Privileged Access Management (PAM) и Just-in-Time (JIT)

Минимизиране на постоянните административни права чрез временно, одобрено и проследимо elevation.

Приоритет P0свързана с 12 атаки

Какво е

Минимизиране на постоянните административни права чрез временно, одобрено и проследимо elevation.

Как работи

Потребителят работи като normal user. Администраторски права се активират само при конкретна задача и за ограничено време.

Примерен admin workflow

Системният администратор чете email и работи ежедневно с normal account. Когато трябва да промени firewall policy, заявява privileged role за 45 минути, минава phishing-resistant MFA и approval, а сесията се записва.

Така compromise на ежедневния му mailbox не дава автоматично permanent admin privileges.

Как се проваля PAM на практика

Всички администратори имат permanent Global Admin „за удобство“.
PAM account-ът се използва за web browsing.
Break-glass account-ите никога не се проверяват и имат остарели credentials.
Service accounts остават извън модела и всъщност държат най-много права.

Нива

Минимално: отделни admin и user accounts.
Добро: JIT/JEA, approval и MFA.
Зряло: hardened admin workstations, session recording, time-bound elevation, automated entitlement review.

Практическа имплементация

Separate admin identities.
No email/web browsing от admin accounts.
JIT elevation.
Session recording за критични системи.
Approval/workflow за high-impact actions.
Break-glass accounts с отделен контрол.

Какво НЕ решава

Не спира exploitation на самия PAM слой или злоупотреба от легитимно одобрен администратор.

Предпазва най-силно от

Add/Modify Authentication Method · Exploitation, persistence и attack-chain техники
Create Account for Persistence · Exploitation, persistence и attack-chain техники
Credential dumping · Пароли, идентичност, MFA и account takeover
DCSync · Пароли, идентичност, MFA и account takeover
Golden Ticket · Пароли, идентичност, MFA и account takeover
Kerberoasting · Пароли, идентичност, MFA и account takeover
Lateral Movement via Remote Services · Exploitation, persistence и attack-chain техники
Local Privilege Escalation (LPE) · Exploitation, persistence и attack-chain техники
Pass-the-Hash (PtH) · Пароли, идентичност, MFA и account takeover
Pass-the-Ticket (PtT) · Пароли, идентичност, MFA и account takeover
Privilege Abuse · Insider, физически атаки и removable media
Privilege escalation through IAM misconfiguration · Пароли, идентичност, MFA и account takeover