Privileged Access Management (PAM) คืออะไร

What is the Privileged ID?

Privileged ID คือ account หรือ ID ที่ได้รับสิทธิพิเศษ หรือได้สิทธิเฉพาะ ให้เข้าถึงข้อมูลและระบบ ซึ่งใช้สำหรับการบำรุงรักษาระบบ เช่น ผู้ดูแลระบบ Windows, Linux root หรือ user ของ AWS IAM​

ID ที่ได้รับสิทธิพิเศษเหล่านี้ จำเป็นต้องมีการตรวจสอบการเข้าถึงอย่างละเอียดและต้องมีการควบคุมอย่างเข้มงวด เพื่อป้องกันไม่ให้เกิดช่องโหว่ อันเกิดจากการเป็นเป้าหมายของการคุกคามจากเหล่าอาชญากรทางไซเบอร์ภายนอกองค์กร หรืออีกกรณี หากบุคลากรที่มีสิทธิพิเศษในการใช้ ID หรือที่ได้รับสิทธิพิเศษมีเจตนาประสงค์ร้าย การป้องกันต่างๆ ที่มีอยู่ในระบบ จึงมีแนวโน้มที่จะใช้การไม่ได้และเกิดเป็นภัยคุกคามจากภายใน

Privileged ID	General ID
– เป็น ID สิทธิพิเศษสูงที่ใช้ เช่น สำหรับการบำรุงรักษาระบบ​ ID ที่ได้รับสิทธิพิเศษ – เป็น shared identity ที่ใช้ร่วมกันโดยมีการควบคุมทั้งหมด เช่น ผู้ดูแลระบบ Windows – มักจะใช้ชั่วคราวเมื่อจำเป็น	– เป็น ID ส่วนบุคคลที่ใช้ในธุรกิจที่กำหนดให้กับผู้ใช้แต่ละรายได้สิทธิที่จำเป็นตามที่ถูกกำหนดไว้ – เป็น ID สำหรับแต่ละบุคคล ถูกสร้างขึ้นเมื่อเข้าร่วมบริษัท และจะถูกลบออกเมื่อออกจากบริษัท

Purpose of Privileged ID Management

วัตถุประสงค์หลักๆ ของการจัดการ ID ที่มีสิทธิพิเศษ มีดังต่อไปนี้

• การรักษาความปลอดภัย (Security)
• การปฏิบัติตามข้อกำหนด (Compliance)
• การลดต้นทุน (Cost reduction)
• การเพิ่มประสิทธิภาพ (Efficiency)

Security	Compliance	Cost Reduction
– ป้องกันการฉ้อโกงที่เกิดขึ้นโดยผู้ใช้ที่มีสิทธิพิเศษ – ดำเนินการตามมาตรการต่อต้านการโจมตีทางไซเบอร์	– ปรับปรุงการควบคุม เช่น การควบคุมภายในและการตรวจสอบ J-SOX – จัดการแนวทาง เช่น มาตรฐานความปลอดภัยของ FISC และ PCI DSS	– ปรับเปลี่ยนรูปแบบการทำงานและการว่าจ้างบุคคลภายนอก – ขั้นตอนการทำงานที่ลดลงของแผนกระบบข้อมูลหรือลดการจ้างบุคคลภายนอก

เพื่อให้เป็นไปตามข้อกำหนดด้านความปลอดภัยและการปฏิบัติตามข้อกำหนด องค์กรจะต้องควบคุมและมีวิธีจัดการขั้นพื้นฐาน การบริหารจัดการ ID ที่มีสิทธิพิเศษ มีการจัดระดับการดำเนินการดังนี้

• ระดับ 1: การจัดการรหัสพิเศษ (MANAGE)

ฟังก์ชันเครื่องมือที่จำเป็น: ID Management Tools

ID Management Tools จะมีวัตถุประสงค์เพื่อแสดงให้เห็นความชัดเจน และการบริหารจัดการว่าใครในองค์กรได้สิทธิพิเศษในการเข้าถึง โดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ create ID พิเศษ, list ID พิเศษ, เปลี่ยน password, match ID, list users, list สิทธิพิเศษ

