذلك شخصًا يحتاج إلى الوصول إلى التمويل أو الموارد البشرية (HR) أو أنظمة التسويق.

أمثلة على الوصول ذي الامتيازات غير البشرية

• حساب التطبيق: حساب مميز خاص ببرنامج التطبيق ويستخدم عادةً لإدارة الوصول إلى البرنامج التطبيقي أو تكوينه أو إدارته.

• حساب الخدمة: حساب يستخدمه تطبيق أو خدمة للتفاعل مع نظام التشغيل. وتستخدم الخدمات هذه الحسابات للوصول إلى نظام التشغيل أو التكوين وإجراء تغييرات عليه.

• مفتاح (SSH): تُستخدم مفاتيح (SSH) أيضًا في العمليات الآلية.

أهمية إدارة الوصول المميز PAM

تقوم المنظمات بتطبيق إدارة الوصول المميز (PAM) للحماية من التهديدات التي تشكلها سرقة بيانات الاعتماد وإساءة استخدام الامتيازات.

تعد إدارة الوصول المميز أمرًا حيويًا في أي مؤسسة حيث تشكل الحسابات المميزة خطرًا كبيرًا على المؤسسة. على سبيل المثال، إذا قام أحد الجهات المهددة بخرق حساب مستخدم عادي، فلن يتمكن من الوصول إلا إلى معلومات هذا المستخدم المعين. ومع ذلك، إذا تمكنوا من اختراق مستخدم ذي امتيازات، فسيكون لديهم وصول أكبر بكثير، واعتمادًا على الحساب، قد يكون لديهم حتى القدرة على تخريب الأنظمة.

يشار إليها أحيانًا باسم إدارة الهوية المميزة (PIM) أو أمان الوصول المميز (PAS)، وترتكز (PAM) على مبدأ الامتياز الأقل، حيث لا يتلقى المستخدمون سوى الحد الأدنى من مستويات الوصول المطلوبة لأداء وظائفهم الوظيفية. ويعتبر مبدأ الامتياز الأقل على نطاق واسع من أفضل ممارسات الأمن السيبراني وهو خطوة أساسية في حماية الوصول المتميز إلى البيانات والأصول عالية القيمة. ومن خلال فرض مبدأ الامتياز الأقل، يمكن للمؤسسات تقليل سطح الهجوم وتخفيف المخاطر من المطلعين الضارين أو الهجمات الإلكترونية الخارجية التي يمكن أن تؤدي إلى انتهاكات مكلفة للبيانات.

تحديات إدارة الوصول ذات الامتيازات الرئيسية

تواجه المنظمات عددًا من التحديات في حماية الوصول المتميز والتحكم فيه ومراقبته، بما في ذلك:

• إدارة بيانات اعتماد الحساب: تعتمد العديد من مؤسسات تكنولوجيا المعلومات على العمليات الإدارية المكثفة والمعرضة للخطأ يدويًا لتدوير بيانات الاعتماد المميزة وتحديثها. ولكن هذا يمكن أن يكون نهجا غير فعال ومكلف.

• تتبع النشاط المتميز: لا تستطيع العديد من المؤسسات مراقبة الجلسات المميزة والتحكم فيها مركزيًا، ممّا يعرض الأعمال لتهديدات الأمن السيبراني وانتهاكات الامتثال.

• مراقبة وتحليل التهديدات: تفتقر العديد من المنظمات إلى أدوات تحليل التهديدات الشاملة ولا يمكنها تحديد الأنشطة المشبوهة بشكل استباقي ومعالجة الحوادث الأمنية.

• التحكم في وصول المستخدم المميز: غالبًا ما تكافح المؤسسات للتحكم الفعال في وصول المستخدم المتميز إلى الأنظمة الأساسية السحابية (البنية التحتية كخدمة ومنصة كخدمة)، وتطبيقات البرامج كخدمة (SaaS)، والوسائط الاجتماعية والمزيد، ممّا يؤدي إلى خلق مخاطر الامتثال والتعقيد التشغيلي.

• حماية وحدات التحكم في مجال (Windows): يمكن للمهاجمين عبر الإنترنت استغلال الثغرات الأمنية في بروتوكول مصادقة (Kerberos) لانتحال شخصية المستخدمين المصرح لهم والوصول إلى موارد تكنولوجيا المعلومات الهامة والبيانات السرية.

أفضل ممارسات إدارة الوصول المميز

توفر الخطوات التالية إطارًا لإنشاء ضوابط أساسية في حزب الأصالة والمعاصرة لتعزيز الموقف الأمني ​​للمؤسسة. ويمكن أن يساعد تنفيذ برنامج يستفيد من هذه الخطوات المؤسسات على تحقيق قدر أكبر من الحد من المخاطر في وقت أقل، وحماية سمعة علامتها التجارية، والمساعدة في تلبية الأهداف الأمنية والتنظيمية بموارد داخلية أقل.

• القضاء على هجمات الاستيلاء على الشبكة التي لا رجعة فيها: عزل كل الوصول المميز إلى وحدات التحكم بالمجال وأصول (Tier0 و Tier1) الأخرى، وطلب مصادقة متعددة العوامل.

• التحكم في حسابات البنية التحتية وتأمينها: وضع جميع حسابات البنية التحتية المعروفة في مكان رقمي مُدار مركزيًا. وتدوير كلمات المرور بانتظام وبشكل تلقائي بعد كل استخدام.

• الحد من الحركة الجانبية: إزالة جميع مستخدمي نقطة النهاية تمامًا من مجموعة المسؤولين المحليين على محطات عمل (Windows) لتكنولوجيا المعلومات لإيقاف سرقة بيانات الاعتماد.

• حماية بيانات الاعتماد لتطبيقات الطرف الثالث: جميع الحسابات المميزة التي تستخدمها تطبيقات الجهات الخارجية وإزالة بيانات الاعتماد المشفرة للتطبيقات التجارية الجاهزة.

• إدارة مفاتيح (NIX SSH):  جميع أزواج مفاتيح (SSH) على خوادم إنتاج (Linux و Unix) وتدويرها بشكل روتيني.

• الدفاع عن أسرار (DevOps) في السحابة وفي مكان العمل: تأمين جميع الحسابات والمفاتيح ومفاتيح واجهة برمجة التطبيقات ذات الامتيازات في السحابة العامة. ووضع جميع بيانات الاعتماد والأسرار التي تستخدمها أدوات (CI / CD) مثل (Ansible و Jenkins و Docker) في مكان آمن، ممّا يتيح استرجاعها سريعًا وتدويرها وإدارتها تلقائيًا.

• تأمين مشرفي (SaaS) ومستخدمي الأعمال المميزين: عزل كل الوصول إلى المعرفات المشتركة وطلب مصادقة متعددة العوامل.

• الاستثمار في تمارين الفريق الأحمر الدورية لاختبار الدفاعات: التحقق من صحة وتحسين الفعالية ضد هجمات العالم الحقيقي.