Gestión de acceso privilegiado (PAM)
En seguridad de identidad, la gestión de acceso privilegiado (PAM) es el conjunto de controles que se aplican específicamente a las cuentas que pueden cambiar un sistema en lugar de usarlo: custodiar sus credenciales en un almacén, intermediar sus sesiones, conceder derechos solo cuando hacen falta y registrar lo que se hizo. Es el control que rompe las rutas que encuentra una prueba interna.
Cómo funciona
La disciplina se sostiene sobre cuatro capacidades. El almacén guarda las credenciales privilegiadas de forma centralizada, las rota y las entrega bajo política, de modo que ninguna persona conoce la contraseña de una cuenta administrativa compartida. La intermediación de sesiones obliga a los administradores a conectarse a través de un intermediario que establece la sesión en su nombre, así que la credencial nunca llega al puesto de trabajo. La elevación justo a tiempo concede el privilegio durante una ventana definida y con un motivo declarado y lo retira sola, que es el mínimo privilegio aplicado al tiempo en lugar de al alcance. Y la grabación y la auditoría producen la evidencia, que es lo que pide ver un auditor de ISO 27001 o de ENS.
De las cuatro, la elevación justo a tiempo es la que más cambia la posición del atacante, porque elimina el privilegio permanente. Pertenecer a un grupo privilegiado que existe solo dos horas cada quince días es un objetivo mucho menor que pertenecer a uno que existe siempre.
Qué sale mal
La cobertura, siempre. Se despliega un almacén para las cuentas que el proyecto conocía y el parque sigue funcionando con las que no: cuentas de administrador local en servidores, cuentas de servicio que ejecutan tareas programadas, consolas de appliances e hipervisores, superusuarios de base de datos, credenciales de dispositivos de red, cuentas raíz de cloud y las propias cuentas de emergencia. En una prueba interna, la cuenta que usamos es casi siempre una que quedó fuera del alcance del despliegue.
El segundo fallo es la elusión. Si un administrador todavía puede conectarse directamente a un servidor con una cuenta privilegiada, el intermediario es opcional, y un control opcional no es un control. Imponerlo significa restricciones de red y de identidad para que las cuentas privilegiadas solo puedan autenticarse desde orígenes intermediados, que es la parte que se aplaza.
El tercero es la propia plataforma. Un almacén lo guarda todo, así que es el objetivo de más valor del parque, y con frecuencia lo encontramos administrado por el mismo directorio que protege, lo que vuelve circular la cadena entera: comprometes el directorio y te haces con el almacén que debía proteger el directorio. Tiene que estar aislado para romper el camino.
Dónde aparece esto en una auditoría
Probamos si el intermediario se puede eludir, no si está instalado, y enumeramos las cuentas privilegiadas desde el directorio y no desde el inventario del almacén, porque la diferencia entre esas dos listas es el hallazgo. Comprobamos además si la elevación está de verdad acotada en el tiempo y quién puede aprobar su propia solicitud. Esto forma parte de cómo probamos si el acceso privilegiado pasa realmente por el intermediario.