Ventajas de una integración Splunk-PAM
En este artículo analizaremos las ventajas más comunes de la integración de SIEM y PAM, así como la integración específica de Splunk en nuestra solución de gestión de accesos privilegiados WALLIX Bastion.
Breve descripción de las siglas:
SIEM (Gestión de Eventos e Información de Seguridad): las soluciones SIEM asimilan registros de varios sistemas de seguridad como firewalls y dispositivos de red para proporcionar un análisis en tiempo real de las posibles amenazas. Las mejores soluciones SIEM son capaces de detectar patrones y correspondencias entre incidentes que al ser humano le resultan imposibles de identificar. A pesar de que probablemente Splunk sea más que un simple SIEM, con frecuencia se le denomina «SIEM plus».
PAM (Gestión del Acceso Privilegiado o Gestión de Cuentas Privilegiadas): PAM se encarga de garantizar que únicamente los administradores que posean los derechos de acceso adecuados puedan acceder a los sistemas de back-end. Esta solución también rastrea las sesiones de cuentas privilegiadas cuando los administradores añaden, eliminan o editan cuentas de usuario u otros ajustes.
Cómo funcionan juntos IAM y PAM
Existen varias formas de integrar ambas soluciones, pero la que más nos convence es la que utiliza a PAM como una especie de lupa que muestra en detalle una alerta de seguridad relacionada con una cuenta privilegiada.
Una solución SIEM debe ser capaz de detectar un incidente sospechoso (p. ej., en un momento no muy común del día, un usuario cuya cuenta se acaba de configurar cambia la configuración de un sistema desde una dirección de IP un tanto extraña). No obstante, en ocasiones puede que los informes SIEM por sí solos no proporcionen a los responsables de seguridad todos los detalles sobre las acciones que un usuario privilegiado ha llevado a cabo. En cambio, una solución SIEM/PAM que esté completamente integrada debe poder mostrar al equipo de seguridad qué es lo que ocurrió exactamente.
Ahí la palabra clave es «debe». Uno de los motivos por los cuales se necesita la integración SIEM/PAM es debido a un problema de SIEM bastante conocido: su gestión. Los sistemas SIEM pueden ser difíciles de implementar y necesitan mucho mantenimiento. Si SIEM no se configura adecuadamente puede llegar a generar enormes cantidades de informes que son difíciles de analizar. Además, los falsos positivos pueden desviar la atención de las verdaderas amenazas.
El otro «debe» hace referencia a la capacidad de PAM de proporcionar información útil sobre un evento de seguridad, ya que lo cierto es que no todas las soluciones PAM funcionan bien.
Se preguntará: «¿Y qué puedo hacer?» En algunos sectores, como las finanzas, SIEM es necesario para cumplir con la normativa. Los responsables de seguridad están obligados a registrarlo todo y a revisar los informes de dichos registros. A menudo este proceso requiere mucho tiempo y recursos, ya que no es muy común que un individuo o equipo analice diariamente cientos de páginas de informes y pueda afirmar rotundamente que no se ha producido ninguna infracción. Aquí es donde la integración de SIEM y PAM se vuelve útil.
La integración de Splunk y WALLIX
La integración de una solución PAM adecuada puede marcar la diferencia. La ventaja de la integración entre Splunk y PAM (o autenticación Splunk-PAM) es su capacidad para centrarse en los eventos sospechosos y saber rápidamente si se trata de una verdadera amenaza.
Splunk y la solución PAM WALLIX Bastion se integran muy bien.
Cuando WALLIX se integra con Splunk, los responsables de seguridad pasan de observar un mero aviso sobre un incidente de seguridad a ver un análisis detallado de la sesión de la cuenta privilegiada implicada en el incidente. Es verdad que no todos los incidentes de seguridad están relacionados con sesiones de cuentas privilegiadas, pero sí que algunas de las mayores amenazas a la seguridad provienen de cuentas privilegiadas.
A simple vista, el responsable de seguridad sabrá quién inició sesión en qué sistema. WALLIX también proporciona un vídeo de la sesión, para que este pueda ver qué es lo que hizo exactamente el administrador durante la sesión privilegiada. Si se produjo un problema, el responsable de seguridad podrá conocer los detalles enseguida.
No obstante, la integración de SIEM y PAM va más allá de un simple software. También es necesario disponer de políticas y prácticas.