• ระดับ 2: การอนุมัติใช้งานรหัสพิเศษ (GRANT)

ฟังก์ชันเครื่องมือที่จำเป็น:​ Workflow and Access Control

Workflow and Access Control เครื่องมือนี้มีวัตถุประสงค์เพื่อสนับสนุนงานการอนุมัติชั่วคราว (temporary approval) และการให้สิทธิการเข้าถึงพิเศษ (privileged access) โดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ ให้สิทธิการเข้าถึงพิเศษ (grant ID) และยกเลิกสิทธิการเข้าถึงพิเศษ (revoke ID)

• ระดับ 3: ตรวจสอบการใช้รหัสพิเศษ (INSPECT)

ฟังก์ชันเครื่องมือที่จำเป็น:​ Access Log Management and ​Operation Log Management

Access Log Management and ​Operation Log Management เครื่องมือนี้จะมีวัตถุประสงค์เพื่อการบันทึกการเข้าใช้งาน บันทึกการปฏิบัติงาน การตรวจสอบการใช้สิทธิพิเศษในการ ​access ระบบโดยเครื่องมือนี้จะมีหน้าที่หลักๆ คือ ตรวจสอบการเข้าถึงพิเศษ (inspect access) และตรวจสอบการดำเนินการที่ได้รับสิทธิพิเศษ (inspect operations)

Common Challenges of Privileged ID Management

โครงการดำเนินการด้านการจัดการสิทธิการเข้าถึงแบบพิเศษ หรือ Privileged ID Management โดยทั่วไปแล้วต้องใช้เวลาและความพยายามสูง ซึ่งมีความเป็นไปได้ที่จะทำให้เกิดการหยุดชะงัก หรือความล่าช้าในการดำเนินงานตามปกติขององค์กร หรืออีกนัยคืออาจลดประสิทธิภาพการบริหารงานของผู้จัดการและผู้บริหาร ด้วยเหตุนี้ องค์กรต่างๆ ในประเทศไทย จึงเริ่มมองเห็นความจำเป็นในการมี Tools ซึ่งมีคุณสมบัติเฉพาะทางเพื่อแก้ไขหรือลดปัญหาต่างๆ ที่เกี่ยวข้องกับโครงการ Privileged ID Management โดยปัญหาหลักในการดำเนินการด้านการจัดการสิทธิการเข้าถึงแบบพิเศษ หรือ Privileged ID Management แยกได้ดังนี้

1. ปัญหาด้านการจัดการ (management challenge)

• รายชื่อ ID สิทธิพิเศษหรือผู้ใช้ที่ได้รับสิทธิพิเศษที่รายงานต่อผู้ดูแลระบบหรือผู้บริหารไม่ถูกต้องตรงกับการใช้งานจริง
• ผู้ดูแลระบบหรือผู้บริหารไม่ยึดหลักการหรือกฎเกณฑ์ว่า user คนไหน ควรหรือไม่ควรได้ใช้ ID สิทธิพิเศษ​
• การเปลี่ยนรหัสผ่านหรือการ identity matching กับข้อมูลประจำตัว ไม่ได้ดำเนินการตามกฎเกณฑ์ที่กำหนดไว้

2. ปัญหาด้านการอนุมัติให้ใช้รหัสพิเศษ (grant challenge)

• ผู้ดูแลระบบแบกรับภาระงานมากมาย เช่น การแจ้งเตือนรหัสผ่านเมื่อได้รับสิทธิการเข้าถึง การเปลี่ยนรหัสผ่านหลังการใช้งาน และการอนุมัตินอกเวลางาน หรือการอนุมัติในกรณีที่เกิดปัญหากะทันหัน​
• ไม่สามารถระบุ user ที่แท้จริง หรือไม่สามารถจำกัดการ access ของ user ได้ เนื่องจากในกรณีที่มี user มากกว่าหนึ่งรายแชร์รหัสของ ID เดียวกัน

