Un proveedor de servicios gestionados había desplegado CyberArk como su plataforma de gestión de accesos privilegiados: bóveda de credenciales, grabación de sesiones y acceso basado en flujos de trabajo para sus cuentas administrativas internas. El despliegue era integral para la infraestructura interna: la administración de servidores, la gestión de redes y las operaciones de bases de datos pasaban todas por CyberArk, con grabación completa de sesiones y rotación periódica de contraseñas. Cuando los ingenieros de soporte del proveedor necesitaban acceder a los entornos de los clientes (conectarse a entornos de nube gestionados por los clientes, a consolas de aplicaciones de los clientes y a bases de datos de los clientes para prestar los servicios gestionados), lo hacían mediante una herramienta de acceso remoto propia del equipo, configurada años antes del despliegue de PAM y que nunca se integró en él. Las credenciales de acceso a los entornos de los clientes se guardaban en un gestor de contraseñas compartido del equipo en lugar de en la bóveda empresarial de PAM. Las sesiones no se grababan. Los flujos de trabajo de acceso no se aplicaban. El despliegue de PAM era real y estaba bien implementado para la infraestructura interna. En el acceso que más directamente afectaba al riesgo de los clientes, el acceso a sus entornos, la PAM no existía. El proveedor confirmó el despliegue de PAM en las evaluaciones de seguridad. No mencionó por iniciativa propia que el acceso a los entornos de los clientes estaba excluido del alcance de PAM.
¿Qué son realmente las brechas de PAM?
La gestión de accesos privilegiados es un conjunto de herramientas y procesos diseñados para controlar, supervisar y auditar el uso de credenciales privilegiadas, es decir, cuentas con acceso elevado a sistemas, datos e infraestructura. Un despliegue de PAM consta de varias capacidades fundamentales: bóveda de credenciales (almacenar las credenciales privilegiadas de forma segura en lugar de en gestores de contraseñas compartidos o en la memoria de los empleados), grabación de sesiones (registrar toda la actividad durante las sesiones privilegiadas para auditoría e investigación), flujos de trabajo de acceso (exigir aprobación para las solicitudes de acceso privilegiado) y rotación de credenciales (cambiar automáticamente las contraseñas privilegiadas según un calendario definido). Cuando se implementan por completo en todas las vías de acceso privilegiado, estas capacidades reducen drásticamente el riesgo derivado del compromiso de credenciales, del uso indebido por parte de personal interno y del acceso no autorizado.
Las brechas de PAM surgen de la realidad habitual de que los despliegues de PAM suelen implementarse por fases, empezando por el acceso privilegiado de mayor volumen o mayor visibilidad y ampliándose con el tiempo. La administración de la infraestructura interna suele ser la fase 1 porque afecta a los propios sistemas de la organización, el equipo de TI gestiona tanto la PAM como los sistemas de destino, y la implementación es sencilla desde el punto de vista organizativo. El acceso privilegiado externo (a entornos de clientes, sistemas de socios y plataformas de terceros) suele quedar para la fase 2 o posteriores, o nunca llega a implementarse por completo, porque exige coordinación con partes externas y los tipos de credenciales suelen ser distintos de los de la infraestructura interna.
La exclusión del acceso a los entornos de los clientes es la brecha de PAM más significativa en los proveedores de servicios gestionados y de soporte. Estos proveedores tienen credenciales privilegiadas de decenas o cientos de entornos de clientes, posiblemente el acceso privilegiado más sensible que gestionan. Si ese acceso se realiza mediante herramientas de acceso remoto independientes, gestores de contraseñas del equipo o almacenes de credenciales de ingenieros individuales en lugar de mediante la PAM empresarial, el acceso privilegiado de mayor impacto de la cartera del proveedor recibe la menor gobernanza. El informe PAM muestra un programa de acceso privilegiado maduro y controlado. Las credenciales de los entornos de los clientes están en la bóveda de LastPass de alguien.
- Credenciales de los entornos de los clientes fuera del alcance de PAM: el acceso del proveedor a los sistemas de los clientes se gestiona con herramientas independientes en lugar de con la PAM empresarial
- Herramientas de acceso remoto heredadas anteriores al despliegue de PAM: canales de acceso más antiguos que nunca se integraron en la PAM
- Gestores de contraseñas compartidos para las credenciales de los clientes: gestores de contraseñas del equipo o individuales que contienen credenciales privilegiadas que deberían estar en la bóveda empresarial
- Sin grabación de sesiones en el acceso a los entornos de los clientes: las sesiones de acceso externo no se registran para auditoría e investigación
- Alcance de la cobertura de PAM no revelado: el proveedor confirma el despliegue de PAM sin especificar qué acceso se incluye o se excluye
Por qué es importante
Las brechas de PAM son importantes para TPRM porque los proveedores de servicios gestionados y de infraestructura que tienen acceso privilegiado a los entornos de los clientes representan algunos de los puntos de riesgo de la cadena de suministro con mayores consecuencias en el panorama empresarial. El compromiso de SolarWinds fue eficaz precisamente porque el atacante obtuvo acceso al canal de compilación de SolarWinds, un punto de acceso privilegiado, y lo utilizó para llegar a los entornos de los clientes gracias a la confianza que estos habían depositado en el mecanismo de actualización de SolarWinds. Las vías de acceso que usan los proveedores para gestionar los entornos de los clientes son las vías de acceso que atacan quienes atacan la cadena de suministro.
