La combinación de MFA y PAM

Los entornos de red corporativos suelen ser grandes, con muchos puntos de acceso que pueden ser potencialmente aprovechados para obtener un acceso no autorizado a la red, así como a los recursos y datos que se ubican dentro de la misma. Al intentar bloquear los sistemas del acceso no autorizado, los equipos de ciberseguridad a menudo utilizan una estrategia de «defensa en profundidad» mediante la que se protege al sistema en su conjunto usando múltiples capas de defensa que buscan garantizar la protección individual de cada uno de sus componentes.

Dos de las capas que se emplean normalmente son la autenticación multifactor (MFA) y la gestión de acceso privilegiado (PAM). Para ilustrar el ejemplo de la defensa en profundidad, resulta útil entender qué son MFA y PAM y cómo trabajan juntas para proporcionar una defensa por capas del acceso y la explotación no autorizados del sistema.

Una solución MFA fuerte frente a PAM ayuda a garantizar que los usuarios son quienes dicen ser antes de que lleguen al punto de acceso.

MFA por partes

Todo el mundo está familiarizado con el típico sistema de nombre de usuario y contraseña para acceder a cualquier lugar, desde cuentas de correo electrónico y páginas web hasta recursos de red como servidores. Dicho proceso, por sí solo, tan solo presenta un único factor de autenticación, y si conoce el login tendrá acceso a los recursos protegidos por firewall que hay tras dicho inicio de sesión. El problema radica en que, por naturaleza, la autenticación de factor único no es demasiado segura, ya que tan solo pone un único obstáculo entre usted y el recurso. Las contraseñas o se roban de bases de datos, o se proporcionan a una estafa de phising creada para parecerse a la página legítima que el usuario pretendía visitar o son débiles y fáciles de descifrar por un hacker que dispone de las herramientas adecuadas.

La autenticación multifactor proporciona una solución a este problema al requerir que los usuarios se autentiquen a través de más de un factor. Es decir, una estrategia de MFA solicitará algo que el usuario conoce, como una contraseña, y algo que sea claramente suyo, único al usuario. Con una contraseña además de un identificador único, el sistema recibe dos capas de prueba, o factores, de que usted es quien dice ser.

Cuando un usuario intenta iniciar sesión en un sistema y se le envía un mensaje de texto a su teléfono con un código de autorización, quiere decir que la autenticación multifactor está actuando. MFA aprovecha el hecho de que, aunque la contraseña de un usuario sea pirateada, es poco probable que el hacker también tenga su teléfono. A menos que nos encontremos en la película de Misión Imposible, es extremadamente improbable que un hacker que se haya hecho con la contraseña de un usuario también tenga la huella digital del mismo, por ejemplo.

Gestión de acceso privilegiado: PAM

La gestión de acceso privilegiado, por otro lado, se preocupa por proteger adecuadamente los recursos privilegiados dentro de una red. PAM es necesaria por el hecho de que incluso (o especialmente) dentro de una red determinada, no todos los usuarios son creados de manera idéntica, y cada uno debe recibir únicamente los privilegios mínimos necesarios para realizar sus tareas. Por ejemplo, ciertos usuarios serán DBA y necesitarán tener un acceso privilegiado a los servidores de bases de datos para realizar su trabajo, mientras que los mismos no podrán ver otros elementos de la red que no necesiten de su función de DBA. De la misma forma, los ingenieros de redes necesitarán un acceso privilegiado a routers y firewalls, pero no a servidores de bases de datos.

Por lo tanto, las soluciones PAM deben saber no solo quién es un usuario, sino también a qué recursos se les debe conceder un acceso privilegiado. Para mejorar aún más la seguridad, las soluciones de PAM fuertes suelen tener sus propias capas de seguridad. Es decir, poseen la capacidad de limitar el acceso de los usuarios por función, pero también por otros factores como el tiempo y la ubicación, asegurando de esta forma que incluso un usuario que ya haya sido autenticado tan solo vea el recurso específico al que va a acceder, y solo cuando sea conveniente.  Como ejemplo rápido, a un determinado usuario se le puede conceder acceso privilegiado a un servidor para llevar a cabo una actualización, porque tiene la función de administrador de dicho servidor; sin embargo, los administradores de PAM también podrían limitar ese acceso privilegiado por motivos relacionados con el negocio o simplemente como práctica de seguridad, a una ventana de dos horas a partir de la medianoche, por ejemplo. Una vez fuera de ese período de tiempo, el usuario no podría acceder al servidor ni por motivos justificados ni por malignos, incluso teniendo las credenciales de inicio de sesión.

Cómo funcionan juntas MFA y PAM

Sin embargo, hay que destacar una cuestión importante sobre la gestión de acceso privilegiado. Cuando un usuario se autentica con éxito en el sistema, PAM le proporciona a este el acceso privilegiado que se le ha concedido. Esta característica de PAM es excelente cuando el usuario es quien dice ser, pero puede ser potencialmente nefasta cuando un usuario privilegiado dentro del sistema no es quien dice ser.

Las soluciones de PAM fuertes tienen salvaguardas para proteger de esta misma situación. Cuando la actividad emprendida por un usuario privilegiado esté fuera de los parámetros definidos, las herramientas de gestión de sesiones o session management alertarán al equipo de seguridad o finalizarán automáticamente la sesión. Un ejemplo de ello sería cuando un supuesto administrador de la base de datos de manera repentina comienza a ejecutar rápidamente una gran cantidad de consultas a múltiples bases de datos.

No obstante, ¿qué pasaría si un hacker roba las credenciales de un DBA, logra acceder al sistema y luego realiza una actividad que no genera alarmas, como ejecutar una consulta ocasional, tal y como lo haría un DBA legítimo?

Este es el tipo de situación que previenen las soluciones MFA y PAM cuando trabajan juntas para proporcionar una defensa por capas en profundidad. Mientras que las soluciones de PAM fuertes destacan por proporcionar solo el acceso adecuado a los usuarios privilegiados, una importante capacidad de MFA frente a PAM es que ayuda a garantizar que los usuarios sean quienes dicen ser antes de llegar al punto en el que se deben determinar y conceder los privilegios.

Se trata de una estrategia por capas que realmente ayuda a los equipos de seguridad y administradores a crear una defensa en profundidad; es una forma fiable de aumentar la ciberseguridad de una empresa, ya que los entornos de red actuales están sujetos a constantes intentos de sondeo y hacking.

Para más información, no dude en ponerse en contacto con nuestros equipos de expertos WALLIX. ¡Estarán encantados de responder a sus preguntas!