Akses istimewa: Strategi

Microsoft merekomendasikan untuk mengadopsi strategi akses istimewa ini untuk menurunkan risiko dengan cepat kepada organisasi Anda dari dampak tinggi dan serangan kemungkinan tinggi pada akses istimewa.

Akses istimewa harus menjadi prioritas keamanan teratas di setiap organisasi. Setiap kompromi pengguna ini memiliki kemungkinan besar dampak negatif yang signifikan bagi organisasi. Pengguna istimewa memiliki akses ke aset penting bisnis dalam organisasi, hampir selalu menyebabkan dampak besar ketika penyerang membahayakan akun mereka.

Strategi ini dibangun berdasarkan prinsip validasi eksplisit Zero Trust, hak istimewa paling minimal, dan asumsi pelanggaran. Microsoft telah memberikan panduan implementasi untuk membantu Anda menyebarkan perlindungan dengan cepat berdasarkan strategi ini

Penting

Tidak ada solusi teknis "peluru perak" tunggal yang akan secara ajaib mengurangi risiko akses istimewa, Anda harus memadukan beberapa teknologi bersama-sama menjadi solusi holistik yang melindungi dari beberapa titik masuk penyerang. Organisasi harus membawa alat yang tepat untuk setiap bagian pekerjaan.

Mengapa akses istimewa penting?

Keamanan akses istimewa sangat penting karena merupakan dasar untuk semua jaminan keamanan lainnya, penyerang yang mengontrol akun istimewa Anda dapat merusak semua jaminan keamanan lainnya. Dari perspektif risiko, hilangnya akses istimewa adalah peristiwa berdampak tinggi dengan kemungkinan tinggi terjadi yang tumbuh pada tingkat yang mengkhawatirkan di seluruh industri.

Teknik serangan ini awalnya digunakan dalam serangan pencurian data yang ditargetkan yang mengakibatkan banyak pelanggaran profil tinggi pada merek yang sudah dikenal (dan banyak insiden yang tidak dilaporkan). Baru-baru ini teknik ini telah diadopsi oleh penyerang ransomware, mendorong pertumbuhan eksplisit dari serangan ransomware yang dioperasikan manusia yang sangat menguntungkan yang sengaja mengganggu operasi bisnis di seluruh industri.

Penting

Ransomware yang dioperasikan manusia berbeda dari serangan ransomware komputer tunggal komoditas yang menargetkan satu stasiun kerja atau perangkat.

Grafik ini menjelaskan bagaimana serangan berbasis pemerasan ini tumbuh dalam dampak dan kemungkinan menggunakan akses istimewa:

• Dampak bisnis yang tinggi
  • Sulit untuk berlebihan terhadap potensi dampak bisnis dan kerusakan kerugian terhadap akses istimewa. Penyerang dengan akses istimewa secara efektif memiliki kontrol penuh atas semua aset dan sumber daya perusahaan, memberi mereka kemampuan untuk mengungkapkan data rahasia apa pun, menghentikan semua proses bisnis, atau membalikkan proses bisnis dan mesin untuk merusak properti, menyakiti orang, atau lebih buruk. Dampak bisnis yang besar telah terlihat di setiap industri dengan:
    • Pencurian data yang ditargetkan - penyerang menggunakan akses istimewa untuk mengakses dan mencuri kekayaan intelektual sensitif untuk mereka sendiri menggunakannya atau untuk menjual/mentransfer ke pesaing atau pemerintah asing Anda
    • Ransomware yang dioperasikan manusia (HumOR) - penyerang menggunakan akses istimewa untuk mencuri dan/atau mengenkripsi semua data dan sistem di perusahaan, sering menghentikan semua operasi bisnis. Mereka kemudian memeras organisasi target dengan menuntut uang untuk tidak mengungkapkan data dan/atau menyediakan kunci untuk membuka kuncinya.
• Kemungkinan tinggi terjadinya
  • Prevalensi serangan akses istimewa telah tumbuh sejak munculnya serangan pencurian info masuk modern dimulai dengan melewati teknik hash. Teknik-teknik ini pertama kali populer karena penjahat kriminal sejak munculnya alat serangan "Pass-the-Hash Toolkit" pada 2008 dan telah berkembang menjadi serangkaian teknik serangan yang andal (sebagian besar didasarkan pada toolkit Mimikatz). Persenjataan dan otomatisasi teknik ini memungkinkan serangan (dan dampak berikutnya) tumbuh pada tingkat yang cepat, hanya dibatasi oleh kerentanan organisasi target terhadap serangan dan model monetisasi/insentif penyerang.
    • Sebelum munculnya ransomware yang dioperasikan manusia (HumOR), serangan ini lazim tetapi sering terlihat atau disalahpahami karena:
      • Batas monetisasi penyerang - Hanya grup dan individu yang tahu cara memonetisasi kekayaan intelektual sensitif dari organisasi target yang dapat memperoleh keuntungan dari serangan ini.
      • Dampak senyap - Organisasi sering melewatkan serangan ini karena mereka tidak memiliki alat deteksi, dan juga kesulitan melihat dan memperkirakan dampak bisnis yang dihasilkan (misalnya, bagaimana pesaing mereka menggunakan kekayaan intelektual yang dicuri dan bagaimana itu memengaruhi harga dan pasar, kadang-kadang bertahun-tahun kemudian). Selain itu, organisasi yang melihat serangan sering diam tentang mereka untuk melindungi reputasi mereka.
    • Dampak senyap dan batasan monetisasi penyerang pada serangan ini disintegrasikan dengan munculnya ransomware yang dioperasikan manusia, yang tumbuh dalam volume, dampak, dan kesadaran karena keduanya:
      • Keras dan mengganggu - untuk proses bisnis untuk pembayaran tuntutan pemerasan.
      • Berlaku secara universal - Setiap organisasi di setiap industri termotivasi secara finansial untuk melanjutkan operasi tanpa gangguan.