La ausencia de grabación de sesiones es una consecuencia operativa específica de las brechas de PAM en el acceso del proveedor al cliente. Cuando se investiga un incidente de seguridad, la grabación de la sesión proporciona el registro definitivo de lo que hizo un usuario privilegiado durante una sesión: qué comandos ejecutó, a qué datos accedió y qué cambios realizó. El acceso del proveedor a los entornos de los clientes sin grabación de sesiones deja un vacío en el registro de la investigación que no puede llenarse de forma retroactiva. Lo que hizo el ingeniero del proveedor en el entorno del cliente durante el período en cuestión no puede determinarse con la evidencia disponible.
Para los profesionales de TPRM, la evaluación de la PAM exige ir más allá de la confirmación del despliegue y determinar el alcance de la cobertura: en concreto, preguntar si la PAM cubre el acceso del proveedor a los entornos de los clientes, qué mecanismo de almacenamiento se utiliza para las credenciales de esos entornos y si se graban las sesiones cuando el personal del proveedor accede a los sistemas de los clientes.
Dónde se equivocan la mayoría de los equipos
La falla más habitual es tratar la confirmación del despliegue de PAM como confirmación de la cobertura de la PAM. Un proveedor con un despliegue maduro de CyberArk que excluye el acceso a los entornos de los clientes tiene un programa de acceso privilegiado interno bien gobernado y un programa de acceso privilegiado externo sin gobernar. La confirmación describe el primero. La brecha describe el segundo. Ambos son reales al mismo tiempo.
- Tratar el despliegue de PAM como confirmación de la cobertura de la PAM
- Alcance del acceso a los entornos de los clientes no evaluado: si el acceso del proveedor al cliente está dentro del alcance de PAM
- Almacenamiento de credenciales de los entornos de los clientes no preguntado
- Grabación de sesiones para el acceso externo no confirmada
- No se exige revelar el alcance de PAM: se acepta la confirmación del despliegue sin especificar la cobertura
Cómo se ve una buena práctica
Los programas maduros de PAM cubren todo el acceso privilegiado, tanto a la infraestructura interna como a los entornos externos de los clientes, mediante las mismas capacidades de bóveda, flujo de trabajo y grabación de sesiones. Las credenciales de los entornos de los clientes están en la bóveda empresarial. Las sesiones de acceso a los clientes se graban. Los flujos de aprobación se aplican al acceso a los entornos de los clientes de la misma manera que al acceso a la infraestructura interna.
- Credenciales de los entornos de los clientes en la bóveda empresarial de PAM: mismos estándares de bóveda que las credenciales de la infraestructura interna
- Grabación de sesiones en todo acceso a los entornos de los clientes: sesiones de acceso externo registradas con la misma exhaustividad que las sesiones internas
- Flujos de trabajo de acceso para el acceso a los entornos de los clientes: requisitos de aprobación aplicados al acceso a los sistemas de los clientes
- Alcance de la cobertura de PAM documentado: documentación explícita de todas las categorías de acceso privilegiado dentro y fuera del alcance de PAM
- Plan de retiro de las herramientas de acceso heredadas: calendario para integrar o retirar los canales de acceso remoto anteriores a PAM
Herramientas
PAM empresarial: CyberArk, BeyondTrust, Delinea
Las plataformas empresariales de PAM ofrecen las capacidades de bóveda de credenciales y de grabación de sesiones que deberían cubrir el acceso a los entornos de los clientes. BeyondTrust Privileged Remote Access aborda específicamente los escenarios de acceso remoto de proveedores, con una capacidad de grabación de sesiones y de flujo de trabajo de acceso diseñada para el acceso externo de proveedores a los entornos de los clientes. Para los profesionales de TPRM, preguntar si el proveedor utiliza una plataforma de PAM específicamente para el acceso a los entornos de los clientes, y no solo para la infraestructura interna, plantea la pregunta sobre el alcance de la cobertura.
Plataformas de acceso remoto para proveedores: Bomgar (BeyondTrust), ConnectWise Control, TeamViewer con gobernanza empresarial
Las plataformas de acceso remoto diseñadas específicamente para proveedores ofrecen grabación de sesiones, aprobación de accesos y gestión de credenciales para escenarios de acceso externo. Para los profesionales de TPRM, preguntar si el acceso a los entornos de los clientes se realiza a través de una plataforma de acceso remoto gobernada con grabación de sesiones, en lugar de conexiones directas por RDP, SSH o VPN sin gobernanza, es una pregunta específica sobre la gobernanza del acceso a los clientes.
