Privileged Access Management (PAM) คืออะไร

What is the Privileged ID?

Privileged ID คือ account หรือ ID ที่ได้รับสิทธิพิเศษ หรือได้สิทธิเฉพาะ ให้เข้าถึงข้อมูลและระบบ ซึ่งใช้สำหรับการบำรุงรักษาระบบ เช่น ผู้ดูแลระบบ Windows, Linux root หรือ user ของ AWS IAM​

ID ที่ได้รับสิทธิพิเศษเหล่านี้ จำเป็นต้องมีการตรวจสอบการเข้าถึงอย่างละเอียดและต้องมีการควบคุมอย่างเข้มงวด เพื่อป้องกันไม่ให้เกิดช่องโหว่ อันเกิดจากการเป็นเป้าหมายของการคุกคามจากเหล่าอาชญากรทางไซเบอร์ภายนอกองค์กร หรืออีกกรณี หากบุคลากรที่มีสิทธิพิเศษในการใช้ ID หรือที่ได้รับสิทธิพิเศษมีเจตนาประสงค์ร้าย การป้องกันต่างๆ ที่มีอยู่ในระบบ จึงมีแนวโน้มที่จะใช้การไม่ได้และเกิดเป็นภัยคุกคามจากภายใน

Purpose of Privileged ID Management

วัตถุประสงค์หลักๆ ของการจัดการ ID ที่มีสิทธิพิเศษ มีดังต่อไปนี้

• การรักษาความปลอดภัย (Security)
• การปฏิบัติตามข้อกำหนด (Compliance)
• การลดต้นทุน (Cost reduction)
• การเพิ่มประสิทธิภาพ (Efficiency)

เพื่อให้เป็นไปตามข้อกำหนดด้านความปลอดภัยและการปฏิบัติตามข้อกำหนด องค์กรจะต้องควบคุมและมีวิธีจัดการขั้นพื้นฐาน การบริหารจัดการ ID ที่มีสิทธิพิเศษ มีการจัดระดับการดำเนินการดังนี้

• ระดับ 1: การจัดการรหัสพิเศษ (MANAGE)

ฟังก์ชันเครื่องมือที่จำเป็น: ID Management Tools

ID Management Tools จะมีวัตถุประสงค์เพื่อแสดงให้เห็นความชัดเจน และการบริหารจัดการว่าใครในองค์กรได้สิทธิพิเศษในการเข้าถึง โดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ create ID พิเศษ, list ID พิเศษ, เปลี่ยน password, match ID, list users, list สิทธิพิเศษ

• ระดับ 2: การอนุมัติใช้งานรหัสพิเศษ (GRANT)

ฟังก์ชันเครื่องมือที่จำเป็น:​ Workflow and Access Control

Workflow and Access Control เครื่องมือนี้มีวัตถุประสงค์เพื่อสนับสนุนงานการอนุมัติชั่วคราว (temporary approval) และการให้สิทธิการเข้าถึงพิเศษ (privileged access) โดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ ให้สิทธิการเข้าถึงพิเศษ (grant ID) และยกเลิกสิทธิการเข้าถึงพิเศษ (revoke ID)

• ระดับ 3: ตรวจสอบการใช้รหัสพิเศษ (INSPECT)

ฟังก์ชันเครื่องมือที่จำเป็น:​ Access Log Management and ​Operation Log Management

Access Log Management and ​Operation Log Management เครื่องมือนี้จะมีวัตถุประสงค์เพื่อการบันทึกการเข้าใช้งาน บันทึกการปฏิบัติงาน การตรวจสอบการใช้สิทธิพิเศษในการ ​access ระบบโดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ ตรวจสอบการเข้าถึงพิเศษ (inspect access) และตรวจสอบการดำเนินการที่ได้รับสิทธิพิเศษ (inspect operations)

Common Challenges of Privileged ID Management

โครงการดำเนินการด้านการจัดการสิทธิการเข้าถึงแบบพิเศษ หรือ Privileged ID Management โดยทั่วไปแล้วต้องใช้เวลาและความพยายามสูง ซึ่งมีความเป็นไปได้ที่จะทำให้เกิดการหยุดชะงัก หรือความล่าช้าในการดำเนินงานตามปกติขององค์กร หรืออีกนัยคืออาจลดประสิทธิภาพการบริหารงานของผู้จัดการและผู้บริหาร ด้วยเหตุนี้ องค์กรต่างๆ ในประเทศไทย จึงเริ่มมองเห็นความจำเป็นในการมี Tools ซึ่งมีคุณสมบัติเฉพาะทางเพื่อแก้ไขหรือลดปัญหาต่างๆ ที่เกี่ยวข้องกับโครงการ Privileged ID Management โดยปัญหาหลักในการดำเนินการด้านการจัดการสิทธิการเข้าถึงแบบพิเศษ หรือ Privileged ID Management แยกได้ดังนี้

1. ปัญหาด้านการจัดการ (management challenge)

