¿Qué es el principio del menor privilegio y cómo se implementa?

En el ejército existe una frase muy conocida que describe el principio del privilegio mínimo de forma concisa: «conocimiento en función de la necesidad». Los militares utilizan esta expresión para explicar que la información confidencial tan solo se proporciona a aquellos que la necesitan para cumplir con su labor. En el ámbito de la ciberseguridad se aplica prácticamente la misma idea. El principio del «privilegio mínimo» implica la restricción de los derechos de acceso de un usuario concreto dentro de la empresa a tan solo aquellos que sean necesarios para llevar a cabo su trabajo. De acuerdo con este principio, a cada proceso, dispositivo y aplicación del sistema se le debe conceder la mínima autoridad necesaria con el fin de evitar que la información privilegiada se vea comprometida.

La idea es conceder el acceso mínimo esencial a todos los usuarios para reducir la «superficie del ataque» y, en consecuencia, disminuir el riesgo que la empresa puede correr.

El concepto de Privilegio Mínimo o Least Privilege es un elemento existente en la mayoría de las regulaciones de ciberseguridad. Por ejemplo, el artículo 5.6 de la norma NIST expone la necesidad de llevar a cabo una «defensa en profundidad» y recomienda que los responsables de seguridad de OT comprendan los «ataques a cuentas privilegiadas y compartidas» y se defiendan de ellos. La norma incluye una recomendación para «restringir los privilegios de los usuarios de ICS y concederles solo aquellos que sean necesarios para que realicen su trabajo (es decir, establecer un control de acceso basado en roles y configurar cada rol según el principio del privilegio mínimo)». De esta forma, se enfatiza la necesidad de controlar los accesos privilegiados. PAM, que permite aplicar el principio del privilegio mínimo, es un elemento crucial para controlar el cumplimiento de esta norma.

Al facilitar el Principio del Privilegio Mínimo, PAM se convierte en un elemento crítico en el cumplimiento de regulaciones como la norma NIST

¿Por qué implementar el privilegio mínimo?

El principio del privilegio mínimo ayuda a garantizar la estabilidad del sistema. Cuando el alcance de los cambios que puede hacer un usuario es limitado, los recursos de la red, los datos y los servidores se vuelven más fáciles de monitorear y más fiables. Al limitar el acceso a todo el sistema también se evita que una posible vulnerabilidad en una aplicación afecte a otros dispositivos o aplicaciones, ya que incluso las personas con acceso privilegiado al primer sistema no tienen acceso a los demás, lo que reduce la exposición a la vulnerabilidad.

Otra ventaja del privilegio mínimo es que minimiza rápidamente la amenaza interna que pueden provocar las cuentas de usuario con privilegios. La vulnerabilidad del sistema se reduce considerablemente cuando los usuarios tan solo tienen los derechos de acceso mínimos a sistemas u horarios necesarios para llevar a cabo su trabajo o para completar una tarea puntual. Al no poder ver otros recursos no autorizados, los movimientos laterales se vuelven imposibles y cualquier acción no autorizada o fuera de horario se convierte inmediatamente en sospechosa.

Entonces, ¿cómo debería implementar el privilegio mínimo?

no-access-least-privilege-pam

Una plataforma de gestión de acceso o access management proporciona un único punto de acceso y administración para todos los usuarios privilegiados. Los «superadministradores» pueden añadir y eliminar usuarios rápidamente según sea necesario, además de modificar el acceso y los permisos a cualquier sistema a medida que cambian las responsabilidades de un puesto de trabajo. Resulta crucial que los administradores posean esta autoridad para que así puedan aplicar el principio del privilegio mínimo (es decir, conceder a los usuarios el menor número de privilegios necesarios para realizar su trabajo y revocarlos de forma inmediata cuando ya no sean necesarios).

Lo primero que usted debe hacer es llevar a cabo una auditoría de privilegios para determinar todas las cuentas y credenciales privilegiadas que actualmente se encuentran en funcionamiento, incluidas las cuentas locales y de usuario.  Aquí es donde Discovery entra en juego. Esta herramienta realiza un profundo análisis de toda su infraestructura con el fin de detectar cuentas privilegiadas y posibles fallas de seguridad, y que así nada se escape.

