อนาคตของการเข้าถึงที่มีสิทธิพิเศษจะไม่มีห้องนิรภัย

วงการไซเบอร์ซีเคียวริตี้ต้องตกตะลึงเมื่อทราบข่าวล่าสุดว่า Palo Alto Networks จะเข้าซื้อกิจการ CyberArk ด้วยข้อตกลงครั้งสำคัญมูลค่าประมาณ 25 หมื่นล้านดอลลาร์สหรัฐ นอกเหนือจากขนาดทางการเงินของธุรกรรมแล้ว การเข้าซื้อกิจการครั้งนี้ยังถือเป็นการเปลี่ยนแปลงมุมมองต่ออุตสาหกรรมอีกด้วย ความปลอดภัยของข้อมูลประจำตัวการเข้าซื้อกิจการล่าสุดนี้ยืนยันสิ่งที่เราเน้นย้ำอยู่แล้ว: อัตลักษณ์เป็นทั้งแนวป้องกันด่านแรกและด่านสุดท้ายและจำเป็นต้องมีเลเยอร์ความปลอดภัยเฉพาะของตัวเอง เช่นเดียวกับที่เราได้เห็นในโดเมนอื่นๆ เช่น ความปลอดภัยของจุดสิ้นสุดและคลาวด์ การปกป้องข้อมูลประจำตัวจำเป็นต้องมีระบบแบบครบวงจร เวที—หนึ่งเดียวที่มอบการมองเห็นแบบรวม ข้อมูลเชิงลึกอันชาญฉลาด และการป้องกันแบบอินไลน์   

CyberArk มีรากฐานมาจาก การจัดการสิทธิ์การเข้าถึง (PAM)ได้ขยายขีดความสามารถด้านการระบุตัวตนเพื่อตอบสนองความต้องการของตลาด แต่การเข้าซื้อกิจการครั้งนี้ได้เผยให้เห็นคำถามที่สำคัญและทันท่วงทีมากขึ้น:  

อนาคตของ PAM จะเป็นอย่างไร? 

เราเชื่อว่าเรากำลังเห็นจุดเริ่มต้นของการเปลี่ยนแปลง อนาคตที่ การรักษาความปลอดภัยการเข้าถึงที่มีสิทธิพิเศษ จะไม่หมุนรอบอีกต่อไป หกคะเมนในความเป็นจริง แนวทางที่ใช้ระบบวอลต์จะไม่เป็นอีกต่อไป ประถม วิธีการบังคับใช้การรักษาความปลอดภัยการเข้าถึงสิทธิพิเศษ 

การเปลี่ยนแปลงครั้งนี้เป็นการเปลี่ยนแปลงขนานไปกับการเปลี่ยนแปลงที่เราเคยเห็นในพื้นที่อื่นๆ ของความปลอดภัยทางไซเบอร์แล้ว: 

• ความปลอดภัยบนคลาวด์ ได้ดำเนินการแบบไม่มีตัวแทน โดยแทนที่การปรับใช้แบบแทรกแซงด้วยความสามารถในการมองเห็นแบบน้ำหนักเบาที่ใช้ API 

• การรับรองความถูกต้องหลายปัจจัย (สธ.) ไม่จำเป็นต้องเปลี่ยนแปลงโค้ดหรือใช้พร็อกซีเหมือนในอดีต ปัจจุบันมีการบังคับใช้โดยผู้ให้บริการข้อมูลประจำตัวหรือเป็นส่วนขยายของผู้ให้บริการข้อมูลประจำตัว 

• การป้องกันเอกลักษณ์ แพลตฟอร์มตอนนี้ บังคับใช้นโยบายแบบเรียลไทม์ โดยไม่ต้องใส่คีย์หรือรหัสผ่าน ทำให้พื้นผิวการโจมตีลดลง 

• ความปลอดภัยของเครือข่าย ย้ายออกจากไฟร์วอลล์ทางกายภาพและ VPN ไป ความน่าเชื่อถือเป็นศูนย์ การเข้าถึงเครือข่าย (ZTNA) ซึ่งให้สิทธิ์การเข้าถึงแบบไดนามิกตามตัวตน บริบท และท่าทาง 