10 pasos que le ayudarán a conseguir una integración Splunk-WALLIX completa:
- Crear una política de seguridad útil y comprensible basada en las necesidades de su negocio y de conformidad.
- Garantizar que todos los empleados y terceros lean, comprendan y accedan a la política de seguridad.
- Aplicar la política: no tiene sentido tener una política si esta no se aplica.
- Crear una política de acceso con privilegios mínimos.
- Usar flujos de trabajo para garantizar únicamente accesos autorizados y aprobados a los sistemas de datos críticos.
- Monitorear y grabar todas las sesiones asociadas a datos privilegiados y sistemas críticos gracias a WALLIX y Splunk.
- Comunicar a todos los usuarios que se conectan a los sistemas monitoreados que están siendo grabados y posiblemente observados en tiempo real (modo 4 ojos).
- Auditar sistemáticamente las conexiones a los sistemas críticos a partir de Splunk.
- En caso de que Splunk avise de una violación, usar la grabación de WALLIX para entender si dicha violación se ha efectuado de forma accidental o deliberada.
- Aprender de cualquier otra violación que se haya producido, fortalecer la política y, de ser necesario, reducir el acceso.
Es el momento de realizar la implementación
Puede que asuste pensar en implementar todos estos pasos, pero no tiene por qué. Sí, es verdad que la planificación e implementación de cualquier integración SIEM/PAM llevará su tiempo, pero no será necesario que vuelva a construir toda su infraestructura. WALLIX puede desplegarse en cuestión de horas y de forma sencilla porque no necesita agentes. Es un bastión, por lo que tan solo las conexiones que se esteblezcan a través de la solución serán registradas y monitoreadas. Este proceso permite cumplir con la privacidad y normativa en cuanto a los correos personales y el uso de Internet.
Posibles obstáculos a los flujos de trabajo
Por lo que hemos ido observando, cuando se plantea la idea de una integración SIEM/PAM, algunos responsables de seguridad reaccionan diciendo que a sus administradores no les va a gustar. No obstante, si la integración SIEM/PAM se realiza correctamente, esta no tiene por qué tener un gran impacto en el flujo de trabajo de los administradores.
Una vez que hemos integrado la solución Splunk-WALLIX, los administradores suelen admitir que prefieren el flujo de trabajo mejorado:
- Todo el mundo puede seguir utilizando herramientas como Putty, WinSCP y productos propios.
- Nadie tiene por qué recordar direcciones de IP o contraseñas.
- WALLIX proporciona un único punto de inicio de sesión único (SSO) y credenciales administrativas remotas a los servidores, dispositivos de red, bases de datos y aplicaciones.
- WALLIX puede ayudar a proteger a los administradores gracias a grabaciones que muestren qué es lo que se hizo exactamente durante las solicitudes de cambio y las emergencias.
Formación y administración
Lo más seguro es que formar al equipo en las integraciones SIEM/PAM no sea pan comido, pero en el caso de Splunk-WALLIX, esto no es un problema. WALLIX es fácil de administrar, y la mayoría de los usuarios tan solo tienen dos pestañas: preferencias y autorizaciones.
- Las preferencias sirven para cambiar contraseñas, correos, etc.
- Por su parte, las autorizaciones permiten al usuario hacer clic simplemente en el/los dispositivo(s) a los que desean conectarse. Cuando un empleado o contratista abandona la empresa, su cuenta se desactiva. Por consiguiente, la amenaza que plantean los antiguos empleados puede reducirse a un único punto de auditoría.
La pista de auditorías
WALLIX proporciona una pista completa de auditoría sobre el nombre del usuario, cuenta remota, duración y protocolo empleado para cada sesión privilegiada. Como el usuario se autentica con su propia cuenta, las cuentas genéricas pueden utilizarse una vez más en dispositivos remotos. Así se ayuda a limpiar antiguas cuentas del sistema antiguas o aquellas que no se utilizan. WALLIX es una fuente única de autenticación: se conecta a los dispositivos remotos y proporciona las credenciales necesarias para autenticar y establecer la sesión.
Para obtener más información sobre la integración Splunk/WALLIX, visite la Alianza Splunk o póngase en contacto con nosotros. Obtenga más información sobre las alianzas e integraciones tecnológicas de WALLIX en nuestro Programa de Alianzas.
