СКДПУ: система контроля доступа к привилегированным учётным записям

К нам редко приходят с формулировкой «нам нужна СКДПУ». Чаще — с конкретным поводом: предстоящая проверка ФСТЭК, требование службы ИБ после внутреннего инцидента, или объект попал в реестр КИИ и теперь нужно закрывать регуляторные требования по 187-ФЗ. Иногда — после того как уволился системный администратор, и выяснилось, что никто точно не знает, к каким системам у него был доступ и что именно он делал в последние недели.

Это и есть типичный контекст, в котором начинается проект по привилегированному доступу.

Что решает СКДПУ в реальном проекте

Задача системы контроля привилегированного доступа — не «заблокировать всё», а создать наблюдаемость там, где её раньше не было. Администраторы продолжают работать, но каждая сессия под учёткой root, admin или sa записывается: что делал, когда, с какого рабочего места.

На практике это меняет несколько вещей:

Расследование инцидентов. Когда что-то пошло не так — упала БД, изменились настройки сетевого оборудования, исчезли данные — журнал сессий позволяет восстановить хронологию с точностью до команды. Без СКДПУ это занимает недели и часто заканчивается ничем.

Контроль подрядчиков. Типичная ситуация: вендор оборудования или аутсорсинговая команда имеет постоянный или периодический привилегированный доступ. СКДПУ позволяет ограничить его по времени, зафиксировать каждое подключение и в нужный момент предъявить полный лог.

Снижение радиуса поражения. Скомпрометированная привилегированная учётная запись — это полный доступ ко всей инфраструктуре. СКДПУ в связке с политиками минимальных привилегий ограничивает, что именно можно сделать даже при успешной атаке.

Соответствие требованиям. Для объектов КИИ, банков, госструктур наличие системы контроля привилегированного доступа — уже не рекомендация, а требование.

Бастион, Solar SafeInspect и другие решения — наш взгляд из практики

Российский рынок СКДПУ за последние три года существенно изменился. После ухода CyberArk и Wallix ниша заполняется отечественными решениями, часть из которых — функциональные продукты с реальной историей внедрений.

Бастион (BI.Zone) — одно из наиболее зрелых решений на рынке. Хорошо интегрируется с Active Directory, поддерживает запись RDP, SSH, веб-сессий. Из особенностей: относительно гибкая политика лицензирования и нормальная техническая поддержка для enterprise-сегмента. Подходит для крупных инфраструктур с разнородным парком оборудования.

Solar SafeInspect — продукт «Ростелеком-Солар», имеет сертификаты ФСТЭК. Для организаций, которым важна сертифицированная версия «из коробки» и готовность к проверкам регулятора — аргумент весомый. На практике интерфейс требует привыкания, но функционально задачи закрывает.

СКДПУ НТ (АйТи Бастион) — сертифицированный продукт, часто фигурирует в госсекторе именно из-за сертификата ФСТЭК и включения в реестр отечественного ПО. Поставляется как программно-аппаратный комплекс или ПО под виртуальную машину.

Мы не работаем с каким-то одним производителем — выбор решения зависит от инфраструктуры клиента, требований регулятора и бюджета. Там, где нужна сертификация, смотрим на реестр ФСТЭК. Там, где важнее интеграция с существующим стеком — оцениваем коннекторы и API.

Интеграция с инфраструктурой — что это даёт на практике

СКДПУ не работает как изолированный инструмент. Ценность системы появляется только при интеграции с тем, что уже есть.

Active Directory / LDAP. Привилегированные учётные записи должны браться из того же источника, что и обычные пользователи. Изолированный пул учёток для СКДПУ — источник рассинхрона и дополнительной нагрузки на администраторов.

SIEM. Журналы привилегированных сессий должны попадать в систему мониторинга событий безопасности. Отдельный архив, который никто не читает в реальном времени — половина пользы от решения.

СКУД. В ряде проектов мы интегрируем физический доступ и цифровой: подключение к серверной или ЦОД становится возможным только при наличии физического прохода сотрудника через контролируемую точку. Это ликвидирует возможность удалённой работы под чужой учёткой в нерабочее время.

Тикетинг. Для ряда клиентов настраиваем интеграцию с ITSM: привилегированная сессия может быть открыта только при наличии активного тикета на выполнение работ. Это даёт аудиторский след не только «что делал», но и «зачем».

Регуляторика: ФСТЭК, 187-ФЗ — кому обязательно

Требования к контролю привилегированного доступа в российском регулировании появились давно, но стали практически обязательными к исполнению в последние два-три года.

Объекты КИИ (187-ФЗ). Организации, попавшие в реестр значимых объектов КИИ, обязаны выполнять требования по защите информационных систем. Контроль привилегированного доступа — одна из мер, прямо предусмотренных приказами ФСТЭК № 239 и 235. При этом требования различаются по категориям значимости объекта.

Финансовый сектор. ГОСТ Р 57580.1 для финансовых организаций включает управление привилегированным доступом как элемент базового уровня защиты. ЦБ это проверяет.

Госсектор и госкорпорации. Требования 17-го приказа ФСТЭК для государственных информационных систем. Для ГИС второго класса и выше — применение сертифицированных средств защиты, что сужает выбор решений.

Для всех остальных СКДПУ — не обязательство, но страховка. Стоимость расследования одного серьёзного инцидента с компрометацией привилегированной учётной записи, как правило, многократно превышает стоимость внедрения системы.

---

Если у вас есть конкретная задача — объект попал в КИИ, предстоит аудит ФСТЭК, или нужно разобраться с тем, кто и как имеет доступ к вашей инфраструктуре — расскажите о вашем объекте. Подготовим концепцию и предварительную оценку.