ในแต่ละกรณีนี้ แนวคิดหลักก็เหมือนกัน: ย้ายออกจากการรักษาความปลอดภัย ความลับหรือโครงสร้างพื้นฐานและมุ่งเน้นไปที่การรักษาความปลอดภัยแทน การเข้าถึงตัวเอง. PAM กำลังอยู่ในช่วงวิวัฒนาการที่คล้ายคลึงกัน

ปัญหาของ PAM ที่ใช้ Vault

มีการนำ Vault มาใช้เพื่อปกป้องข้อมูลประจำตัวที่บัญชีที่มีสิทธิ์ใช้งาน เช่น ชื่อผู้ใช้และรหัสผ่านของผู้ดูแลระบบสำหรับเซิร์ฟเวอร์ ฐานข้อมูล สวิตช์ และอื่นๆ หลักการสำคัญคือ อย่าให้ผู้ใช้รู้หรือใช้รหัสผ่านที่ยากซ้ำ แต่ควรปล่อยให้ผู้ใช้ดึงข้อมูลประจำตัวจาก Vault ที่ปลอดภัยเมื่อจำเป็น และหมุนเวียนรหัสผ่านเหล่านั้นหลังการใช้งาน 

แต่ในทางปฏิบัติ PAM ที่ใช้ระบบ Vault ก่อให้เกิดปัญหาหลายประการ: 

1. มันช่วยรักษาความปลอดภัยของข้อมูลประจำตัว ไม่ใช่การเข้าถึง เมื่อผู้ใช้ดึงข้อมูลประจำตัวแล้ว การป้องกันของ Vault จะสิ้นสุดลง รหัสผ่านนั้นอาจถูกขโมยจากหน่วยความจำ ถูกบันทึกโดยมัลแวร์ ถูกนำไปใช้ในทางที่ผิดโดยบุคคลภายใน หรือถูกสกัดกั้นโดยการโจมตีแบบ man-in-the-middle การเข้าถึงนั้นไม่ได้รับการปกป้อง แต่เพียงการจัดเก็บรหัสผ่านเท่านั้น 

2. มันมีความซับซ้อนในการปฏิบัติงาน PAM ที่ใช้ Vault ก่อให้เกิดปัญหาใหญ่หลวงต่อเวิร์กโฟลว์ การเปลี่ยนแปลงวิธีที่ผู้ใช้เข้าสู่ระบบ ไม่ว่าจะเป็นการเปลี่ยนเส้นทางผ่านพร็อกซี การบังคับให้ผู้ใช้ตรวจสอบรหัสผ่าน การยืนยันตัวตนซ้ำๆ มักจำเป็นต้องมีการฝึกอบรม การแก้ปัญหาเฉพาะหน้า หรือข้อยกเว้น ในส่วนของ NHI การหมุนเวียน บัญชีบริการ โดยทั่วไปแล้ว จำเป็นต้องมีการอนุมัติข้อมูลประจำตัวหลายครั้ง และต้องดำเนินการอย่างระมัดระวังเพื่อหลีกเลี่ยงการขัดข้องในการเปลี่ยนแปลง การเปลี่ยนแปลงพฤติกรรมนี้ทำให้การนำไปใช้งานมีความซับซ้อนและทำให้การปรับใช้ PAM ใช้เวลานานและมีราคาแพง. องค์กรหลายแห่งใช้ ปี เพื่อเปิดตัว PAM ในระดับขนาดใหญ่ โดยเฉพาะในสภาพแวดล้อมแบบไฮบริดที่ระบบเดิม บัญชีบริการ และการเข้าถึงของบุคคลที่สามทั้งหมดต้องมีการกำหนดค่าแยกจากกัน 