3. ปัญหาด้านการตรวจสอบ (inspect challenge)

• ไม่สามารถตรวจสอบได้ว่า ID สิทธิพิเศษถูกใช้งานเมื่อใด โดยใคร และเพื่อวัตถุประสงค์ใด
• การจับคู่ระหว่างบันทึกการเข้าถึง (log) กับข้อมูลในระบบต่างๆ ต้องใช้เวลาและความพยายามอย่างสูง
• ไม่สามารถยืนยันรายละเอียดของการเข้าถึงโดยไม่ได้รับอนุญาต (unauthorized access)

Compliance/Cost Reduction​
Privileged ID Controls and Key Tasks ทำงานอย่างไร

Automated tools ในปัจจุบัน ที่ถูกนำมาช่วยแก้ปัญหาต่างๆ เหล่านี้ จะทำงานในส่วนที่เกี่ยวข้องกับการจัดการสิทธิการเข้าถึงโดยอัตโนมัติ (privileged access management) ทำให้งานการตอบกลับหรือ response ทั้งหลาย เป็นแบบอัตโนมัติ เช่น จับคู่บันทึกการเข้าถึง จับคู่ฟอร์มการสมัครขออนุมัติ ID พิเศษ และงานจัดการ ID พิเศษ ด้านอื่นๆ คุณสมบัติเหล่านี้จะช่วยลดงานในส่วนที่เกี่ยวข้องกับงาน privileged access management ของฝั่งไอทีในการดูแลระบบส่วนที่เกี่ยวข้องกับการจัดการการเข้าถึงพิเศษ ทั้งนี้ สามารถแยกให้เห็นการที่ tools จะเข้ามาช่วยแก้ปัญหา หรือการทำให้เป็นระบบอัตโนมัติ โดยแยกตามระดับการดำเนินงานทั้ง 3 ด้าน ดังนี้

1. ด้านการบริหารจัดการ (Manage) : แสดงภาพสิทธิ รหัสพิเศษ และผู้ใช้พิเศษ

• จัดทำ Inventory ของ ID สิทธิพิเศษ รายชื่อผู้ใช้พิเศษ และรายการสิทธิพิเศษ
• เปลี่ยนรหัสผ่านเป็นระยะๆ หรือเป็นครั้งคราว
• การตรวจจับการฉ้อโกง โดยการตรวจสอบการจับคู่ ID matching

2. ด้านการให้สิทธิ (Grant) : ให้สิทธิการเข้าถึงชั่วคราวตามการอนุมัติ

• ให้สิทธิการเข้าถึงพิเศษ (grant ID)
• ยกเลิกสิทธิการเข้าถึงพิเศษ (revoke ID)

3. ด้านตรวจสอบ (Inspect) : การรวบรวมบันทึกการเข้าถึงจากเป้าหมายและตรวจสอบได้

• บันทึก log ด้านงาน operation บันทึกการสมัครและการอนุมัติ ID พิเศษ
• รวบรวม log การ access
• รวบรวม log ด้านงาน operation

การป้องกันการฉ้อโกงโดยผู้ใช้ที่มีสิทธิพิเศษและการดำเนินการตามมาตรการต่อต้านการโจมตีทางไซเบอร์ ซึ่งกลายเป็นภัยคุกคามที่สำคัญในช่วงไม่กี่ปีที่ผ่านมา ช่องโหว่ความเสี่ยงที่อาจเกิดขึ้นจากการดำเนินการด้าน Privileged ID มีความปลอดภัยไม่มากพอ จึงทำให้อาชญากรสามารถเข้าถึงข้อมูลหรือระบบงาน และก่อให้เกิดผลเสียหายมหาศาลต่อองค์กรได้

ในบทความหน้า เราจะแนะนำโซลูชั่นระบบบริหารจัดการรหัสผ่านและบริหารเซสชั่นการใช้งาน (Privileged Access Management) สำหรับผู้ดูแลระบบกันต่อ

คลิกที่นี่ เพื่อดูข้อมูลเพิ่มเติมเกี่ยวกับโซลูชัน