«Just-In-Time», una estrategia imprescindible para la seguridad de los accesos

La transformación digital de las empresas y la necesidad de acceder de forma remota a los sistemas de información provoca que el tipo y número de usuarios privilegiados (administradores, business managers, proveedores, etc.) no deje de aumentar. Por ende, controlar la huella de los accesos privilegiados en el entorno, así como su alcance (qué autorizaciones se conceden y dónde se aplican) y su duración (cuándo se conceden dichas autorizaciones y durante cuánto tiempo) se vuelve esencial. La reducción del riesgo asociado al abuso de privilegios, o incluso la eliminación completa de los privilegios (Zero Standing Privileges o ZSP), es el principio mismo de «Just-In-Time» (JIT). Aunque existan varios métodos para implementar lo, el objetivo principal del JIT no deja de ser el de controlar el tiempo de uso de los privilegios —o la posible utilización abusiva de los mismos— y reducir las superficies de ataque (IoT, entorno multicloud, uso de DevOps, automatización de procesos robóticos, etc.).

Además, como señala Gartner, para 2025 el 75% de las empresas de seguros cibernéticas exigirán el uso del principio JIT al implantar la gestión de accesos privilegiados (PAM)… ¡así que prepárese cuanto antes con PAM4ALL!

¿Por qué implementar el «Just-In-Time»?

La seguridad de accesos Just-In-Time (JIT) es una práctica fundamental que ayuda a reducir los privilegios de acceso excesivos, además de ser una herramienta esencial a la hora de implementar el principio del Menor Privilegio y el modelo de seguridad Zero Trust. Este principio concede a los usuarios, procesos, aplicaciones y sistemas derechos y accesos determinados para realizar ciertas tareas definidas durante un periodo de tiempo preestablecido.

La seguridad Just-In-Time, como política, tiene por objetivo minimizar el riesgo de los privilegios permanentes para limitar la exposición a potenciales ciberataques. Cuando un gran número de usuarios de una organización dispone de una gran cantidad de privilegios en todo momento, las posibilidades de sufrir un robo, explotación y escalada de credenciales para robar secretos, cifrar datos o detener sistemas aumenta exponencialmente. Al conceder privilegios elevados únicamente cuando es necesario —ni más ni menos— se consigue limitar al mínimo la exposición y, además, permite a los usuarios continuar con su trabajo.

El informe de vulnerabilidades de Microsoft de 2021 afirma que el año pasado la elevación de privilegios fue la categoría de vulnerabilidad número uno, un 44% del total, lo que supone un aumento de casi el doble con respecto a 2020 (por no mencionar que la eliminación de los derechos administrativos de los endpoints reduciría todas las vulnerabilidades críticas de Microsoft en un 56%).

Gracias al Just-In-Time, las cuentas que tienen privilegios siempre activos pueden reducir dicho estado de actividad permanente a tan solo unos pocos minutos. Si este enfoque lo extendemos al resto de cuentas, la reducción de los riesgos será extremadamente rápida. No obstante, con el JIT no solo logrará proteger sus cuentas gracias al factor tiempo, sino que también se logrará mitigar los vectores de ataque que utilizan técnicas como el movimiento lateral, impidiendo que los actores maliciosos progresen y eleven sus privilegios en la red.

Las políticas de seguridad Just-In-Time (JIT) ayudan a las empresas a:

• Mejorar su postura de ciberseguridad general
• Eliminar privilegios excesivos e implementar la política de Zero Standing Privileges
• Optimizar y automatizar los procesos de escalada de privilegios
• Gestionar usuarios privilegiados que sean tanto máquinas como humanos
• Habilitar los accesos remotos seguros a los activos sensibles
• Facilitar la seguridad sin afectar a la productividad

¿Cómo funciona el JIT?

El objetivo del JIT es asignar automáticamente los privilegios que un usuario necesita sobre la marcha y abordando los tres principales factores de acceso: ubicación, tiempo y acciones. ¿Desde qué lugar pretende acceder un usuario? ¿Durante cuánto tiempo necesitará tener acceso? ¿Está autorizado a trabajar durante dicho periodo de tiempo? ¿Qué es lo que pretende hacer exactamente con ese acceso?

Tomemos el ejemplo de Alice, subcontratista de ACME que necesita acceder al sistema informático de la empresa para realizar el mantenimiento de algunos de sus servidores clave. Gracias al principio de Just-In-Time, Alice podrá crear un ticket que, tras ser aprobado por el departamento de IT, le dará acceso exclusivo a la máquina específica en la que necesita trabajar, y a ninguna otra, durante un periodo de tiempo determinado y bajo unas condiciones predefinidas.

