פריבילגיות על תנאי: למה ניהול הרשאות מסורתי פשוט לא עובד יותר

תמונה: dreamstime

תשתיות ה-IT משתנות בקצב מסחרר, שירותים עולים ויורדים תוך דקות וקוד מתעדכן באופן רציף. כל אלה גם הופכים את ניהול ההרשאות המסורתי ללא יעיל, אבל בעיקר לסיכון אבטחתי ממשי. מודל הגישה המיוחסת הדינמית (Dynamic Privileged Access) מציע פרדיגמה חדשה שעונה על אתגרי האבטחה של הארגון המודרני.

מעבר ממודל סטטי למודל דינמי

ארגונים רגילים להסתמך על מערכות הרשאות קבועות ומוגדרות מראש – משתמש מקבל הרשאות על פי תפקידו הארגוני (RBAC – Role-Based Access Control), ומשתמש בהן בהתאם למדיניות הארגונית. אך בסביבות העבודה העכשוויות יש בעיות מהותיות במודל הזה.

הרשאות קבועות מייצרות מצב בעייתי של "עודף פריבילגיות" – כלומר הן נשארות פעילות גם כאשר אינן נחוצות עוד. גרוע מכך, בסביבות אוטומטיות, סקריפטים ושירותים אוטומטיים עשויים לרוץ עם הרשאות גבוהות מהנדרש, מכיוון ש"זה פשוט עובד כך". מצב זה מגדיל באופן משמעותי את שטח התקיפה הפוטנציאלי של הארגון, ומחקרים תוכים בכך ומראים כי יותר מ-80% מהפריצות המשמעותיות כוללות שימוש לרעה בהרשאות פריבילגיות.

התמונה משתנה מהותית כאשר עוברים לגישה מיוחסת דינמית. במקום לשאול "האם למשתמש יש הרשאה", המערכת שואלת שאלות הקשריות: מי אתה, מאיפה אתה מנסה לגשת, באיזה זמן, מאיזה מכשיר ובאיזה הקשר עסקי? הגישה תינתן רק אם מתקיים שילוב התנאים הנדרש, וחשוב מכך – תישלל מיד עם סיום הצורך.

כך בעצם אפשר לצמצם דרמטית את משטח התקיפה בארגון. הרי כשהרשאות מוענקות רק בעת הצורך ולזמן מוגבל, אין יותר הרשאות "זומבי" – אותן הרשאות שנשארו פעילות אך אינן בשימוש – והחלון שתוקף יכול להשתמש בו כדי לחדור לארגון קטן משמעותית.

לדוגמה, נניח שמפתח צריך גישה פריבילגית לשרת ייצור לצורך טיפול בתקלה. במקום להעניק לו הרשאות מנהל קבועות, הגישה המיוחסת הדינמית תאפשר לו לבקש גישה זו באופן ספציפי, לזמן מוגבל ורק למשאב הרלוונטי. ברגע שסיים את הטיפול, ההרשאה תישלל אוטומטית.

מכונות הן גם ישויות

הסביבות המודרניות מלאות בתהליכים אוטומטיים, קונטיינרים, פונקציות שירותיות (Services) וסקריפטים – כולם ניגשים למשאבים רגישים ולעיתים קרובות עם הרשאות גבוהות מהנדרש. בשנים האחרונות חלה התפתחות משמעותית, עם ההכרה בכך שלא רק בני אדם דורשים זהות והרשאות. מודלים של Dynamic Privileged Access מעניקים זהויות ספציפיות גם לתהליכים אוטומטיים.

כך, במקום להשתמש בסיסמאות או מפתחות סטטיים, תהליכים אוטומטיים יכולים לקבל אישורי גישה זמניים המבוססים על הקונטקסט שלהם. קונטיינר מסוים עשוי לקבל גישה למסד נתונים ספציפי רק כאשר הוא רץ בסביבה מסוימת, רק לזמן מוגבל ורק עם הרשאות מינימליות הנדרשות לפעולתו.