Untuk alasan ini, akses istimewa harus menjadi prioritas keamanan teratas di setiap organisasi.

Membangun strategi akses istimewa Anda

Strategi akses istimewa adalah perjalanan yang harus terdiri dari kemenangan cepat dan kemajuan bertahap. Setiap langkah dalam strategi akses istimewa Anda harus membawa Anda lebih dekat ke "segel" penyerang persisten dan fleksibel dari akses istimewa, yang seperti air yang mencoba meresap ke lingkungan Anda melalui kelemahan yang tersedia.

Panduan ini dirancang untuk semua organisasi perusahaan terlepas dari di mana Anda sudah berada dalam perjalanan.

Strategi praktis holistik

Mengurangi risiko dari akses istimewa memerlukan kombinasi mitigasi risiko yang bijaksana, holistik, dan diprioritaskan yang mencakup beberapa teknologi.

Membangun strategi ini membutuhkan kesadaran bahwa penyerang ibarat air karena mereka memiliki banyak opsi yang dapat mereka eksploitasi (beberapa di antaranya dapat tampak tidak signifikan pada awalnya), penyerang fleksibel dengan lokasi mana pun yang digunakan, dan mereka umumnya mengambil jalur ketahanan paling sedikit untuk mencapai tujuan mereka.

Penyerang jalur yang diprioritaskan dalam praktik aktual adalah kombinasi dari:

• Teknik yang mapan (sering diotomatisasi menjadi alat serangan)
• Teknik baru yang lebih mudah dieksploitasi

Karena keragaman teknologi yang terlibat, strategi ini membutuhkan strategi lengkap yang menggabungkan beberapa teknologi dan mengikuti prinsip Zero Trust.

Penting

Anda harus mengadopsi strategi yang mencakup beberapa teknologi untuk bertahan dari serangan ini. Cukup menerapkan solusi prvileged identity management/privileged access management (PIM/PAM) tidak cukup. Untuk informasi selengkapnya lihat, Perantara akses istimewa.

• Penyerang berorientasi pada tujuan dan agnostik teknologi, menggunakan semua jenis serangan yang berfungsi.
• Backbone kontrol akses yang Anda pertahankan terintegrasi ke dalam sebagian besar atau semua sistem di lingkungan perusahaan.

Mengharapkan Anda dapat mendeteksi atau mencegah ancaman ini hanya dengan kontrol jaringan atau solusi akses istimewa tunggal akan membuat Anda rentan terhadap banyak jenis serangan lainnya.

