Zdalny dostęp dostawców jest w wielu firmach koniecznością. Zewnętrzni specjaliści utrzymują systemy ERP, oprogramowanie księgowe, urządzenia sieciowe, serwery, centrale telefoniczne czy specjalistyczne aplikacje. Aby szybko reagować na awarie, często otrzymują możliwość połączenia z infrastrukturą klienta.
Sam zdalny dostęp nie jest jednak problemem. Ryzyko pojawia się wtedy, gdy firma nie kontroluje, kto może się połączyć, do jakich systemów, w jakim czasie i z jakimi uprawnieniami. Dostęp partnera powinien być traktowany tak samo poważnie jak konto administratora należące do pracownika firmy.
Dlaczego zdalny dostęp dostawcy może być zagrożeniem?
Dostawca może posiadać legalny i technicznie poprawnie skonfigurowany dostęp do infrastruktury, a mimo to stanowić dodatkowy element powierzchni ataku.
Przykładowy scenariusz jest prosty: firma serwisująca określony system posiada konto umożliwiające połączenie z siecią klienta. Jeżeli konto zostanie przejęte albo urządzenie pracownika dostawcy zostanie zainfekowane, napastnik może próbować wykorzystać istniejący kanał dostępu.
Dlatego bezpieczeństwa nie należy opierać wyłącznie na założeniu, że partner jest zaufany. Należy zakładać, że każde konto, urządzenie i poświadczenie może kiedyś zostać przejęte i odpowiednio ograniczyć potencjalne skutki takiego zdarzenia.
Microsoft w zaleceniach dotyczących dostępu zewnętrznego wskazuje m.in. na stosowanie Conditional Access, MFA oraz regularne przeglądy dostępów użytkowników zewnętrznych. (Microsoft Learn)
Zdalny dostęp dostawców powinien mieć jasno określony zakres
Pierwszą zasadą jest minimalizacja uprawnień.
Jeżeli firma serwisująca system ERP musi komunikować się tylko z jednym serwerem, nie powinna automatycznie uzyskiwać dostępu do całej sieci LAN. Jeżeli serwisant potrzebuje wyłącznie określonego panelu administracyjnego, nie ma powodu, aby jego konto posiadało uprawnienia administratora całej domeny.
W praktyce warto określić:
- kto konkretnie korzysta z dostępu,
- do jakich urządzeń i systemów może się łączyć,
- jakie operacje może wykonywać,
- czy potrzebuje uprawnień administracyjnych,
- w jakich godzinach dostęp może być wykorzystywany,
- jak długo dostęp ma pozostawać aktywny.
Takie podejście jest zgodne z zasadą least privilege, czyli nadawania najmniejszych uprawnień potrzebnych do wykonania konkretnego zadania.
Każdy administrator powinien mieć własne konto
Wspólne konto typu serwis, admin_vendor czy support używane przez kilku pracowników dostawcy utrudnia ustalenie, kto rzeczywiście wykonał określoną operację.
Bezpieczniejszym rozwiązaniem są indywidualne konta przypisane do konkretnych osób.
Dzięki temu można:
- odebrać dostęp jednej osobie bez wpływu na pozostałych,
- powiązać zdarzenia w logach z konkretnym użytkownikiem,
- stosować indywidualne mechanizmy MFA,
- kontrolować zakres uprawnień,
- szybciej reagować po zakończeniu współpracy.
Dotyczy to szczególnie kont posiadających uprawnienia administracyjne.
MFA powinno być standardem również dla partnerów
Samo hasło nie powinno być jedynym zabezpieczeniem zdalnego dostępu do istotnych zasobów firmy.
Uwierzytelnianie wieloskładnikowe (MFA) wymaga dodatkowego elementu potwierdzającego tożsamość użytkownika. Dzięki temu samo przejęcie hasła nie musi wystarczyć do zalogowania się.
Microsoft zaleca egzekwowanie MFA również w przypadku użytkowników zewnętrznych B2B i umożliwia stosowanie dla nich zasad Conditional Access. W przypadku dostępu do szczególnie wrażliwych aplikacji możliwe jest także wymaganie określonej siły uwierzytelnienia, w tym metod odpornych na phishing. (Microsoft Learn)
Jeżeli firma udostępnia partnerom systemy przez VPN, rozwiązania chmurowe lub inne mechanizmy dostępu zdalnego, warto zweryfikować, czy MFA rzeczywiście jest wymagane dla wszystkich kont zewnętrznych.
Dostęp stały czy tylko na czas serwisu?
Nie każdy dostawca potrzebuje dostępu przez 24 godziny na dobę.
Jeżeli serwisant łączy się z systemem kilka razy w roku, pozostawienie jego konta i tunelu VPN aktywnego przez cały czas niepotrzebnie zwiększa powierzchnię ataku.
