Управление учётными записями пользователей
Управление учётными записями пользователей предполагает внедрение и применение политик жизненного цикла учётных записей, включая их создание, изменение и деактивацию. Надлежащее управление учётными записями сокращает поверхность атаки за счёт ограничения несанкционированного доступа, управления привилегиями учётных записей и обеспечения их использования в соответствии с организационными политиками. Данная мера может быть реализована следующими способами: Применение принципа наименьших привилегий - Реализация: назначайте пользователям только минимально необходимые для выполнения должностных обязанностей права доступа. Регулярно проводите аудит учётных записей для выявления избыточных прав. - Сценарий применения: снижает риск повышения привилегий за счёт того, что учётные записи лишены возможности выполнять несанкционированные действия. Внедрение строгих парольных политик - Реализация: устанавливайте требования к сложности паролей (длина, типы символов). Требуйте смены пароля каждые 90 дней и запрещайте повторное использование паролей. - Сценарий применения: предотвращает несанкционированный доступ злоумышленников посредством подбора паролей или атак методом перебора. Управление неактивными и бесхозными учётными записями - Реализация: внедряйте автоматизированные рабочие процессы для отключения учётных записей после определённого периода бездействия (например, 30 дней). Удаляйте бесхозные учётные записи (не имеющие назначенного владельца) в ходе регулярных проверок. - Сценарий применения: устраняет неактивные учётные записи, которые могут быть использованы злоумышленниками. Политики блокировки учётных записей - Реализация: настраивайте пороги блокировки учётных записей (например, блокировка после пяти неудачных попыток входа). Устанавливайте продолжительность блокировки не менее 15 минут. - Сценарий применения: снижает эффективность автоматизированных техник атак, основанных на многократных попытках входа. Многофакторная аутентификация (МФА) для учётных записей повышенного риска - Реализация: требуйте МФА для всех административных учётных записей и пользователей повышенного риска. Используйте механизмы МФА — аппаратные токены, приложения-аутентификаторы или биометрию. - Сценарий применения: предотвращает несанкционированный доступ даже в случае кражи учётных данных. Ограничение интерактивного входа - Реализация: ограничивайте интерактивный вход для привилегированных учётных записей конкретными защищёнными системами или консолями управления. Применяйте групповые политики для принудительного применения ограничений входа. - Сценарий применения: защищает чувствительные учётные записи от злоупотреблений или эксплуатации. *Инструменты реализации* Встроенные инструменты: - Microsoft Active Directory (AD): централизованное управление учётными записями и применение RBAC. - Объект групповой политики (GPO): применение парольных политик, ограничений входа и политик блокировки учётных записей. Инструменты управления идентификацией и доступом (IAM): - Okta: централизованное управление пользователями, МФА и интеграция SSO. - Microsoft Azure Active Directory: расширенное управление жизненным циклом учётных записей, доступ на основе ролей и политики условного доступа. Управление привилегированными учётными записями (PAM): - CyberArk, BeyondTrust, Thycotic: управление и мониторинг привилегированного доступа, принудительная запись сессий и доступ по принципу JIT.