Asumsi strategis - Cloud adalah sumber keamanan

Strategi ini menggunakan layanan cloud sebagai sumber utama kemampuan keamanan dan manajemen daripada teknik isolasi lokal karena beberapa alasan:

• Cloud memiliki kemampuan yang lebih baik - Kemampuan keamanan dan manajemen paling kuat yang tersedia saat ini berasal dari layanan cloud, termasuk alat canggih, integrasi asli, dan sejumlah besar kecerdasan keamanan seperti sinyal keamanan 8+ triliun sehari yang digunakan Microsoft untuk alat keamanan kami.
• Cloud lebih mudah dan lebih cepat - Mengadopsi layanan cloud membutuhkan sedikit atau tanpa infrastruktur untuk menerapkan dan meningkatkan skala, memungkinkan tim Anda untuk fokus pada misi keamanan mereka daripada integrasi teknologi.
• Cloud membutuhkan lebih sedikit pemeliharaan - Cloud juga dikelola, dikelola, dan diamankan secara konsisten oleh organisasi vendor dengan tim yang didedikasikan untuk tujuan tunggal itu untuk ribuan organisasi pelanggan, mengurangi waktu dan upaya bagi tim Anda untuk mempertahankan kemampuan dengan ketat.
• Cloud terus meningkat - Fitur dan fungsionalitas dalam layanan cloud terus diperbarui tanpa perlu organisasi Anda untuk berinvestasi berkelanjutan.

Membangun strategi yang direkomendasikan

Strategi yang direkomendasikan Microsoft adalah membangun sistem 'perulangan tertutup' secara bertahap untuk akses istimewa yang memastikan hanya perangkat, akun, dan sistem perantara 'bersih' yang dapat dipercaya yang dapat digunakan untuk akses istimewa ke sistem yang peka terhadap bisnis.

Sama seperti waterproofing sesuatu yang kompleks dalam kehidupan nyata seperti perahu, Anda perlu merancang strategi ini dengan hasil yang disengaja, menetapkan dan mengikuti standar dengan hati-hati, dan terus memantau dan mengaudit hasilnya sehingga Anda memulihkan kebocoran apa pun. Anda tidak hanya akan paku papan bersama-sama dalam bentuk perahu dan ajaib mengharapkan perahu tahan air. Anda akan fokus terlebih dahulu pada bangunan dan barang-barang penting tahan air seperti lambung dan komponen penting seperti mesin dan mekanisme kemudi (sambil meninggalkan cara bagi orang untuk masuk), kemudian item kenyamanan tahan air seperti radio, kursi, dan semacamnya. Anda juga akan mempertahankannya dari waktu ke waktu karena bahkan sistem yang paling sempurna dapat memunculkan kebocoran nanti, jadi Anda perlu mengikuti pemeliharaan pencegahan, memantau kebocoran, dan memperbaikinya agar tidak tenggelam.

Mengamankan Akses Istimewa memiliki dua tujuan sederhana

1. Membatasi kemampuan untuk melakukan tindakan istimewa secara ketat ke beberapa jalur resmi
2. Lindungi dan pantau jalur tersebut dengan cermat

Ada dua jenis jalur untuk mengakses sistem, akses pengguna (untuk menggunakan kemampuan) dan akses istimewa (untuk mengelola kemampuan atau mengakses kemampuan sensitif)

• Akses Pengguna - jalur biru yang lebih ringan di bagian bawah diagram menggambarkan akun pengguna standar yang melakukan tugas produktivitas umum seperti email, kolaborasi, penjelajahan web, dan penggunaan aplikasi atau situs web lini bisnis. Jalur ini mencakup proses masuk akun ke perangkat atau stasiun kerja,yang terkadang melewati perantara seperti solusi akses jarak jauh, dan berinteraksi dengan sistem perusahaan.
• Akses istimewa - jalur biru yang lebih gelap di atas diagram menggambarkan akses istimewa di mana akun istimewa seperti Administrator IT atau akun sensitif lainnya mengakses data dan sistem penting bisnis atau menjalankan tugas administratif di sistem perusahaan. Meskipun komponen teknis mungkin bersifat serupa secara alami, kerusakan yang dapat ditimbulkan oleh penyerang dengan akses istimewa yang jauh lebih tinggi.

Sistem manajemen akses penuh juga mencakup sistem identitas dan jalur elevasi resmi.

