راه حل مدرن PAM برای برنامه های بومی ابر به نظر می رسد

مدیریت دسترسی ممتاز (PAM) یک راه حل برای جلوگیری از سوء استفاده از امتیازات و تهدیدات خودی و محدود کردن انتشار بدافزار است. از این گذشته ، محافظت صحیح و نظارت بر کلیدهای پادشاهی همیشه یک عمل خوب است. مدیریت دسترسی ممتاز در زمان های اخیر بسیار مهم تر بوده است. با ظهور ابر که زیرساخت ها با یک تماس API واحد ارائه می شود و با یک کلید API واحد تأیید می شود ، خطر کسی که از این اعتبار سوء استفاده می کند بسیار بیشتر است. اکنون مخالفان می توانند کل زیرساخت های شما را با یک تماس API واحد ویرایش یا حتی حذف کنند. در حالی که مفهوم و استراتژی مدیریت دسترسی ممتاز یکسان است ، راه حل های سنتی PAM برای انطباق با عملیات فعلی DevOps تلاش می کند و در بسیاری موارد ، جریان کار مهندسان را مختل می کند و آنها را کند می کند.

در این پست کاستی های راه حل های سنتی PAM در تأمین برنامه های کاربردی ابر بومی که با استفاده از تکنیک های مدرن DevOps مدیریت شده اند ، برجسته می شود و پیشنهاد می کند که چگونه Teleport-یک راه حل مدرن PAM-می تواند بدون کند کردن تیم های مهندسی خود ، نیازهای امنیتی را فراهم کند.

ویژگی های راه حل های PAM

بیشتر محصولات ممتاز مدیریت دسترسی در ابتدا به عنوان یک راه حل طاق رمز عبور آغاز شد. آنها به اندازه کافی طولانی تکامل یافته اند تا یک حساب کاربری ممتاز و مدیریت چرخه عمر هویت ارائه دهند. یک راه حل سنتی PAM به طور معمول ویژگی های خود را نشان می دهد:

• مدیریت چرخه حیات حساب ممتاز
• کنترل امتیاز (دسترسی فقط به موقع ، ارتفاع ممتاز کنترل شده و مدیریت نمایندگی)
• مدیریت امتیاز پایانی
• مدیریت ممتاز جلسه
• یک طاق رمز عبور
• امنیت حساب ممتاز (کشف حساب و تجزیه و تحلیل رفتار)

همانطور که در بالا نشان داده شد ، راه حل های سنتی PAM دارای ویژگی های قوی برای مدیریت کامل مدیریت چرخه حیات حساب ممتاز است. علاوه بر این ، بسیاری از راه حل های موجود در حال گسترش ویژگی های خود هستند تا بتوانند با برنامه های ابری و زیرساخت ها راحت تر کار کنند.

کاستی های راه حل های سنتی PAM

قبل از اینکه ما در مورد آنچه در یک راه حل مدرن PAM برای برنامه های کاربردی Cloud Bative مورد نیاز است ، بحث کنیم ، بیایید ببینیم که چرا راه حل های سنتی PAM برای رفع نیازهای مدیریت دسترسی ممتاز زیرساخت های مدرن تلاش می کند. راه حل های سنتی PAM در زمانی ساخته شد که زیرساخت ها بسیار ایستا تر بودند ، با ناوگان سرورهای ویندوز ، دسک تاپ های از راه دور و SSH از طریق بتونه ، میزبان در مراکز داده مستقل یا در محل. علاوه بر این ، گردش کار اداری برای مدیریت این زیرساخت ها در درجه اول مبتنی بر GUI بودند. یک کاربر PAM که نیاز به دسترسی به سرور دارد ، وارد راه حل PAM می شود ، اعتبار خود را بازیابی می کند ، سپس از آن اعتبار برای ورود به سرور استفاده می کند - همه به صورت دستی.

