Кто заменит PAM в проактивной защите?

Хотя IAM-/IDM-платформы обеспечивают централизованное управление учетными записями, правами входа и реализуют продвинутые сценарии аутентификации, они мало влияют на действия пользователей (в том числе привилегированных), выполняемые после входа в систему. С другой стороны, практические реализации SIEM не всегда обладают достаточным контекстом для точного выявления угроз в действиях привилегированных пользователей и могут быть существенно ограничены в возможностях оперативного реагирования на обнаруженные инциденты. Системы класса PAM как раз создают последний рубеж защиты — централизованный механизм для подключений с расширенными правами, продвинутые механизмы контроля в реальном времени, в идеале — работая совместно с SIEM и IAM.

Все дело в том, что без глубокого анализа привилегированных сессий, реализованного в PAM, остается слепая зона в своевременном понимании намерений пользователя. Анализ видео- или текстовых записей сессий может оказаться трудоемким делом, на практике реализуемым только в ситуациях, связанных с разбором уже состоявшихся инцидентов, уже реализованных угроз. Интеллектуальный анализ сессий усиливает PAM.

Разработанная компанией Avanpost система SmartPAM обрабатывает не только сырые записи, но и семантически размеченные данные, выявляя в сессиях опасные события (вместо отдельных команд!) или даже их цепочки.

Детекция событий в сочетании с гибко настраиваемыми пользовательскими правилами, политиками выявления угроз и вариантами реагирования обеспечивает избирательное и точно настраиваемое обнаружение и пресечение нежелательных или опасных действий привилегированных пользователей. Достигается возможность учитывать, что одни и те же операции, выполняемые над различными объектами либо на различных управляемых ресурсах, могут в одних случаях быть маркерами угроз, тогда как в других — являться частью нормальной эксплуатации.

Опционально устанавливаемые агенты обеспечивают SmartPAM дополнительным контекстом о происходящем как в привилегированных сессиях, так и на защищаемых ресурсах в целом. С их помощью можно, например, выявлять сессии, установленные в обход PAM, отслеживать запуск процессов и фиксировать другие важные события, связанные с действиями привилегированных пользователей и представляющие интерес с точки зрения анализа и проактивного предотвращения угроз.

Реализуемая на базе ИИ аналитика поведенческих аномалий (UBA) в SmartPAM строит портрет нормальной рабочей активности: время входа, частоту и характер команд, самые распространенные хосты и пр. При отклонении от модели система автоматически помечает сессию для дополнительного аудита, прерывает ее в проактивном режиме или реализует другую из доступных реакций (например, уведомление ответственных либо блокирование пользователя). Такой интеллектуальный подход блокирует атаки нулевого дня и инсайдерские угрозы до того, как они перерастут в серьезный инцидент.