3. มันไม่สามารถกันการรั่วซึมได้ ตัว Vault เองก็เป็นเป้าหมายที่มีมูลค่าสูง ผู้โจมตีรู้ดีว่าการบุกรุก Vault อาจนำไปสู่การเปิดเผยข้อมูลประจำตัวสำหรับระบบที่ละเอียดอ่อนที่สุดในองค์กร เราได้เห็นการละเมิดข้อมูลจริงที่พิสูจน์สิ่งนี้แล้ว โปรไฟล์สูง ในกรณีการละเมิดในปี 2022 ผู้โจมตีสามารถเข้าถึง Vault ของบริษัทได้โดยการขโมยข้อมูลประจำตัวและหลอกพนักงานให้อนุมัติคำขอ MFA เมื่อเข้าไปแล้ว ผู้โจมตีสามารถเข้าถึงเครื่องมือผู้ดูแลระบบ โครงสร้างพื้นฐาน และข้อมูลสำคัญได้ ในกรณีอื่นๆ ผู้โจมตีได้ใช้ประโยชน์จากการกำหนดค่า Vault ที่ผิดพลาด การใช้โทเค็น API หรือจุดอ่อนในการผสานรวม เพื่อยกระดับการเข้าถึง แนวคิดที่ว่า Vault ไม่สามารถถูกละเมิดได้นั้นไม่เป็นที่ยอมรับอีกต่อไป 

4. มันสร้างความรู้สึกปลอดภัยที่เป็นเท็จ ทีมรักษาความปลอดภัยมักคิดว่าการหมุนเวียนข้อมูลประจำตัวและการจำกัดการเข้าถึงห้องนิรภัยนั้นเพียงพอแล้ว แต่หากรหัสผ่านยังคงถูกส่งให้กับผู้ใช้ แม้เพียงช่วงเวลาสั้นๆ ก็ยังสามารถถูกขโมยหรือนำไปใช้ในทางที่ผิดได้ การควบคุมความปลอดภัย (เช่น MFA การบันทึกเซสชัน หรือเวิร์กโฟลว์การอนุมัติ) จะเชื่อมโยงกับห้องนิรภัย ไม่ใช่กับสิทธิ์การเข้าถึงที่ได้รับสิทธิพิเศษ เมื่อการเข้าสู่ระบบเสร็จสิ้นแล้ว จะไม่มีการบังคับใช้การควบคุมความปลอดภัยเพิ่มเติม 

PAM ที่เน้น Vault ทำงานได้ดีในยุคที่โครงสร้างพื้นฐานแบบคงที่และบัญชีที่มีอายุการใช้งานยาวนาน แต่สภาพแวดล้อมไอทีในปัจจุบันเป็นแบบไดนามิก กระจายตัว และขับเคลื่อนด้วยอัตลักษณ์ การปกป้องข้อมูลประจำตัวในห้องนิรภัยเพียงอย่างเดียวไม่เพียงพออีกต่อไป.

จากการจัดการบัญชีที่มีสิทธิพิเศษไปจนถึงการรักษาความปลอดภัยการเข้าถึงที่มีสิทธิพิเศษ

โอกาสที่แท้จริงและสิ่งที่กำหนดอนาคตที่ปราศจากห้องนิรภัยคือการเปลี่ยนแปลงจาก การจัดการบัญชีสิทธิพิเศษ ไปยัง การรักษาความปลอดภัยการเข้าถึงที่มีสิทธิพิเศษ. 

ในรูปแบบนี้ องค์กรต่างๆ จะไม่ต้องพึ่งพาบัญชีถาวรที่มีรหัสผ่านแบบ Vaulted อีกต่อไป แต่สิทธิ์การใช้งานจะได้รับการมอบแบบไดนามิกแบบ Just-in-Time และจะถูกยกเลิกทันทีที่ไม่จำเป็นต้องใช้อีกต่อไป การเข้าถึงจะถูกจัดการและตรวจสอบแบบเรียลไทม์โดยอิงตามข้อมูลประจำตัวผู้ใช้ บริบท (อุปกรณ์ สถานที่ เวลา) และนโยบาย  

สิ่งนี้จะช่วยขจัดความเสี่ยงหลายประการที่เกี่ยวข้องกับ PAM ที่ใช้ Vault: 

• ไม่มีหลักฐานยืนยันที่สามารถขโมยหรือใช้ซ้ำได้ 

• การเปลี่ยนแปลงพฤติกรรมของผู้ใช้มีน้อยมาก ไม่มีการรบกวนการเข้าสู่ระบบ และไม่มีขั้นตอนการตรวจสอบรหัสผ่าน 