• Sistem Identitas - menyediakan direktori identitas yang menghosting akun dan grup administratif, kemampuan sinkronisasi dan federasi, dan fungsi dukungan identitas lainnya untuk pengguna standar dan istimewa.
• Jalur Elevasi Resmi - menyediakan sarana bagi pengguna standar untuk berinteraksi dengan alur kerja istimewa, seperti manajer atau rekan yang menyetujui permintaan untuk hak administratif ke sistem sensitif melalui proses just in time (JIT) dalam sistem manajemen Privileged Access Management / Privileged Identity.

Komponen-komponen ini secara kolektif terdiri dari permukaan serangan akses istimewa yang mungkin ditargetkan musuh untuk mencoba mendapatkan akses yang ditinggikan ke perusahaan Anda:

Catatan

Untuk sistem lokal dan infrastruktur sebagai layanan (IaaS) yang dihosting pada sistem operasi yang dikelola pelanggan, permukaan serangan meningkat secara dramatis dengan agen manajemen dan keamanan, akun layanan, dan potensi masalah konfigurasi.

Menciptakan strategi akses istimewa yang berkelanjutan dan dapat dikelola memerlukan penutupan semua vektor yang tidak sah untuk menciptakan konsol kontrol yang setara secara fisik yang melekat pada sistem aman yang mewakili satu-satunya cara untuk mengaksesnya.

Strategi ini memerlukan kombinasi:

• Kontrol akses Zero Trust yang dijelaskan di seluruh panduan ini, termasuk rencana modernisasi cepat (RAMP)
• Perlindungan aset untuk melindungi dari serangan aset langsung dengan menerapkan praktik kebersihan keamanan yang baik pada sistem ini. Perlindungan aset untuk sumber daya (di luar komponen kontrol akses) berada di luar cakupan panduan ini, tetapi biasanya mencakup penerapan pembaruan/patch keamanan yang cepat, mengonfigurasi sistem operasi menggunakan garis besar keamanan produsen/industri, melindungi data tidak aktif dan saat transit, dan mengintegrasikan praktik terbaik keamanan untuk proses pengembangan / DevOps.

Inisiatif strategis dalam perjalanan

Menerapkan strategi ini membutuhkan empat inisiatif pelengkap yang masing-masing memiliki hasil dan kriteria keberhasilan yang jelas

1. Keamanan Sesi Menyeluruh - Menetapkan validasi Zero Trust eksplisit untuk sesi istimewa, sesi pengguna, dan jalur elevasi resmi.
   1. Kriteria Keberhasilan: Setiap sesi akan memvalidasi bahwa setiap akun pengguna dan perangkat dipercaya pada tingkat yang memadai sebelum mengizinkan akses.
2. Lindungi & Pantau Sistem Identitas termasuk Direktori, Manajemen Identitas, Akun Admin, Pemberian persetujuan, dan banyak lagi
   1. Kriteria Keberhasilan: Masing-masing sistem ini akan dilindungi pada tingkat yang sesuai untuk potensi dampak bisnis akun yang dihosting di dalamnya.
3. Mitigasi Lateral Traversal untuk melindungi dari traversal lateral dengan kata sandi akun lokal, kata sandi akun layanan, atau rahasia lainnya
   1. Kriteria Keberhasilan: Mengorbankan satu perangkat tidak akan segera menyebabkan kontrol terhadap banyak atau semua perangkat lain di lingkungan
4. Respons Ancaman Cepat untuk membatasi akses dan waktu adversary di lingkungan
   1. Kriteria Keberhasilan: Proses respons insiden menghambat musuh agar tidak melakukan serangan multitahap dengan andal di lingkungan yang akan mengakibatkan hilangnya akses istimewa. (sebagaimana diukur dengan mengurangi waktu rata-rata untuk memulihkan (MTTR) insiden yang melibatkan akses istimewa ke mendekati nol dan mengurangi MTTR dari semua insiden menjadi beberapa menit sehingga iklan tidak memiliki waktu untuk menargetkan akses istimewa)

Langkah berikutnya

• Mengamankan gambaran umum akses istimewa
• Mengukur keberhasilan
• Tingkat keamanan
• Akun akses istimewa
• Perantara
• Antarmuka
• Perangkat akses istimewa
• Model akses perusahaan
• Penghentian Lingkungan Admin Keamanan Yang Ditingkatkan (ESAE)