Журнал "Information Security/ Информационная безопасность" #1, 2026

После получения доступа злоумышленник не станет спешить что-то ломать. Напротив, его задача – закрепиться в инфраструк- туре, понять ее устройство и завладеть контролем. Один из недавних приме- ров: кейс аэропорта "Пулко- во" и системы СКДПУ НТ, когда PAM помог сэконо- мить бюджет благодаря мониторингу удаленных под- ключений и возможности контролировать время рабо- ты подрядного специалиста. В небольших инфра- структурах зависимость от конкретных специалистов куда выше, потому что про- изводится много ручных операций. В таком случае система контроля привиле- гий играет роль не столько шлюза входа, сколько меха- низма упорядочивания хао- тичной и ручной работы. ционированные привилегиро- ванные операции не всегда вызывают незамедлительные последствия, обычно это игра в долгую. Ошибка может про- явить себя через месяцы – исходные логи уже исчезли, а сотрудники и подавно не пом- нят, что происходило. Это также распространенный вектор атак. После получения доступа злоумышленник не ста- нет спешить что-то ломать. Напротив, его задача – закре- питься в инфраструктуре, понять ее устройство и завла- деть контролем. Сначала появится дополнительная учет- ная запись, затем доступ к соседним системам, а после – к резервным копиям или систе- ме управления. Каждое такое действие будет выглядеть впол- не легально – как обычная административная операция. Долгое отсутствие инциден- тов иногда свидетельствует не об устойчивости инфраструкту- ры, а лишь об отсутствии ква- лифицированного наблюдателя. Если действия с привилегиями нигде централизованно не фик- сируются, различить штатную эксплуатацию и скрытое при- сутствие практически невоз- можно. Все наши подрядчики работают по договорам с NDA, ограничение их технических возможностей только усложнит работу Подрядчик может быть доб- росовестным, но никто не застрахован от ошибки. Для инфраструктуры нет разницы – подписан NDA или нет. Кроме того, часто подрядные специа- листы работают с личных устройств (вы их не контроли- руете). Поэтому, передавая под- рядчику полный администра- тивный доступ, компания фак- тически расширяет свою дове- ренную зону на абсолютную неизвестную инфраструктуру. Ограничения продукта по контролю доступа не помешают: подрядчик продолжит выпол- нять все необходимые опера- ции, но для нерабочих задач система останется закрытой. К тому же, с помощью PAM очень удобно оценивать эффек- тивность работы специалиста – если сессия активна несколько недель, а реальных действий в ней едва ли на два дня, воз- можно, стоит пересмотреть уро- вень оплаты подрядчика. Один из недавних примеров: кейс аэропорта "Пулково" и системы СКДПУ НТ, когда PAM помог сэкономить бюджет благодаря мониторингу удаленных под- ключений и возможности конт- ролировать время работы под- рядного специалиста 1 . Почему нельзя просто вручную отключить временный доступ подрядчика? Можно и нужно! Но ручное отключение предполагает, что кто-то обязательно должен вспомнить, что это надо сде- лать. На практике временный доступ практически всегда выдается во внештатной ситуа- ции, после завершения которой внимание легко переключается, а отзыв откладывается. А даже если доступ все-таки закрыт, есть много побочных эффектов: ключи, сохраненные пароли, созданные пользовате- ли. Проверить все это вручную довольно сложно, а значит, нужна единая точка контроля. Автоматический отзыв прав по времени или по завершении сессии полностью уберет зави- симость от человеческого фак- тора: доступ исчезнет незави- симо от занятости сотрудников. Система зафиксирует, что после работ не осталось актив- ных привилегированных кана- лов. Такая защита нужна только ЦОДам федерального значения. Зачем нам сложные решения, если у нас маленький ЦОД? От размера площадки зави- сит разве что количество обо- рудования, но характер рисков остается тем же. Даже неболь- шой ЦОД обслуживает критич- ные для бизнеса сервисы, но при этом возможностей для длительного расследования и резерва на случай простоев у него нет. То есть последствия ошибок будут ощущаться рань- ше и больнее. В небольших инфраструктурах зависимость от конкретных специалистов куда выше, потому что про- изводится много ручных опера- ций. В таком случае система контроля привилегий играет роль не столько шлюза входа, сколько механизма упорядочи- вания хаотичной и ручной рабо- ты. Со временем она поможет экономить ресурсы: упростит и ускорит передачу смены, аудит, снизит время поиска причин сбоев и других инцидентов. Для небольших площадок это может быть даже важнее, чем для крупных – для разбора каждого инцидента команды нет, но система поможет сэкономить бюджет на зарплаты. Во всех подобных вопросах есть общая логика: инфраструк- тура в первую очередь строится на человеке и удобстве его работы. Пока система неболь- шая и команда рядом, отсут- ствие внятной воспроизводи- мости процессов почти не ощу- щается. Однако со временем обязательно появятся новые подрядчики, внеурочные смены, одни решения потребуют гло- бальных обновлений, а другие появятся неожиданно из-за оче- редных требований регулято- ров. Количество действий вырастет стремительно, и удер- жать все изменения в голове уже не получится. Основным риском станет не атака извне, а невозможность определить, что происходило внутри. Внедрение PAM – не столько реакция на угрозы, сколько воз- можность их предвосхищать и переходить от устных догово- ренностей к проверяемым и вос- производимым процессам. Без- опасность в этой модели – след- ствие того, что инфраструктура стала понятнее, эффективнее и надежнее. При возникновении вопросов (в том числе и глупых) о приме- нении PAM в центрах обработки данных, вы можете обратиться за консультацией к "АйТи Бастион" – лидирующему про- изводителю PAM-систем в Рос- сии. l • 39 ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ ДЛЯ ЦОД www.itsec.ru АДРЕСА И ТЕЛЕФОНЫ АЙТИ БАСТИОН см. стр. 74 NM Реклама 1 https://globalcio.ru/projects/44647/