• การเข้าถึงทั้งหมดจะถูกตรวจสอบอย่างเข้มงวดและเชื่อมโยงกับข้อมูลประจำตัวที่ได้รับการตรวจสอบ 

• แม้ว่าผู้โจมตีจะสามารถเข้าถึงรหัสผ่านได้ แต่การเข้าถึงยังคงปลอดภัยและสามารถหยุดการโจมตีได้จากตรงนั้น 

โมเดลนี้ยังขยายได้อย่างราบรื่นอีกด้วย ตัวตนที่ไม่ใช่มนุษย์ (NHIs) เช่น บัญชีบริการ สคริปต์ เอเจนต์ AI และเครื่องมืออัตโนมัติ ซึ่งปัจจุบันเป็นส่วนใหญ่ของสิทธิการเข้าถึงแบบมีสิทธิพิเศษในองค์กรส่วนใหญ่ แทนที่จะต้องจัดการข้อมูลประจำตัวที่มีอายุการใช้งานยาวนานหลายพันรายการสำหรับหน่วยงานเหล่านี้ องค์กรต่างๆ สามารถบังคับใช้นโยบายที่อนุญาตให้ระบบเฉพาะสามารถเริ่มต้นสิทธิการเข้าถึงแบบมีสิทธิพิเศษภายใต้การควบคุมที่เข้มงวด โดยไม่มีความลับแบบคงที่ได้ NHIs สามารถจัดการได้ง่ายขึ้นผ่านผู้ให้บริการข้อมูลประจำตัวเครื่องมือเนทีฟคลาวด์และการบังคับใช้แบบรันไทม์ ทำให้แนวทางแบบไม่ต้องใช้วอลต์มีความเป็นไปได้และปลอดภัยยิ่งขึ้น 

การเข้าถึงที่เน้นที่ตัวตน: แนวทางที่ปลอดภัยยิ่งขึ้น

การเปลี่ยนแปลงไปสู่การรักษาความปลอดภัยการเข้าถึงแบบมีสิทธิพิเศษนี้เกิดขึ้นได้ด้วยความก้าวหน้าทางเทคโนโลยีด้านความปลอดภัยของข้อมูลประจำตัว ปัจจุบันองค์กรต่างๆ สามารถใช้การควบคุมความปลอดภัยที่เข้มงวดในชั้นข้อมูลประจำตัว เพื่อบังคับใช้ MFA นโยบายตามความเสี่ยง การติดตามเซสชัน และการยกระดับแบบทันเวลา-ไม่มี การฉีดข้อมูลประจำตัวหรือการปรับเปลี่ยนโครงสร้างพื้นฐาน  

ในความเป็นจริง แพลตฟอร์มสมัยใหม่สามารถรักษาความปลอดภัยการเข้าถึงที่มีสิทธิพิเศษได้ในลักษณะดังต่อไปนี้: 

• ไร้พร็อกซี – ไม่จำเป็นต้องกำหนดเส้นทางการรับส่งข้อมูลเครือข่ายทั้งหมดผ่านเกตเวย์หรือเขียนแอพใหม่ 

• ไม่มีข้อมูลประจำตัว – หลีกเลี่ยงการฉีดหรือเปิดเผยข้อมูลประจำตัวที่มีสิทธิพิเศษ 

• อินไลน์และเรียลไทม์ – ตอบสนองแบบไดนามิกต่อความพยายามเข้าถึงด้วยการตัดสินใจนโยบายที่ปรับเปลี่ยนได้ 

การเปลี่ยนแปลงทางสถาปัตยกรรมนี้ช่วยให้องค์กรสามารถ ใช้หลักการ Zero Trust เพื่อการเข้าถึงที่มีสิทธิพิเศษ—ตรวจสอบทุกคำขออย่างต่อเนื่อง ใช้การกำหนดนโยบายสิทธิ์ขั้นต่ำ และตอบสนองต่อความผิดปกติทันที 

และสอดคล้องกับวิธีที่ทีมงานรักษาความปลอดภัยต้องการทำงาน: ลด พื้นผิวการโจมตีลดการหยุดชะงักของผู้ใช้ และลดความซับซ้อนของการดำเนินงาน

ห้องนิรภัยจะหายไปมั้ย?