תמונה: dreamstime

אלה למעשה חלק מארבעת העקרונות המהותיים שעומדים בבסיס הגישה:

1. Just-in-Time – JIT: הרשאות ניתנות רק כאשר הן נדרשות ולזמן המינימלי הנדרש. משתמש או תהליך מבקשים גישה, וכאשר היא מאושרת היא זמינה לפרק זמן מוגבל.
2. Just Enough Access – JEA: הענקת ההרשאות המינימליות הנדרשות לביצוע המשימה, ולא יותר מכך. במקום להעניק הרשאות מנהל מלאות, המשתמש מקבל רק את ההרשאות הספציפיות הנדרשות לפעולה המסוימת.
3. תיעוד מלא ושקיפות: כל בקשה, אישור ופעולה שמבוצעות עם הרשאות פריבילגיות חייבות להיות מתועדות באופן מלא. התיעוד משמש הן למטרות ביקורת והן לזיהוי אנומליות.
4. ביטול אוטומטי: הרשאות נשללות אוטומטית כאשר הן אינן נדרשות עוד – בין שמדובר בפקיעת הזמן המוקצב, ובין שבשינוי בהקשר או השלמת המשימה.

יש גם אתגרים

ומה לגבי AI? מערכות ניהול הרשאות חכמות מסוגלות ללמוד דפוסי התנהגות נורמליים, לזהות חריגות ולהגיב בזמן אמת. למשל, אם משתמש שבדרך כלל עובד בשעות היום בישראל פתאום מבקש גישה בשעות הלילה ממיקום באסיה, המערכת יכולה לזהות זאת כחריגה ולדרוש אימות נוסף או אף לחסום את הגישה באופן אוטומטי. מערכות אלו מסוגלות גם לזהות דפוסי התנהגות חשודים ברמת הפעולות – למשל, אם מפתח שבדרך כלל עובד על קוד פרונט-אנד פתאום מנסה לגשת למסדי נתונים רגישים.

עד כה הכל נשמע טוב, נכון? אבל המעבר ל-DPA אינו נטול אתגרים. אחד המרכזיים שבהם הוא הצורך לאזן בין אבטחה לחוויית משתמש – מערכת שמקשה מדי על קבלת הרשאות לגיטימיות עלולה להוביל לעקיפת האבטחה על ידי המשתמשים עצמם.

כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime

אתגר נוסף הוא שילוב עם מערכות קיימות. ארגונים רבים פועלים בסביבות מעורבות, המשלבות מערכות מודרניות עם מערכות מורשת שאינן תומכות בקלות במודלים של גישה דינמית. כאן אני חייב לציין שהסיכונים הכרוכים בהישארות עם מודלים מסורתיים עולים בהרבה על אתגרי היישום של גישה מיוחסת דינמית.

ארגונים פועלים כיום בגבולות הולכים ומיטשטשים, עם שירותי ענן מרובים וסביבות עבודה מבוזרות שמשתלבות בליבת האסטרטגיה העסקית. רבים מהם כבר עוברים ממודל של "טירה עם חומה" למודל של ״אמון אפס״ (Zero Trust), שבו כל בקשת גישה נבחנת בהקשר מלא וללא הנחות מוקדמות. גישה מיוחסת דינמית היא אחד היסודות המאפשרים יישום עקבי של תפיסת אבטחה זו.

התקדמות טכנולוגית צפויה לאפשר אינטגרציה הדוקה יותר בין מערכות, זיהוי מדויק של חריגות ואפילו חיזוי של צורכי גישה על בסיס דפוסים חוזרים – כל זאת תוך שמירה על רמת אבטחה גבוהה.

העידן המודרני של פיתוח ותשתיות IT דינמיות מחייב חשיבה מחדש על אבטחה בכלל, ועל ניהול הרשאות בפרט. DPA מציעה פרדיגמה שמשלבת אבטחה מוגברת עם גמישות תפעולית – שילוב חיוני בעולם העסקי המהיר של ימינו. אבטחה אינה רק מוצרים וכלים – היא אסטרטגיה, וכל אסטרטגיית אבטחה מוצלחת חייבת להתחיל בשליטה בגישה.

גיא חורש הוא מהנדס פריסייל בבינת תקשורת מחשבים