این گردش کار دیگر با عملیات ابری مدرن و شیوه های DevOps که بیشتر تعامل با دارایی های زیرساختی مبتنی بر اتوماسیون API و ابزارهای CLI است ، نه GUIS مفید نیست. همانطور که در زیر بحث خواهیم کرد ، کمبود سیستم های سنتی PAM عدم توانایی آنها در سازگاری با DevOps فعلی و گردش کار ابر است.

چه راه حل های مدرن PAM ارائه می دهد

در اینجا 7 ویژگی وجود دارد که باید در یک راه حل مدرن PAM برای برنامه های Cloud بومی جستجو کنید.

1. نیازی به توسعه دهندگان برای ورود به PAM برای هر اتصال جدید ندارد

دسترسی به زیرساخت های لازم برای اجرای برنامه های مدرن ، به ابزارهای توسعه دهنده و اداری متعددی نیاز دارد که پروتکل های مختلف صحبت می کنند (به عنوان مثال HTTP ، SSH ، RDP ، MongoDB ، Postgres ، MySQL ، Jenkins ، GitLab). بیشتر راه حل های سنتی PAM با این ابزارها و پروتکل ها ادغام شل و یکپارچه ای دارند و به مهندسان نیاز دارند تا برای دسترسی به منابع خود ، به طور جداگانه به PAM برای هر اتصال جدید تأیید کنند. تعویض ابزارها و زمینه هایی مانند این ، توسعه دهندگان را به طرز چشمگیری کاهش می دهد زیرا باعث ایجاد اصطکاک می شود.

بیایید به یک مثال ساده نگاه کنیم: sshing به یک سرور از راه دور. با وجود یک راه حل سنتی PAM ، مهندس هر بار که نیاز به بازیابی یک کلید برای تأیید اعتبار با SSH دارد ، باید با پورتال PAM تأیید شود. این به نظر می رسد مانند یک درخواست کوچک از مزایای امنیتی است. اما اگر تعداد سرورها و فراوانی دسترسی از راه دور برای کارهای اداری روزانه را در نظر بگیریم ، این گردش کار به طرز چشمگیری مهندسان را کند می کند زیرا مهندسین را از "منطقه" خارج می کند.

اکنون ، همان گردش کار ناکارآمد را برای هر منبع زیرساختی در نظر بگیرید که یک مهندس نیاز به دسترسی به آن دارد: یک پایگاه داده ، یک خوشه Kubeetes ، یک داشبورد مانیتورینگ ، یک محیط CI/CD ، یک سیستم کنترل نسخه. هربار که یک مهندس نیاز به دسترسی به زیرساخت ها دارد ، ابتدا باید برای بررسی اعتبار خود به ابزار PAM بروند و سپس برای ادامه کار خود به منبع بروند. این یک اتلاف وقت است و هنگامی که یک گردش کار یک مهندس را کاهش می دهد ، آنها راه حل هایی را پیدا می کنند که در بسیاری موارد در وهله اول هدف PAM را نفی می کند. به عنوان مثال ، برای مهندسان با استفاده از ابزارهای سنتی PAM معمول است تا یک بار یک کلید خصوصی را از طاق PAM بررسی کنند و آن را در یک برنامه محلی یادداشت ها برای استفاده مجدد آسان بدون ورود به طاق هر بار نگه دارید. در حالی که این ممکن است برای برخی از سطح دسترسی توسط PAM ممنوع باشد ، با افزایش حملات زنجیره تأمین ، آسیب پذیری در هر نقطه از سیستم می تواند پیامدهای بسیار گسترده ای داشته باشد.

برای حداکثر امنیت و کارآیی ، آنچه شما می خواهید یک گردش کار است که در آن مهندس مستقیماً به منبعی که می خواهد به آن دسترسی پیدا کند می رود. هنگامی که آنها در این منبع قرار دارند ، از طریق ادغام با ارائه دهنده IDP مانند Active Directory یا Okta ، به دلیل هویت خود به چالش کشیده می شوند. و هنگامی که آنها یک بار تأیید شدند ، آنها مجبور نیستند دوباره این کار را انجام دهند تا زمان طولانی (TTL) در صورت انقضاء درخواست شود. این به طرز چشمگیری ساده تر ، کارآمدتر است و راه حل های ناامن را دلسرد می کند.