Desafíos de gobernanza
El desafío de gobernanza de las brechas de cobertura de PAM es el esfuerzo organizativo necesario para incorporar los canales de acceso heredados al alcance de PAM. El acceso a los entornos de los clientes suele estar gestionado por equipos operativos concretos (soporte, servicios gestionados, NOC) que tienen flujos de trabajo establecidos anteriores al despliegue de PAM. Integrar su acceso en la PAM exige cambiar sus herramientas operativas, actualizar sus procedimientos de acceso y, posiblemente, renegociar los acuerdos de acceso con los clientes. Esta fricción organizativa hace que el acceso a los entornos de los clientes sea con frecuencia una brecha de PAM conocida, documentada en la hoja de ruta pero aún sin abordar.
- Pregunte explícitamente por el alcance de la cobertura de PAM: qué se incluye y qué se excluye
- Pregunte específicamente si el acceso a los entornos de los clientes está dentro del alcance de PAM
- Pregunte por el almacenamiento de las credenciales de los entornos de los clientes
- Pregunte por la grabación de sesiones en el acceso a los entornos de los clientes
- Pregunte por la hoja de ruta para cerrar las brechas de PAM si se reconocen brechas
Si usted forma parte de un equipo pequeño
Haga a sus proveedores de servicios gestionados y de infraestructura dos preguntas específicas sobre la cobertura de su PAM. Primera: ¿dónde se almacenan las credenciales que sus ingenieros usan para acceder a nuestro entorno: en su bóveda empresarial de PAM, en un gestor de contraseñas del equipo o en almacenes de credenciales de ingenieros individuales? Segunda: ¿se graban las sesiones cuando sus ingenieros se conectan a nuestro entorno y, en tal caso, se conservan esas grabaciones en un formato al que podamos acceder para una investigación? Esas dos preguntas describen la realidad de la cobertura de la PAM en el acceso que más directamente afecta al riesgo del cliente.
- Pregunte dónde se almacenan las credenciales de los entornos de los clientes: bóveda empresarial frente a gestor de contraseñas del equipo
- Pregunte si las sesiones de acceso a los clientes se graban y están disponibles para las investigaciones
- Pregunte por la cobertura del alcance de PAM: acceso interno frente a acceso a los entornos de los clientes
- Pregunte por el plan de retiro de las herramientas de acceso heredadas si el acceso a los clientes no está dentro del alcance de PAM
Qué exigir
Pregunte directamente:
“¿Se almacenan en su bóveda empresarial de PAM las credenciales que sus ingenieros usan para acceder a nuestro entorno? ¿Y se aplican al acceso a los entornos de los clientes la misma bóveda de credenciales, la misma grabación de sesiones y el mismo flujo de trabajo de acceso que a su acceso a la infraestructura interna?”
“Cuando su ingeniero se conecta a nuestro entorno, ¿se graba esa sesión en un formato que ustedes y nosotros podamos revisar con fines de investigación? ¿Y durante cuánto tiempo se conservan esas grabaciones de sesiones?”
Evidencia que debe esperar
- Confirmación del almacenamiento de las credenciales de los entornos de los clientes: bóveda empresarial de PAM
- Confirmación de la grabación de sesiones para el acceso a los clientes, con su período de conservación
- Documentación del alcance de la cobertura de PAM: acceso interno y externo
- Confirmación del flujo de trabajo de acceso para el acceso a los entornos de los clientes
A un proveedor que confirma el despliegue de PAM se le debe preguntar específicamente si su CyberArk o una PAM equivalente gobierna las credenciales utilizadas para acceder a los entornos de los clientes o si esas credenciales se gestionan por separado. La PAM está desplegada. La pregunta es qué cubre.
Cómo demostrarlo
- Documentación del alcance de la cobertura de PAM en las relaciones con proveedores
- Confirmación del almacenamiento de las credenciales de los entornos de los clientes
- Evidencia de grabación de las sesiones de acceso de los proveedores
- Confirmación del flujo de trabajo de acceso para el acceso a los entornos de los clientes
Conclusión clave
Un despliegue de PAM gobierna el acceso privilegiado que cubre. El acceso a los entornos de los clientes que pasa por una herramienta de acceso remoto independiente, un gestor de contraseñas del equipo o almacenes de credenciales directos de los ingenieros es acceso privilegiado que la PAM no cubre, por muy maduro que sea el despliegue de PAM para la infraestructura interna. El proveedor confirmó PAM. La PAM gobierna el acceso interno. El acceso a los entornos de los clientes, el acceso privilegiado que afecta directamente al riesgo del cliente, está en la bóveda de LastPass de alguien. Confirmar el despliegue de PAM describe un control. Preguntar qué cubre ese control describe la gobernanza. Ambas preguntas son necesarias. La segunda es la que revela la brecha.