Lepide En Az Ayrıcalık İlkesinin uygulanmasına nasıl yardımcı oluyor?

Son zamanlarda burada Lepide'de çokça konuştuğumuz özel bir kavram, En Az Ayrıcalık İlkesi'dir (PoLP). En az ayrıcalık ilkesi, 'bir kullanıcının ihtiyaç duyduğu bilgi ve kaynaklara yalnızca meşru nedenlerle erişebilmesini' sağlama sürecidir.

Fırsat Kapıda...

Anlaşılması çok önemli bir kavram. Veri sızıntısı olaylarının temel nedenlerini incelediğimizde fırsatçılığa atfedilebilecek pek çok örnekle karşılaşıyoruz. Çoğu zaman veri sızıntısının failleri doğası gereği kötü niyetli değildir. Herhangi bir organize suç grubunun parçası değiller ve deneyimli yabancı bilgisayar korsanları değiller. Onlar 'normal' çalışanlardır. Potansiyel olarak bağlantısız olabilirler ama her iki durumda da onlar fırsatçıdır. Bu kişiler, kişisel veya finansal kazanç için kullanabilecekleri veya kötüye kullanabilecekleri verilere (dosyalar veya klasörler) erişimlerinin olduğunun farkındadır.

Yakın zamanda karşılaştığımız bir örnek, ABD merkezli bir hizmet şirketiydi (belli nedenlerden dolayı ismi açıklanmayacak). Satış departmanı üyeleri, "onaylanmış giderler" klasörüne erişebileceklerini ve giderler onaylandıktan sonra gider tutarlarını değiştirebileceklerini ve uygun şekilde geri ödeme alabileceklerini fark etti. Bu durumda PoLP kesinlikle yürürlükte değildi. Çalışanların verilere orantısız veya uygunsuz düzeyde izin verdiği durumlarda bu sorunu çok sık görüyoruz.

Veri paradır…

Veri nakit paraya eşdeğerdir. Ancak fiziksel ya da somut olmadığı için çalışanlar arasında veriye ‘dokunmanın’, veriyi paylaşmanın ya da kopyalamanın aslında somut bir suç olmadığı yönünde bir algı oluşuyor. Belki de veri güvenliğiyle ilgili sorun sadece algıdır?

İstatistikler endişe verici…

Lepide olarak 14 yılı aşkın bir süredir bu sektördeyiz ve dünyanın en büyük işletmelerinden bazılarıyla ilgileniyoruz. En az ayrıcalık sağlamak için ne kadar az zaman ve çaba harcandığına açıkçası şaşırdık.

Araştırmamıza göre orta ve büyük ölçekli kuruluşların yalnızca %60'ı mevcut izinleri veya izinlerdeki değişiklikleri proaktif olarak takip edebiliyor.

Daha da kötüsü, tüm kuruluşların %65'inde, kullanıcıların verileriyle etkileşimine dayalı izleme/uyarı sağlamaya yönelik bir süreç veya mekanizma bulunmuyor.

Bu tür sorunların karmaşıklığını tamamen anlıyoruz ve izin yayılımının kuruluşların yönetmesi gereken gerçek bir zorluk olduğunun farkındayız. Ancak veri sızıntısı, içeriden gelen tehditler ve ayrıcalıkların kötüye kullanılması gibi sorunların doğru şekilde ele alınabilmesi için en az ayrıcalık söz konusu olduğunda daha proaktif bir yaklaşımın benimsenmesi gerektiğine inanıyoruz.

Prensip olarak bu kavram açıktır. Yalnızca kaynaklara erişmesi gereken kişilere ihtiyaç duydukları erişimi vermelisiniz. Pratikte pek çok kişi için bu böyle çalışmıyor.

Peki Lepide Veri Güvenliği Platformu nasıl yardımcı olabilir?

Kuruluşların veri etkileşimini takip etmelerine yardımcı olma konusunda kanıtlanmış bir geçmişimiz olduğunu biliyorduk, ancak konu erişim haklarına geldiğinde müşterilerimizin güvenliğinde gerçek bir boşluk gördük.

İşte yaptığımız şey.

Kendimizi potansiyel adaylarımızın 'ayakkabısına' yerleştirdik. Senaryoya sanki orta ölçekli bir finans kuruluşuymuşuz gibi yaklaştık; basit bir Google aramasıyla başlıyoruz. Birkaç terim denedik ve ilk gördüğümüz şey bariz bir seçim eksikliğiydi. Daha derine indiğimizde ve kendilerini PoLP çözümleri sunan bazı satıcılar bulmayı başardığımızda, seçeneklerin sınırlı olduğu ve üç farklı kategoriye yerleştirilebileceği açıktı:

1. Çok pahalı olanlar
2. Çok kaba olanlar
3. Çok karmaşık olanlar

Bazı durumlarda satıcıların bazıları bu kategorilerden birden fazlasına giriyordu. Bu alana değer katabileceğimizi bildiğimiz nokta burasıydı.

Lepide Veri Güvenliği Platformunun entegre bir özelliği olarak mevcut izinler özelliğimizi kullanıma sunduk. Bunu mümkün olduğunca basit, sezgisel ve dağıtımı kolay hale getirmek için yola çıktık.

