Что такое управление секретами?

Управление секретами — это процесс организации, управления и защиты секретов ИТ-инфраструктуры. Он позволяет организациям безопасно хранить, передавать и проверять секреты. Управление секретами позволяет защитить секреты от несанкционированного доступа и обеспечивает надлежащее функционирование систем организации. Менеджер секретов — это безопасная система хранения и единственный источник достоверных данных для привилегированных учетных данных, ключей API и другой особо конфиденциальной информации, используемой в ИТ-инфраструктурах.

Читайте дальше, чтобы больше узнать об управлении секретами и о том, что вы можете сделать для защиты информационной среды своей компании.

Что такое «секрет»?

В среде ИТ-данных секреты представляют собой привилегированные учетные данные, не принадлежащие человеку, чаще всего те, которые используются системами и приложениями для аутентификации или в качестве входных данных для криптографического алгоритма. Секреты позволяют приложениям и системам передавать данные и запрашивать службы друг у друга. Секреты открывают доступ к приложениям, службам и ИТ-ресурсам, содержащим особо конфиденциальную информацию и привилегированные системы.

Общие типы секретов включают в себя:

Учетные данные для входа, не принадлежащие человеку
Строки подключения к базам данных
Криптографические ключи
Учетные данные для доступа к облачной службе
Клавиши интерфейса прикладного программирования (API)
Маркеры доступа
Ключи SSH (Secure Shell)

Почему важно управление секретами?

Управление секретами — это передовая практика кибербезопасности для последовательного применения политик для учетных данных, не принадлежащих человеку, с обеспечением того, что только аутентифицированные и авторизованные субъекты могут получить доступ к ресурсам, содержащим конфиденциальные данные и особо конфиденциальные приложения и системы. С помощью инструмента управления секретами организации могут видеть, где находятся секреты, кто может получить к ним доступ и как они используются.

По мере роста организаций ИТ-отделы и команды DevOps сталкиваются с проблемой, называемой расползанием секретов. Это происходит, когда в организации слишком много секретов для управления, а эти секреты разбросаны по всей организации и хранятся в небезопасных местах небезопасными способами. Без централизованной политики или инструмента управления секретами каждая группа в организации будет самостоятельно управлять своими секретами, что может привести к ненадлежащему управлению секретами. При этом ИТ- администраторы лишены централизованной наглядности, возможности аудита и контроля над хранением и использованием этих секретов.

Лучшие практики управления секретами

Поскольку секретов очень много — одних только SSH-ключей в некоторых организациях может насчитываться тысячи — использование решения для управления секретами, такого как Keeper Secrets Manager^® является обязательным. Использование инструмента управления секретами обеспечит хранение секретов в одном зашифрованном приложении, что позволит организациям легко отслеживать, использовать, контролировать свои секреты и проводить их аудит.

Однако один лишь технический инструмент может сделать не так уж много! В дополнение к менеджеру секретов организациям стоит использовать лучшие методы управления секретами.

Управляйте привилегиями и авторизованными пользователями

После централизации и защиты ваших секретов с помощью решения для управления секретами следующим шагом является обеспечение того, чтобы доступ к ним могли получать только авторизованные пользователи и системы. Это достигается с помощью управления доступом на основе ролей (RBAC). RBAC определяет роли и разрешения на основе служебной функции пользователя в организации, чтобы доступ к системе имели только авторизованные пользователи. RBAC помогает предотвратить доступ неавторизованных пользователей к секретам.

Организации также должны управлять привилегиями, связанными с этими секретами, из-за наличия прав доступа к особо конфиденциальным данным. Если управление привилегиями осуществляется неправильно, в организациях начнется злоупотребление привилегиями в виде инсайдерских угроз и горизонтального перемещения злоумышленников в своей сети. Им следует внедрить доступ с наименьшими привилегиями — концепцию кибербезопасности, которая предоставляет пользователям и системам доступ, достаточный для выполнения своей работы, и не более. Лучший способ управления привилегиями и внедрения доступа с наименьшими привилегиями — это использование инструмента управления привилегированным доступом (PAM).

Выполняйте ротацию секретов

Многие организации будут использовать статические секреты, которые позволяют слишком большому количеству пользователей иметь к ним доступ с течением времени. Чтобы предотвратить компрометацию секретов и их неправильное использование, организациям следует регулярно выполнять ротацию секретов по заранее определенному графику, чтобы ограничить срок их службы. Ротация секретов ограничивает время, в течение которого пользователь имеет доступ к секретам, предоставляя ему доступ, достаточный для выполнения своей работы. Она предотвращает случайную утечку секретов из-за небрежности или злонамеренных действий пользователей. Организации также должны защищать секреты с помощью надежных и уникальных паролей и многофакторной аутентификации.

Различайте секреты и идентификаторы

Организации должны собирать все секреты в своей организации, чтобы обеспечить их защиту от несанкционированного доступа. Однако при сборе секретов организациям необходимо различать секреты и идентификаторы.

Идентификатор определяет то, как система управления доступа к идентификации (IAM) или другой объект ссылается на цифровую идентификацию. Имена пользователей и адреса электронной почты являются распространенными примерами идентификаторов. Идентификаторы часто свободно распространяются внутри организации и даже за ее пределами. Они используются для предоставления общего доступа к ресурсам и системам организации.

Секреты, наоборот, очень конфиденциальны. Если секрет будет скомпрометирован, злоумышленники смогут использовать его для доступа к высокопривилегированным системам, и организация может понести серьезный или даже катастрофический ущерб. Необходимо выполнять тщательное отслеживание и строгий контроль за секретами для предотвращения несанкционированного доступа к конфиденциальным данным и системам.