ห้องนิรภัยจะยังคงเป็นส่วนหนึ่งของระบบการเข้าถึงแบบมีสิทธิพิเศษในอนาคตอันใกล้ บางระบบจะยังคงกำหนดให้ใช้รหัสผ่าน ข้อกำหนดด้านการปฏิบัติตามข้อกำหนดบางประการกำหนดให้จัดเก็บข้อมูลประจำตัวอย่างปลอดภัย และในบางกรณีที่มีการเจาะระบบหรือระบบเดิม การมีห้องนิรภัยเป็นกลไกสำรองยังคงมีความเหมาะสม 

แต่ห้องนิรภัยจะไม่เป็นอีกต่อไป ประถม วิธีที่องค์กรต่างๆ รักษาความปลอดภัยการเข้าถึงที่มีสิทธิพิเศษ แทนที่จะเป็นเช่นนั้น จุดศูนย์ถ่วงจะเปลี่ยนไป การควบคุมแบบเรียลไทม์ที่รับรู้ตัวตน—โมเดลที่ไม่ต้องอาศัยการมอบข้อมูลประจำตัวให้กับผู้ใช้ และไม่จำเป็นต้องมีข้อมูลประจำตัวเหล่านั้นตั้งแต่แรก 

เรากำลังเห็นการเปลี่ยนแปลงนี้เกิดขึ้นแล้ว แพลตฟอร์มความปลอดภัยด้านตัวตนสมัยใหม่กำลังถูกนำมาใช้เพื่อบังคับใช้การควบคุมการเข้าถึงแบบละเอียดสำหรับเซสชันที่มีสิทธิพิเศษทั่วทั้งระบบคลาวด์และสภาพแวดล้อมภายในองค์กร การควบคุมเหล่านี้ ซึ่งขึ้นอยู่กับว่าผู้ใช้คือใคร ทรัพยากรใดที่พวกเขากำลังเข้าถึง และภายใต้บริบทใด มีความแม่นยำ ปรับขนาดได้ และปลอดภัยกว่าวิธีการที่ใช้ Vault 

และที่สำคัญพวกเขาเป็น ใช้งานได้รวดเร็วขึ้นและจัดการได้ง่ายขึ้นเนื่องจากไม่จำเป็นต้องให้ผู้ใช้เปลี่ยนวิธีการเข้าสู่ระบบหรือให้ทีมไอทีออกแบบสภาพแวดล้อมใหม่

มองไปข้างหน้า

อนาคตของการเข้าถึงแบบมีสิทธิพิเศษจะปราศจากห้องนิรภัย ห้องนิรภัยเคยมีบทบาทสำคัญอย่างยิ่งในยุคก่อน แต่เมื่ออัตลักษณ์กลายเป็นขอบเขตใหม่ และการเข้าถึงกลายเป็นจุดควบคุม ก็ถึงเวลาที่ต้องก้าวต่อไป 

ผู้นำด้านความปลอดภัยที่ต้องการลดความเสี่ยง เร่งการนำระบบ Zero Trust มาใช้ และลดความยุ่งยากในการปฏิบัติงาน ควรเริ่มต้นด้วยการถามว่า: ฉันจำเป็นต้องปกป้องรหัสผ่านนี้หรือไม่ หรือฉันสามารถลบมันออกไปได้เลยหรือไม่ 

การเปลี่ยนโฟกัสจากบัญชีไปที่การเข้าถึงจะทำให้เราสามารถรักษาข้อมูลประจำตัวได้ในที่สุดในลักษณะที่ผู้ใช้ไม่สามารถมองเห็นได้ ทนทานต่อการละเมิด และสร้างขึ้นสำหรับสภาพแวดล้อมแบบไดนามิกของวันนี้และวันพรุ่งนี้ 

เรียนรู้เพิ่มเติมเกี่ยวกับการรักษาความปลอดภัยการเข้าถึงสิทธิพิเศษ และมีประโยชน์ต่อทีมงานด้านข้อมูลประจำตัวและความปลอดภัยอย่างไร