• • รายชื่อ ID สิทธิพิเศษหรือผู้ใช้ที่ได้รับสิทธิพิเศษที่รายงานต่อผู้ดูแลระบบหรือผู้บริหารไม่ถูกต้องตรงกับการใช้งานจริง
  • ผู้ดูแลระบบหรือผู้บริหารไม่ยึดหลักการหรือกฎเกณฑ์ว่า user คนไหน ควรหรือไม่ควรได้ใช้ ID สิทธิพิเศษ​
  • การเปลี่ยนรหัสผ่านหรือการ identity matching กับข้อมูลประจำตัว ไม่ได้ดำเนินการตามกฎเกณฑ์ที่กำหนดไว้

2. ปัญหาด้านการอนุมัติให้ใช้รหัสพิเศษ (grant challenge)

• • ผู้ดูแลระบบแบกรับภาระงานมากมาย เช่น การแจ้งเตือนรหัสผ่านเมื่อได้รับสิทธิการเข้าถึง การเปลี่ยนรหัสผ่านหลังการใช้งาน และการอนุมัตินอกเวลางาน หรือการอนุมัติในกรณีที่เกิดปัญหากะทันหัน​
  • ไม่สามารถระบุ user ที่แท้จริง หรือไม่สามารถจำกัดการ access ของ user ได้ เนื่องจากในกรณีที่มี user มากกว่าหนึ่งรายแชร์รหัสของ ID เดียวกัน

3. ปัญหาด้านการตรวจสอบ (inspect challenge)

• • ไม่สามารถตรวจสอบได้ว่า ID สิทธิพิเศษถูกใช้งานเมื่อใด โดยใคร และเพื่อวัตถุประสงค์ใด
  • การจับคู่ระหว่างบันทึกการเข้าถึง (log) กับข้อมูลในระบบต่างๆ ต้องใช้เวลาและความพยายามอย่างสูง
  • ไม่สามารถยืนยันรายละเอียดของการเข้าถึงโดยไม่ได้รับอนุญาต (unauthorized access)

Compliance/Cost Reduction​
Privileged ID Controls and Key Tasks ทำงานอย่างไร

Automated tools ในปัจจุบัน ที่ถูกนำมาช่วยแก้ปัญหาต่างๆ เหล่านี้ จะทำงานในส่วนที่เกี่ยวข้องกับการจัดการสิทธิการเข้าถึงโดยอัตโนมัติ (privileged access management) ทำให้งานการตอบกลับหรือ response ทั้งหลาย เป็นแบบอัตโนมัติ เช่น จับคู่บันทึกการเข้าถึง จับคู่ฟอร์มการสมัครขออนุมัติ ID พิเศษ และงานจัดการ ID พิเศษ ด้านอื่นๆ คุณสมบัติเหล่านี้จะช่วยลดงานในส่วนที่เกี่ยวข้องกับงาน privileged access management ของฝั่งไอทีในการดูแลระบบส่วนที่เกี่ยวข้องกับการจัดการการเข้าถึงพิเศษ ทั้งนี้ สามารถแยกให้เห็นการที่ tools จะเข้ามาช่วยแก้ปัญหา หรือการทำให้เป็นระบบอัตโนมัติ โดยแยกตามระดับการดำเนินงานทั้ง 3 ด้าน ดังนี้

1. ด้านการบริหารจัดการ (Manage) : แสดงภาพสิทธิ รหัสพิเศษ และผู้ใช้พิเศษ

• • จัดทำ Inventory ของ ID สิทธิพิเศษ รายชื่อผู้ใช้พิเศษ และรายการสิทธิพิเศษ
  • เปลี่ยนรหัสผ่านเป็นระยะๆ หรือเป็นครั้งคราว
  • การตรวจจับการฉ้อโกง โดยการตรวจสอบการจับคู่ ID matching

2. ด้านการให้สิทธิ (Grant) : ให้สิทธิการเข้าถึงชั่วคราวตามการอนุมัติ

• • ให้สิทธิการเข้าถึงพิเศษ (grant ID)
  • ยกเลิกสิทธิการเข้าถึงพิเศษ (revoke ID)

3. ด้านตรวจสอบ (Inspect) : การรวบรวมบันทึกการเข้าถึงจากเป้าหมายและตรวจสอบได้

• • บันทึก log ด้านงาน operation บันทึกการสมัครและการอนุมัติ ID พิเศษ
  • รวบรวม log การ access
  • รวบรวม log ด้านงาน operation

การป้องกันการฉ้อโกงโดยผู้ใช้ที่มีสิทธิพิเศษและการดำเนินการตามมาตรการต่อต้านการโจมตีทางไซเบอร์ ซึ่งกลายเป็นภัยคุกคามที่สำคัญในช่วงไม่กี่ปีที่ผ่านมา ช่องโหว่ความเสี่ยงที่อาจเกิดขึ้นจากการดำเนินการด้าน Privileged ID มีความปลอดภัยไม่มากพอ จึงทำให้อาชญากรสามารถเข้าถึงข้อมูลหรือระบบงาน และก่อให้เกิดผลเสียหายมหาศาลต่อองค์กรได้

ในบทความหน้า เราจะแนะนำโซลูชั่นระบบบริหารจัดการรหัสผ่านและบริหารเซสชั่นการใช้งาน (Privileged Access Management) สำหรับผู้ดูแลระบบกันต่อค่ะ

คลิกที่นี่ เพื่อดูข้อมูลเพิ่มเติมเกี่ยวกับโซลูชัน

เขียนโดย : Kanitha

วันที่เผยแพร่ : 11 ก.ย. 2566