Журнал "Information Security/ Информационная безопасность" #1, 2026

Практика показывает, что большинство проблем возникает не из-за злого умысла, а из-за абсолютной уверенности администрато- ра в том, что ситуация нахо- дится под его контролем. Помимо этого, общий аккаунт всегда чреват рас- пространением учетных дан- ных – в заметках, в личных переписках и даже в руках подрядчиков. Дело опять же не в злом умысле – просто людям так удобнее выпол- нять работу. 38 • СПЕЦПРОЕКТ Системы управления привилегированным доступом (PAM, от англ. Privileged Access Man- agement) часто попада- ют в зону сомнений. Фактически такие реше- ния напрямую вмешиваются в рабочие процессы, заставляя перестроить привычную рутину администрирования. Почему нельзя оставить все как есть, если команда небольшая? Зачем контролировать тех, кто и так работает по регламенту? Чем это отличается от уже внед- ренных средств защиты? Давай- те разбираться. Почему нельзя доверять админам? Они же наши сотрудники! Вопрос доверия в данном слу- чае вторичен. Практика пока- зывает, что большинство про- блем возникает не из-за злого умысла, а из-за абсолютной уверенности администратора в том, что ситуация находится под его контролем. Тем не менее срочные исправления, ночные включения и временно открытые доступы (иногда и забытые после работ) никуда не уходят. Через несколько месяцев никто уже не сможет восстановить цепочку измене- ний, а инфраструктура начнет вести себя непредсказуемо. PAM устанавливается не для тотального контроля и не из-за недоверия к сотрудникам – человеческая память и журналы отдельных серверов попросту не образуют единой картины. В определенный момент ком- пании понадобится не вера в специалистов, а воспроизво- димость их действий – и тогда PAM окажется очень кстати. И, говоря откровенно, инсай- дерская угроза будет актуальна всегда: списывать ее со счетов не стоит. Чем плох общий аккаунт администратора на конкретную смену? Это ведь быстрее Да, это очень удобно – не нужно почти никаких согласо- ваний, привычные процессы не ломаются и передача смены проходит быстро и без задер- жек. Общий аккаунт может сильно ускорять работу до тех пор, пока не случится нештатная ситуация. Когда происходят ошибки в работе инфраструк- туры ЦОД, сбои или компроме- тация, становится невозможно отследить ее источник: связь с конкретным человеком уже потеряна. В результате слож- ности будут возникать не только в расследовании инцидентов, но и при обычной эксплуатации системы. Помимо этого, общий аккаунт всегда чреват распро- странением учетных данных – в заметках, в личных перепис- ках и даже в руках подрядчиков. Дело опять же не в злом умысле – просто людям так удобнее выполнять работу. Внедрение PAM не усложнит процедуру входа, но вернет возможность однозначно определять, что происходит и в результате чьих конкретно действий. Формально администратор продолжит рабо- тать от имени root-пользовате- ля, но система будет знать, кто именно стоит за этой сессией. У нас уже есть сетевой экран и антивирус, зачем нам тратить бюджет еще и на PAM? Средства защиты периметра и контроля вредоносного кода решают свои конкретные зада- чи: первые – контролируют сете- вые взаимодействия, вторые – поведение программ. Они рас- считаны на ситуации с попыт- ками несанкционированного входа или запуск вредоносного ПО. В случае, когда вход выпол- няется под действующей учет- ной записью через штатный VPN, никакого нарушения моде- ли угроз таких систем не про- исходит. С точки зрения сети, соединение разрешено, а с точки зрения антивируса, – никаких нареканий тем более нет. В этом сценарии проблема лежит в использовании уже выданных привилегий. И здесь нужны инструменты другого класса, которые контролируют не факт подключения и не код, а сами действия внутри приви- легированной сессии. Сегодня инциденты чаще построены не на обходе защиты, а на исполь- зовании того, что разрешено. Это значит, что, например, команда, выполненная в консо- ли сервера, будет логироваться так же, как повседневная адми- нистраторская работа. Без отдельного уровня контроля все такие действия (изменения в конфигурации, создание новых пользователей, выгрузка дан- ных) будут оставаться легитим- ными по всем внешним призна- кам. PAM не дублирует защиту, он закрывает свой опасный уча- сток, который не распознают другие инструменты. У нас не было ни одного инцидента. Зачем доплачивать, когда все работает четко? Отсутствие проблем не озна- чает, что их нет. Вы можете о них просто не знать. Несанк- Зачем ЦОДу PAM? 7 глупых вопросов перед внедрением ри внедрении кибербезопасности в ЦОДах ключевыми стано- вятся не столько модели угроз, сколько практическая польза, бюджет и риск создания громоздкой надстройки. Руководите- лям важнее понять, какую реальную задачу решит инстру- мент, а не следовать абстрактной теории. П Владимир Алтухов, руководитель технического отдела “АйТи Бастион” Фото: АйТи Бастион