Una vez que esté al tanto de todas las cuentas y usuarios privilegiados que hay en su red, podrá comenzar a determinar quién necesita realmente acceso a qué recursos, datos y sistemas, y quién no. Esto le permitirá redefinir los derechos de acceso. Una solución PAM posibilita la concesión de privilegios a un nivel granular: los usuarios tan solo pueden ver los recursos a los que tienen derechos de acceso y, por lo tanto, es posible que estos ni siquiera sepan que existen otros recursos (a los que no tienen acceso). Cuando sea necesario, también se podrá conceder acceso por períodos de tiempo específicos. Por ejemplo, se le puede dar acceso a un proveedor externo que se dedica al mantenimiento de las máquinas de imágenes por resonancia magnética durante 3 días, pero no antes ni después de dicho período.

Si toda esta información aparece correctamente especificada, los superadministradores podrán conceder privilegios de nuevo en función de la «necesidad de conocer». Este proceso se puede optimizar mediante una política granular de PAM. Al hacer esto, usted ya está reduciendo drásticamente la superficie de ataque potencial.

Si más adelante un usuario individual necesita permisos adicionales, este puede presentar una solicitud que será valorada por el «superusuario». También se puede aplicar la concesión y revocación de privilegios just-in-time, o bien porque se ha finalizado una tarea específica o bien porque ha expirado un período predeterminado.

Otra de las ventajas de implementar una política de privilegio mínimo basada en PAM son las contraseñas de un único uso que un usuario «toma prestadas» para iniciar una sesión determinada y que expiran cuando la sesión termina. Este tipo de gestión de privilegios puede automatizarse en su mayor parte, al mismo tiempo que se genera un registro permanente de quién ha accedido al sistema y cuándo. Esta solución permite controlar la carga de trabajo de los «superadministradores» de TI. Con la solución WALLIX Bastion es aún más fácil: el acceso se puede solicitar, conceder, monitorear y revocar directamente desde la plataforma.

Privilegio Mínimo y PAM

El principio del privilegio mínimo es una potente forma de protección de datos y sistemas, y una parte integral de una solución basada en PAM. Es importante tener en cuenta que no se puede considerar al privilegio mínimo como una solución autosuficiente. La clave es que esta sea una parte integrada de un sistema PAM (Gestión de Acceso Privilegiado), la cual permite a los superadministradores conceder y revocar privilegios de acceso a los usuarios cuando sea necesario. La solución WALLIX ofrece un único punto de administración para todos los sistemas, usuarios, etc., optimizando así el proceso.

La solución WALLIX PAM va un paso más allá y actúa como medida preventiva. Incluso los usuarios con privilegios administrativos trabajan detrás de un airblock, sin que puedan acceder directamente al backend ni a la contraseña de root. Este método hace que los superadministradores no estén obligados a estar a disposición de aquellos usuarios que solicitan acceso todos los días, al mismo tiempo que se reduce considerablemente el riesgo inherente que representan los usuarios privilegiados (desde antiguos empleados hasta aquellos que se hacen pasar por hackers).

En la coyuntura actual, donde existen grandes volúmenes de amenazas cibernéticas que afectan a empresas a diario, es esencial que las organizaciones de todos los tamaños cuenten con amplios controles para garantizar la seguridad de su red y sistema. Esto es, por supuesto, de vital importancia para la seguridad, la productividad y el rendimiento de la organización, pero también se trata de una cuestión de conformidad, con la trazabilidad y la responsabilidad como prioridades.

Como ya hemos visto, el principio de privilegio mínimo tiene una amplia variedad de ventajas, sin embargo, su cumplimiento puede ser desafiante si no se dispone de una solución aerodinámica para gestionar todas las cuentas y usuarios privilegiados. Si incorporamos la teoría a una plataforma y política PAM más exhaustiva, podremos ofrecer una mejor estrategia para optimizar la seguridad frente a los riesgos potenciales que plantean los usuarios privilegiados.