نکته تصمیم گیری برای PAM مدرن: آیا یک توسعه دهنده باید به جای اینکه مستقیماً در این منبع تأیید شود ، اعتبار خود را از PAM بازیابی کند؟

2. با عشق مهندسان ابزار بومی ادغام می شود

توسعه دهندگان در طول سالها کار با ابزارهای مورد نظر ، حافظه عضلانی را به دست می آورند. هنگامی که آنها را برای انجام همان کار از ابزاری متفاوت استفاده می کنید ، آنها باید دستوراتی را که به طبیعت دوم تبدیل شده اند ، بازگردانند که منجر به از دست دادن بهره وری می شود. متأسفانه ، این امر با درگاه های سنتی PAM که به طور کلی در مقایسه با ابزار بومی محدود هستند ، کاملاً متداول است.

به عنوان مثال ، به منظور مدیریت دسترسی ممتاز برای منابع خاص ، مانند بانکهای اطلاعاتی ، PAM Solutions دسترسی را از طریق رابط کاربری گرافیکی خود تشویق می کند ، به جای مشتری پایگاه داده بومی. این تلاش برای کنترل دسترسی ، جریان کار اداری پایگاه داده را مانع می کند زیرا مشتریان پایگاه داده استفاده شده توسط ارائه دهندگان PAM به اندازه مشتری پایگاه داده ساخته شده توسط پایگاه داده یا شرکت های ابزار توسعه دهنده ، از ویژگی های غنی نیستند.

بهترین راه حل های امنیتی مواردی است که امنیت را برای گردش کار موجود کاربر به ارمغان می آورد. تغییر عادت کاربران دشوار است و کاربر همیشه راهی برای فریب و دور زدن سیستم امنیتی پیدا می کند. بنابراین پشتیبانی عمیق در سطح پروتکل که به مهندسان امکان می دهد از ابزارهایی که قبلاً با کمی اصلاح یا اصلاح استفاده می کنند استفاده کنند ، بهترین راه برای افزایش بهره وری و امنیت مهندسین است.

نکته تصمیم گیری برای PAM مدرن: آیا توسعه دهندگان می توانند از ابزارهای بومی مورد نظر خود استفاده کنند در حالی که هنوز هم به کنترل دسترسی ممتاز پایبند هستند؟

3. از الگوهای مدیریت زیرساخت به عنوان کد پشتیبانی می کند

زیرساخت ها به عنوان کد ، سیاست به عنوان کد ، تشخیص-کد. این روشهای جدید برای مدیریت زیرساخت ها مداخله دستی را که باعث کاهش سرعت تیم های DevOps می شود و امنیت را کاهش می دهد. قادر به پیکربندی و حفظ زیرساخت ها با استفاده از یک زبان برنامه نویسی ، سرعت گردش کار اداری را به شدت افزایش می دهد و به تیم ها اجازه می دهد تا امنیت را به صورت خودکار انجام دهند و فرصت خطای انسانی را کاهش می دهند. علاوه بر این ، مدیریت تغییر بخش اساسی در مدیریت زیرساخت ها است. پیکربندی-به عنوان کد اجازه می دهد تا وضعیت استقرار را در یک سیستم کنترل شده از نسخه حفظ کند و این به معنای افزایش دید ، آزمایش خودکار و امکان پذیرش به راحتی در صورت لزوم است.

متأسفانه ، بیشتر راه حل های سنتی PAM از این شیوه های مدرن پشتیبانی نمی کند و استفاده از آنها را با تیم هایی که اخلاق مدیریت زیرساخت مدرن را پذیرفته اند ، محدود نمی کند.

نکته تصمیم گیری برای PAM مدرن: آیا راه حل PAM از الگوهای مدیریت کد به عنوان کد پشتیبانی می کند؟

4. پشتیبانی از چتپ ها

تیم های مهندسی مدرن از سیستم عامل های ChatOps مانند Slack ، Microsoft Teams و Matterest برای ارتباط استفاده می کنند. با افزایش نیروی کار توزیع شده و کار از راه دور ، این سیستم عامل ها به یک فناوری مهم برای همکاری تیمی در کل سازمان تبدیل شده اند. از آنجا که بیشتر مهندسان در حال حاضر از این سیستم عامل ها برای برقراری ارتباط روزانه و دریافت هشدارهای رویداد استفاده می کنند ، گردش کار PAM مانند درخواست های دسترسی به موقع (JIT) و تأیید در صورت ادغام با سیستم عامل های ChatOps ، کارآمدتر هستند.

این به ادغام با بقیه زنجیره ابزار DevOps گسترش می یابد. آیا تشکیل پرونده JIRA می تواند درخواست افزایش امتیاز را آغاز کند؟آیا اگر SRE در تماس در PageRduty باشد ، می توان آن درخواست افزایش امتیاز را به طور خودکار تأیید کرد؟PAM مدرن دارای نقاط ادغام در طیف وسیعی از ابزارهای ارتباطی برای ساده سازی گردش کار توسعه دهنده بدون قربانی کردن امنیت است.

نکته تصمیم گیری برای PAM مدرن: آیا راه حل PAM از گردش کار Chatops پشتیبانی می کند؟

5. بهترین روشها را برای احراز هویت بدون رمز عبور ترویج می کند

بسیاری از راه حل های PAM در بازار در اطراف یک ویژگی اصلی ساخته شده اند: مدیر رمز عبور. تقریباً تمام کنترل های امنیتی که از دسترسی ممتاز محافظت می کنند (به عنوان مثال افزایش امتیاز ، دسترسی فقط به موقع) در طی فرآیند بازیابی رمز عبور اجرا می شوند. نه تنها رمزهای عبور خطرناک هستند ، بلکه باعث ایجاد سربار عملیاتی برای مهندسان نیز می شوند. حفظ طاق های رمز عبور و اجرای گذرواژه به موقع و چرخش کلیدی مقدار قابل توجهی از زمان مهندسی را می گیرید.

در حالی که کل صنعت امنیت به دلیل نگرانی های امنیتی بدون رمز عبور می شود ، اما منطقی تر است که به دنبال راه حل های مدیریت رمز عبور باشید که هم خطرناک هستند و هم باعث ایجاد سربار عملیاتی اضافی می شوند. درعوض ، باید انتظار داشته باشید که قابلیت های مدیریت ممتاز دسترسی به روشی بدون رمز عبور تحویل داده شود.

نکته تصمیم گیری برای PAM مدرن: آیا راه حل PAM سازمان من را قادر می سازد تا به زیرساخت های بدون رمز عبور دسترسی پیدا کند؟

6. ادغام بومی برای راه حل های ابر بومی مانند ظروف و Kubeetes

یک راه حل مدرن PAM باید نصب و مدیریت آن آسان باشد. این بدان معناست که راه حل PAM شما باید به خودی خود بتواند به عنوان یک ظرف مستقر شود و مانند هر برنامه مدرن دیگر در داخل یک خوشه Kubeetes فعالیت کند.

راه حل های سنتی PAM که به سرورهای ویندوز سنگین وزن نیاز دارند و نمی توان آنها را به روش ابر بومی نصب کرد و اجرا کرد ، تیم های عملیاتی را که باید شیوه های مدیریت سرور سرور را برای راه حل PAM حفظ کنند ، ضمن استفاده از شیوه های مدرن DevOps برای برنامه های کاربردی ، بار اضافی را برای تیم های عملیاتی قرار می دهد. اگر فرهنگ مهندسی سازمان شما با زیرساخت های بومی ابر تمام شود ، این یک قدم به عقب است.

نکته تصمیم گیری برای PAM مدرن: آیا می توانم خود نرم افزار PAM را به آسانی اجرا کنم که برنامه دیگری را اجرا می کنم؟

7. به راحتی از برنامه های اجرا شده در ابر و همچنین در پیش فرض پشتیبانی کنید

همانطور که در مقدمه بحث کردیم ، راه حل های سنتی PAM در زمانی ساخته شد که زیرساخت ها بسیار ایستا تر بودند ، با ناوگان سرورهای ویندوز ، دسک تاپ های از راه دور و SSH از طریق بتونه ، میزبان در یک مرکز داده همکار یا در محل. در حالی که برنامه های مدرن اغلب در ابر یا در محیط های پویا مانند ابر اجرا می شوند ، بسیاری از برنامه های سنتی هنوز وجود دارند. شرکت ها به یک راه حل PAM نیاز دارند که بهترین روش های امنیتی مدرن مانند دسترسی بدون رمز عبور را تشویق می کند ، اما برای همه برنامه های آنها بدون در نظر گرفتن محیط.

نکته تصمیم گیری برای PAM مدرن: آیا راه حل PAM من به من امکان می دهد برنامه های مدرن و سنتی را با یک راه حل واحد بدون در نظر گرفتن محل اجرای آنها مدیریت کنم؟

نوسازی پام خود

راه حل های سنتی PAM در یک دوره مدیریت فناوری اطلاعات شرکتی ایجاد شد که در آن گردش کار بسیار متفاوت از عملیات IT با کد سریع است که دارای کد سریع است. در حالی که آنها شروع به ارائه ویژگی هایی برای پشتیبانی از مدیریت ممتاز در زیرساخت های ابری می کنند (البته گاهی اوقات با یک ابزار افزودنی) ، آنها در تلاشند تا با گردش کار تیمی توزیع شده سازگار شوند و با ابزارهای مدرن DevOps و زیرساخت های ابر بومی ادغام شوند.

در Teleport ، ما معتقدیم که راه حل های امنیتی باید با گردش کار کاربران سازگار شوند. وادار کردن مهندسین برای تغییر گردش کار خود را کند می کند و به سازمان هایی که برای پول کار می کنند هزینه می کند. علاوه بر این ، هنگامی که کنترل های امنیتی گردش کار مهندسان را شکست ، آنها اغلب سعی می کنند سیستم را فریب داده و دور بزنند و خطر بیشتری را برای سازمان ایجاد کنند. سرانجام ، عدم توانایی راه حل های سنتی PAM در سازگاری با زیرساخت های مدرن ابر بومی و گردش کار به این معنی است که مهندسان شما به جای استفاده از آنها برای دسترسی به زیرساخت های امن ، وقت اداری را صرف حفظ راه حل های سنتی PAM می کنند.

پست های وبلاگ امنیت سایبری Teleport و اخبار فنی

هر هفته دیگر یک خبرنامه با آخرین اخبار امنیت سایبری و به روزرسانی های Teleport ارسال خواهیم کرد.

استراتژی دسترسی به زیرساخت های خود را با Teleport ارتقا دهید

Teleport یک راه حل PAM بومی است که دسترسی به سرورهای لینوکس و ویندوز ، خوشه های Kubeetes ، پایگاه داده ها و برنامه های DevOps مانند CI/CD ، کنترل نسخه و داشبورد نظارت را متحد می کند. Teleport با اجازه دسترسی از راه دور مبتنی بر گواهی ، خطرات رمزهای عبور در زیرساخت ها را از بین می برد. علاوه بر این ، از پیکربندی از طریق کد پشتیبانی می کند ، به خوبی با Kubeetes و زیرساخت های بومی ابری ادغام می شود و از گردش کار دسترسی از سیستم عامل های مدرن ChatOps پشتیبانی می کند و آن را برای عملیات زیرساخت های مدرن همه کاره می کند.

شما به یک استراتژی و ابزارهای ابری برای موفقیت در عملیات های بومی Cloud نیاز دارید! امروز Teleport را امتحان کنید یا برای نسخه ی نمایشی با ما تماس بگیرید.