Amaç, boyutu, sektörü veya bütçesi ne olursa olsun herhangi bir kuruluşun bir dosya veya klasörü alıp bir dosya veya klasöre kimin hangi düzeylerde erişime sahip olduğunu, erişimin hangi araçlarla verildiğini ve geçmişin ne olduğunu gösterebilmesini sağlamaktı. izinler (hepsi tıklamayla ilgiliydi). Erişim haklarının yalnızca yasal olarak ihtiyaç duyanlarla sınırlı kalmasına yardımcı olmak için kuruluşların ihtiyaç duydukları bilgileri anında almanın hızlı ve kolay bir yoluna sahip olmasını sağlamak istedik.

Uygulamalı olarak görelim…

Ayrıcalıkların korunması amacıyla Lepide Veri Güvenliği Platformu, Active Directory için aşağıdaki izin raporlarını içerir.
1. İzin Değişiklikleri: Active Directory nesnelerinin izinlerinde yapılan tüm değişiklikleri gösterir. Hem değiştirilen değeri hem de değişiklik sonrası son değeri görebilirsiniz.

2. İzin Karşılaştırma: Bir nesnenin izinlerini iki tarih arasında karşılaştırmanıza olanak tanır.

3. Bir Nesneye Verilen Tüm İzinler: Bir nesneye diğer Active Directory nesneleri tarafından verilen tüm izinleri gösterir.

4. Bir Nesnenin İzinleri: Nesnelerin sahip olduğu tüm etkin izinleri gösterir.

Lepide Veri Güvenliği Platformu hakkında öğreneceğiniz en iyi şey, Active Directory, Exchange Server, SharePoint Server, SQL Server, Exchange Online, Windows Dosya Sunucusu ve NetApp Dosyalayıcıları dahil olmak üzere BT Altyapısındaki kullanıcı izin değişikliklerinin izini sürmesidir. .

Aşağıdaki ekran görüntüsünde, Lepide'ın Dosya Sunucusu denetim yeteneklerini kullanarak, söz konusu klasördeki kullanıcıların izinlerinde tam olarak hangi değişikliklerin yapıldığını görebilirsiniz.

İşte kovada daha fazlası var. Çözümümüz Active Directory, Exchange Server ve Dosya Sunucusu için Geçmiş İzin Değişiklik Raporları ile donatılmıştır. Tüm BT altyapınızdaki nesnelerin, posta kutularının, dosyaların ve klasörlerin izinlerinde hangi değişikliklerin yapıldığını görmenizi sağlar. İzin geçmişinin tamamını görebilir ve verilen iki tarih arasındaki izinleri karşılaştırabilirsiniz. Bu ekran görüntüsünde, söz konusu dosyanın belirli bir tarih aralığına göre geçmiş izinlerini görebilirsiniz:

Verilerdeki kullanıcı ayrıcalıklarının canlı bakımı için, tüm paylaşılan klasörler ve dosyalarındaki kullanıcıların mevcut izinlerinin analizini gösteriyoruz. Bunlar, Paylaşım izinleri NTFS izinleriyle karşılaştırıldıktan sonra değerlendirilir. Burada bir örneğe bakın.

En az ayrıcalığa sahip müşterilerimize yardımcı olmak için geliştirdiğimiz bir diğer önemli özellik ise gerçek zamanlı uyarılardı. Bu, kuruluşların bir kullanıcının bir güvenlik grubuna eklenip eklenmediğini veya bir iznin doğrudan değiştirilip değiştirilmediğini proaktif olarak izlemesine olanak sağladı. Buradaki temel ticari fayda elbette izin yayılımının azaltılmasına yardımcı olabilmenizdir. Birisine yanlışlıkla uygunsuz/gayri meşru izinler verilirse, takip etmek için proaktif bir yönteme sahip olursunuz.

Bu ekran görüntüsünde, varsayılan "Kullanıcılar" kapsayıcısının izinleri değiştirildiğinde bazı kullanıcılara gerçek zamanlı uyarı olarak gönderilen bir e-postayı görebilirsiniz.

Bu tür uyarılar aynı zamanda Lepide Mobil Uygulamasına (Android veya Apple cihazları için mevcuttur) anlık bildirim olarak veya dahili Radar Sekmesi üzerinden gönderilen güncellemeler olarak da gönderilebilir.

Hatta bazı ani ancak kritik izin değişikliklerine karşı otomatikleştirilmiş komut dosyaları (bilgisayarı kapatma veya bir hizmeti durdurma komutu gibi) bile tetiklenebilir. Yani bir komut dosyasını tetiklemek burada, ancak Active Directory'de istenmeyen bir izin değişikliğini veya Grup İlkelerinde istenmeyen bir ayrıcalık ilkesi değişikliğini nasıl geri yükleyebilirsiniz? Endişelenmeyin, özel nesne durumu yedekleme ve geri yükleme teknolojimiz var. Çözümümüz, Active Directory nesnelerindeki ve izinlerindeki değişiklikleri ve Grup İlkelerinin tamamını birkaç tıklamayla geri yüklemek için kullanılabilecek yedekleme anlık görüntülerini düzenli aralıklarla yakalayacaktır.

Özetle

Lepide Veri Güvenliği Platformunu kurmanın sizi aşırı ayrıcalıklı kullanıcılardan koruyacağını bir dakika bile önermiyoruz. Ancak kuruluşunuzun En Az Ayrıcalık Politikasını uygulamasını sağlamak için ihtiyaç duyduğunuz öngörüyü elde etmenin basit ve proaktif bir yolunu sunarak bu tür riskleri azaltmanıza kesinlikle yardımcı olabiliriz.