特権アカウントとは、非常に幅広い権限でシステムへのアクセスを許可するアカウントです。 たとえば、Unixではroot、WindowsではAdministratorです。 設定するホームルーターのログインとパスワードも特権アカウントです。 要するに、これらはそのようなアカウントであり、それを使用して、システムまたはデバイスで（ほぼ）何でも実行できます。 情報やシステム操作パラメーターに完全にアクセスする機会を提供するため、「王国の鍵」と呼ばれることもあります。 特権アクセスを使用すると、便利なことをしたり、有害なことをしたりできます。 すべては、いつものように、誰がそれをどのような目的で行うかに依存します。
管理する理由
3台のコンピューター、1つのルーター、退屈な管理者がいる場合、特別な管理は必要ありません。 特権的なアクセス制御の必要性は、大規模な企業（銀行、保険会社など）で通常発生します。大企業は、広範な顧客ベースを持っています。 そのような企業の情報システムは、財務データと個人データを管理しますが、その仕事は、彼ら自身の合意を手放すのは危険です。 組織内のプロセスが満たさなければならない要件の一部を説明する規制文書があります。 特に、次のことを確認することが重要です。
- システムに誰がいつアクセスできるかを正確に理解する
- 特定の時点で誰がシステムにアクセスしていたのか、彼がそこで何をしていたのか、そしてその理由についての情報を取得する能力
これはすべて、主に、何かが突然起こった場合に報告会の準備をするために必要です。
重要な点-これらの質問に対する答えは、有罪を見つけるだけでなく、特定の人々の関与を証明することも可能にします。
たとえば、電話番号、住所などを含む銀行の顧客のデータベースがネットワークに漏洩しました。 理論的には、いつでもベースにアクセスできる管理者が10人います。 ログは、管理者アカウントの誰かがログインしてデータベースをバックアップしたことを示しています。 しかし、これが正確に誰であったかは不明です。 さらに、明示的なアクセス制御がない場合、これが10人の管理者の1人であると言うのは安全ではありません。 結局のところ、他の誰かが会話を盗聴したり、紙の上で見たり、単にそれを拾ったりしてパスワードを見つけることができました。
したがって、特権アクセスを制御する必要があるかどうかの問題が発生しないことを望みます。
もう一つ質問があります。
管理方法
特権アカウントの管理は、通常の個人アカウントの管理とは異なります。
情報システムの各ユーザーには、必要なアクセス権が割り当てられているシステムの個人アカウントが発行されます。 このアカウントを使用してシステムにアクセスするには、パスワードを知っている必要があります。パスワードの管理は、ユーザーの良心にほぼ完全に基づいています。 組織は、必要なレベルの複雑さのパスワードを作成し、指定された間隔で変更することをユーザーに強制するパスワード管理ポリシーを導入することにより、このプロセスに間接的にのみ影響を与えることができます。 ユーザー以外はパスワードを誰も知らないことが想定されているため、プロトコルでフライトを分析するときに名前が点滅する場合は、ユーザーのせいにする必要があります。 彼が何か間違ったことをしたか、パスワードを保護するためにデューデリジェンスを提供しなかったかのいずれかです。 パスワードの盗難に対処するために多要素認証方式が使用されますが、それは別の話です。
特権アカウントでは、状況はわずかに異なります。 特権アカウントの管理は、管理者アカウントで誰がどの時点で正確に、どの時点で働いたかを常に確実に把握できるプロセスの組織に限定されます。 原則として、複数の人が同じアカウントを一度に使用します。 同時に、管理者パスワードを正確に知ることができる人を特定することは非常に困難です。 人々は行き来しますが、パスワードは残ります。 制御を確保するには、システムへのフルアクセス（理論的にも）のすべての瞬間に、最小限の従業員、理想的には誰もいないことが必要です。
したがって、予期しない決定に至ります。特権アカウントからのパスワードは誰にも配布すべきではありません。 従業員は、システムで何かをする必要があるときだけパスワードを受け取ります。 そして、彼が仕事をするとすぐに、パスワードが変わり、他の誰も彼を知りません。 そして彼が知らなければ、彼は理論的にさえも何もできません。 そして、誰もが妥当な時間内にパスワードを取得できないように、難解なもの、暗号的に複雑なものなどに変更します。 管理者用のアリバイが確保されています（上記のデータリークの例を参照）。
実際には、このようなプロセスは通常、管理または自動の2つの方法のいずれかで実装されます。
最初の方法は、管理規則を導入することによる管理です。 同社は、パスワードキーパーとして特別なポジションを導入しました。 彼のタスクには、秘密のロッカーにパスワードを保存し、管理者の要求に応じてパスワードを発行し、特定の時間にこのアカウントで働いた人を後で復元できるようにすべてのイベントをログに記録します。 作業が完了すると、彼はシステムのパスワードを変更し、新しいパスワード（誰も知らない）をロッカーに再び隠します。 このアプローチは、ほとんどアクセスされないシステムに適用できます。 重要なシステムでは、機能を復元するために深夜にすばやく接続する必要がある場合、このアプローチは適用されません-遅すぎます。
システムへのアクセスが多くの従業員によって頻繁に実行され、発生していることに対する制御を失いたくない場合は、特権アクセス制御プロセスを単純かつ簡単にする自動化システムを使用してください。 秘密のロッカーの代わりに、パスワードは安全なデータベースに保存されます。 従業員は、個人アカウントでログインした後、Webインターフェイスを介してパスワードを要求および受信します（保護を強化するために、多要素認証を使用できます）。 作業が完了すると（または一定期間後に）パスワードが自動的に変更され、新しいパスワードがデータベースに書き込まれ、次の使用までそこに置かれます。 管理方法と比較した自動化ソリューションの重要な利点は、監査中に必要なレポートを迅速に作成できることです。
ここでは、実際、特権アカウントの管理について言えることはほとんどすべてです。 結論として、基本的なパスワード管理アクションに加えて、このようなシステムには多くの場合、管理者とセキュリティ担当者の両方の生活を大幅に簡素化する多くの便利な機能があることに注意してください。 たとえば、画面にパスワードを表示せずに、システムへのリモートアクセスを透過的に提供できます。 ユーザーから隠されているシステム自体は、パスワードをリモートコンピューターに送信し、すぐにリモートアクセス画面を開きます。 アクセスパスワードは、セッションが閉じられた直後に変更されます。 リモートアクセスセッションは、ビデオとして自動的に記録できます。 一部のシステムはネットワークをスキャンし、制御する必要があるシステムとアプリケーションを自動的に検出できます。 これらの便利な機能はすべて、メインタスクに便利な追加機能であるアクセス制御です。