Privilegeret adgangsstyring (PAM)

Privilegeret adgangsstyring (Privileged Access Management, PAM) kontrollerer og overvåger konti med forhøjede rettigheder i IT-systemer. PAM beskytter de konti, der kan forårsage mest skade, hvis de kompromitteres, og er en af de mest effektive sikkerhedsforanstaltninger.

Tilbage til ordbog

Hvad er privilegeret adgangsstyring?

Privilegerede konti er konti med forhøjede rettigheder: domæneadministratorer, root-konti, databaseadministratorer, cloud-administratorer og servicekonti. Disse konti kan ændre konfigurationer, tilgå alle data og kontrollere andre konti. Det gør dem til det primære mål for angribere.

PAM er et sæt teknologier og processer, der sikrer, at privilegerede konti kun bruges af autoriserede personer, kun til godkendte formål, og at al brug logges og overvåges. Det er en udvidelse af identitetsstyring med fokus på de mest kritiske konti.

I en zero trust-arkitektur er PAM afgørende. Princippet om mindst privilegium kræver, at ingen har permanente admin-rettigheder, og at alle privilegerede handlinger verificeres og logges.

PAM-komponenter

En PAM-løsning består typisk af:

Password vault: Centralt opbevaringssted for privilegerede credentials. Passwords roteres automatisk og er aldrig synlige for brugeren i klar tekst.
Session management: Privilegerede sessioner initieres via PAM-platformen, der optager og logger al aktivitet. Det giver fuld audit trail og mulighed for realtids-overvågning.
Just-in-time (JIT) adgang: I stedet for permanente rettigheder tildeles privilegeret adgang midlertidigt via en godkendelsesproces. Rettigheder fjernes automatisk efter en defineret periode.
Privileged threat analytics: Adfærdsanalyse af privilegerede sessioner for at opdage unormal brug, der kan indikere kompromittering.

PAM integreres med multifaktorautentificering (MFA) for stærk autentificering af privilegerede brugere og med SIEM-systemer for centraliseret logning og alarmering.

Best practices

Effektiv privilegeret adgangsstyring følger disse principper:

Inventar over privilegerede konti: Kortlæg alle privilegerede konti, herunder servicekonti og delte konti. Du kan ikke beskytte, hvad du ikke kender til.

Mindst privilegium: Giv kun de rettigheder, der er nødvendige for opgaven. Undgå permanente admin-rettigheder. Brug JIT-adgang, hvor det er muligt.

Adskil konti: IT-administratorer bør have separate konti til dagligt arbejde og administration. Den privilegerede konto bruges kun, når det er nødvendigt.

Automatisk password-rotation: Privilegerede passwords roteres automatisk efter hver brug eller med faste intervaller. Fjerner risikoen for genbrugte eller glemte credentials.

Overvåg og log alt: Alle privilegerede sessioner logges med fuld audit trail. Kombinér med SIEM for at opdage misbrug i realtid.

Husk også servicekonti. De har ofte høje rettigheder, passwords der aldrig roteres, og ingen tilknyttet person. PAM bør dække dem lige så grundigt som menneskelige konti. Sikkerhedsbevidsthed for IT-administratorer er vigtigt, da de er primære mål for social engineering.

Regulativer og standarder

ISO 27001 og Annex A inkluderer kontrol A.8.2 specifikt om privilegerede adgangsrettigheder. Et ISMS skal definere, hvordan privilegerede konti administreres som en del af de tekniske og organisatoriske foranstaltninger.

NIS2 kræver stærk adgangsstyring, og privilegerede konti er det mest kritiske element. DORA stiller specifikt krav til styring af privilegerede konti i finansielle institutioner.

CIS 18 kontrol 5 og 6 adresserer kontostyring og adgangskontrol med særligt fokus på privilegerede konti. Under GDPR er PAM vigtigt for at sikre, at adgang til persondata er begrænset til autoriserede personer.

Ofte stillede spørgsmål om privilegeret adgangsstyring (pam)

Hvad er en privilegeret konto?

En privilegeret konto er en konto med forhøjede rettigheder, der giver adgang til kritiske systemer, data eller konfigurationer. Eksempler: domæneadministratorer, root-konti, databaseadministratorer, cloud-administratorer og servicekonti med høje rettigheder.

Hvad er just-in-time (JIT) adgang?

JIT-adgang giver privilegerede rettigheder kun, når de er nødvendige, og fjerner dem automatisk bagefter. I stedet for permanente admin-rettigheder anmoder brugeren om adgang, der godkendes og tildeles midlertidigt.

Hvorfor er privilegerede konti et primært mål for angribere?

Privilegerede konti giver bred adgang til systemer og data. En kompromitteret admin-konto kan give angriberen kontrol over hele IT-miljøet. De fleste avancerede angreb involverer eskalering til privilegerede konti.