En el caso de Alice, la seguridad JIT permite la elevación de sus privilegios en condiciones predefinidas para garantizar la seguridad sólida de ACME:

• Acceso únicamente durante el horario laboral
• Acceso a los activos sensibles únicamente para realizar tareas específicas
• Elevación de tan solo los privilegios de las aplicaciones, no de toda la sesión del usuario
• Acceso remoto seguro para empleados y proveedores externos

Existen numerosas reglas y activadores contextuales del JIT en función de los usos y las características de las cuentas privilegiadas basadas en los derechos, los flujos de trabajo de aprobación o la Autenticación Multifactor. En cada caso, es necesario preguntarse qué normas rigen el uso de un acceso JIT y qué condiciones deben cumplirse para su revocación.

Cómo implementar la seguridad Just-In-Time

El primer paso sería realizar una auditoría de todos los privilegios de acceso de los usuarios de toda la empresa, para así determinar el alcance y escala del problema. ¿Cuántos usuarios hay? ¿Cuáles son sus perfiles y a qué aplicaciones y sistemas suelen solicitar acceso? ¿Cuántas cuentas de usuario están inactivas y cuántos privilegios elevados se utilizan casi nunca o nunca?

En función de las respuestas, el siguiente paso será establecer una política interna mediante la cual se puedan definir los requisitos que los usuarios deben cumplir si desean obtener acceso a los sistemas de destino: ¿durante cuánto tiempo se debería permitir el acceso, a qué funciones y equipos y en qué condiciones?

También tendrá que recuperar el control de todas las contraseñas y credenciales de los sistemas de destino. Cabe destacar que la centralización de la gestión y rotación de contraseñas a aplicaciones y activos de IT es crítica para garantizar la gestión integral de riesgos y vulnerabilidades.

Ya podemos decir que está totalmente preparado para adoptar la política de seguridad «Just-In-Time». ¡Lo único que le queda es implementar la solución WALLIX PAM4ALL!

WALLIX PAM4ALL ofrece una respuesta concreta a los problemas de las cuentas que siempre están activas. PAM4ALL es la solución unificada de gestión de privilegios y accesos que permite proteger, controlar y gestionar todos los accesos de los usuarios (ya sean humanos o máquinas, desde administradores de IT a empleados o subcontratistas), sentando las bases de una arquitectura Zero Trsut basada en:

• MFA o Autenticación Multifactor, que neutraliza los riesgos asociados a las credenciales comprometidas utilizando una amplia gama de mecanismos.
• Gestión del acceso remoto para proveedores, empleados o terceros, aplicando permisos granulares para las personas que acceden a los servicios digitales sensibles de la empresa.
• Gestión de sesiones, que aumenta la supervisión de la seguridad y controla el «cómo, qué y cuándo» de las personas internas y externas que acceden a los activos críticos de la empresa.
• Gestión de contraseñas en total seguridad y mediante la rotación de contraseñas y claves y la eliminación de contraseñas duras. PAM4ALL también permite separar los puestos de cuentas dedicadas a la administración de los usuarios de una empresa (silos) y protege las credenciales y contraseñas de acceso al Directorio Activo.
• Gestión del Menor Privilegio para eliminar los derechos de administración locales de los puestos de trabajo para conceder los privilegios apropiados al usuario correcto en el momento adecuado, bloquear el movimiento lateral y detener la propagación del malware.

Con PAM4ALL, ni los usuarios ni los administradores de IT con acceso a las cuentas tienen privilegios ilimitados. Los usuarios humanos y las máquinas pueden solicitar una elevación temporal de privilegios cuando necesitan realizar tareas ocasionales o ejecutar comandos que requieren privilegios. Los activadores, las reglas de gestión y revocación de privilegios y los métodos de aplicación del principio  Just-In-Time están bajo el control del departamento de IT, que pueden adaptar el uso del JIT según sus criterios de política de seguridad.

WALLIX PAM4ALL protege a todos los usuarios, incluso los que no forman parte del equipo de IT, ya que los endpoints son una fuente constante de vulnerabilidades. La gestión del Menor Privilegio permite a los usuarios elevar los privilegios de forma dinámica y transparente para una aplicación o proceso específico sin tener que elevar los privilegios de sesión o de usuario. Con PAM4ALL se concede el acceso y se permite la elevación de privilegios Just-In-Time, es decir, en el momento en que un usuario necesita realizar una tarea específica (ejecutar un programa, instalar un software de confianza), al mismo tiempo que se bloquean las operaciones de cifrado no autorizadas o los intentos de elevación de privilegios.

Si desea obtener más información sobre la seguridad Just-In-Time, no dude en ver el siguiente webinar: