¿Qué es la gestión de accesos privilegiados (PAM)?
La gestión de accesos privilegiados (PAM) es el conjunto de herramientas y prácticas que se usan para controlar las cuentas con derechos elevados, como los administradores de dominio, las cuentas root y los administradores de los sistemas de copia y de almacenamiento. Busca que el acceso privilegiado sea poco frecuente, de corta duración, atribuible a una persona y quede registrado.
¿Qué hace PAM?
Los productos y procesos de PAM comparten unas pocas funciones básicas.
| Función | Qué hace |
|---|---|
| Bóveda de credenciales | Guarda de forma centralizada las contraseñas y claves privilegiadas y las rota |
| Retirada y aprobación | Entrega una credencial bajo petición, a veces con un segundo aprobador |
| Acceso just-in-time | Concede derechos durante un periodo limitado y después los retira |
| Intermediación y grabación de sesiones | Conecta al administrador sin revelar la contraseña y graba la sesión |
| Descubrimiento | Encuentra cuentas privilegiadas que aún no están gestionadas |
| Informes | Muestra quién usó qué privilegio y cuándo |
¿Cómo se aplica PAM a los sistemas de copia de seguridad?
Los administradores de copias tienen algunos de los derechos con más consecuencias de una organización, ya que pueden eliminar las copias de las que depende todo lo demás. Poner bajo PAM la consola de copias, los servidores de repositorio y la interfaz de gestión del almacenamiento significa que nadie conoce las contraseñas administrativas, que cada uso queda ligado a una persona con nombre y que las sesiones inusuales son visibles. Las cuentas de servicio y las claves de acceso que usan los trabajos de copia pueden rotarse de forma programada del mismo modo.
¿Debe depender el sistema PAM de producción?
Es la cuestión de diseño que más importa. Si la bóveda de PAM se ejecuta en la infraestructura de producción y se autentica contra el directorio de producción, un incidente que los deje fuera de servicio también bloquea el acceso a las credenciales necesarias para la recuperación, y un atacante que controle la bóveda controla todas las cuentas que contiene. Por eso los sistemas de copia y recuperación necesitan una vía que no dependa de que la plataforma PAM esté disponible: una cuenta de emergencia guardada fuera de línea y, a ser posible, copias de la propia bóveda que puedan restaurarse primero.
¿Qué no cubre PAM?
PAM controla cómo obtienen las personas el acceso privilegiado. No limita lo que puede hacer una sesión obtenida legítimamente y no protege las credenciales que el software usa fuera de la bóveda. En las copias, el hueco restante se cierra con el control de acceso basado en roles para reducir los derechos de cada cuenta, con el principio de los cuatro ojos para las acciones destructivas y con la inmutabilidad en la capa de almacenamiento, que se mantiene incluso cuando se secuestra una sesión privilegiada. El artículo Dónde ayuda la MFA en las copias traza los mismos límites para la autenticación.
Preguntas frecuentes
¿PAM es lo mismo que un gestor de contraseñas?
Un gestor de contraseñas guarda secretos. PAM añade aprobación, límites de tiempo, control de sesiones, rotación y auditoría específicamente para las cuentas privilegiadas.
¿Necesitan PAM las organizaciones pequeñas?
Las prácticas valen para cualquier tamaño: pocas cuentas privilegiadas, usuarios con nombre, contraseñas rotadas y uso registrado. Un producto dedicado compensa a medida que crece el número de sistemas.
¿Puede PAM impedir que el ransomware elimine las copias?
Hace que las cuentas privilegiadas sean más difíciles de robar y de usar mal. No sustituye al almacenamiento inmutable, que protege las copias aunque se tome una cuenta.