Lepszym rozwiązaniem może być dostęp:
- aktywowany na czas zgłoszenia,
- ograniczony godzinowo,
- wymagający zatwierdzenia przez administratora,
- automatycznie wygasający po określonym czasie.
W środowisku Microsoft Entra mechanizmy Privileged Identity Management pozwalają realizować model just-in-time, w którym uprzywilejowana rola jest aktywowana tylko na ograniczony czas, a następnie automatycznie odbierana. (Microsoft Learn)
Nie oznacza to, że każda firma musi wdrożyć dokładnie PIM. Ważna jest sama zasada: uprawnienie powinno istnieć wtedy, gdy jest potrzebne, a nie bezterminowo „na wszelki wypadek”.
Segmentacja sieci ogranicza skutki przejęcia dostępu
Nawet poprawnie uwierzytelniony dostawca nie powinien automatycznie widzieć całej infrastruktury.
Przykładowo firma obsługująca system kontroli dostępu do budynku nie musi mieć komunikacji z serwerem księgowym, serwerem plików czy komputerami pracowników.
Dlatego istotnym elementem bezpieczeństwa sieci firmowej jest segmentacja oraz odpowiednio skonfigurowane reguły firewall.
Można wydzielić osobne segmenty dla:
- serwerów,
- użytkowników,
- urządzeń IoT,
- systemów produkcyjnych,
- urządzeń technicznych,
- sieci gościnnej,
- infrastruktury zarządzającej.
Następnie dostęp dostawcy można ograniczyć tylko do konkretnego segmentu, hosta i wymaganych usług.
VPN nie rozwiązuje całego problemu
Częstym błędem jest utożsamianie VPN z kompletnym zabezpieczeniem dostępu.
VPN tworzy chroniony kanał komunikacyjny, ale nadal trzeba zdecydować, kto może z niego korzystać i dokąd może się dostać po zestawieniu połączenia.
Dobrze skonfigurowany dostęp VPN dla partnera powinien być połączony m.in. z:
- indywidualnym kontem,
- MFA,
- ograniczeniem dostępu do konkretnych zasobów,
- rejestrowaniem połączeń,
- aktualnymi urządzeniami brzegowymi,
- procedurą blokowania dostępu.
Jeżeli VPN pozwala serwisantowi na swobodne poruszanie się po całej sieci firmowej, samo szyfrowanie tunelu nie rozwiązuje problemu nadmiernych uprawnień.
Rejestrowanie aktywności pozwala odtworzyć przebieg zdarzeń
Firma powinna wiedzieć nie tylko, kto posiada dostęp, ale również kiedy był on wykorzystywany.
W zależności od wykorzystywanych systemów warto rejestrować m.in.:
- udane i nieudane logowania,
- źródła połączeń,
- czas rozpoczęcia i zakończenia sesji,
- używane konta,
- próby dostępu do niedozwolonych zasobów,
- zmiany konfiguracji wykonywane z kont administracyjnych.
Logi są szczególnie istotne podczas analizy incydentu. Bez nich ustalenie zakresu wykonanych działań może być znacznie trudniejsze.
W ramach audytu IT warto więc sprawdzić nie tylko konta pracowników, ale również konta serwisowe, połączenia VPN i inne mechanizmy wykorzystywane przez partnerów zewnętrznych.
Dostępy trzeba regularnie przeglądać
Jednym z najbardziej praktycznych działań jest stworzenie rejestru dostępów zewnętrznych.
Firma powinna potrafić odpowiedzieć na pytania:
| Pytanie |
Co należy ustalić? |
|---|---|
|
Kto ma dostęp? |
konkretna osoba i firma |
|
Do czego? |
system, serwer, urządzenie lub aplikacja |
|
Jak? |
VPN, RDP, SSH, panel WWW, rozwiązanie serwisowe |
|
Jakie ma uprawnienia? |
użytkownik, operator, administrator |
|
Czy ma MFA? |
tak/nie |
|
Kiedy dostęp wygasa? |
konkretna data lub zasada |
|
Czy dostęp jest nadal potrzebny? |
okresowa weryfikacja |
Microsoft również wskazuje regularne przeglądy dostępów użytkowników zewnętrznych jako element zarządzania ich cyklem życia. (Microsoft Learn)
Przykłady dla firm
Firma korzystająca z zewnętrznego serwisu ERP
Dostawca potrzebuje dostępu do serwera aplikacyjnego i bazy danych. Zamiast pełnego VPN do całej sieci można ograniczyć komunikację wyłącznie do niezbędnych hostów i usług, zastosować indywidualne konta oraz MFA.
Firma posiadająca urządzenia obsługiwane przez producenta
Producent urządzenia wymaga dostępu serwisowego. Warto sprawdzić, czy połączenie jest aktywne przez cały czas, kto posiada dane uwierzytelniające i do jakich innych elementów infrastruktury można dotrzeć z sieci urządzenia.
Dostawca IT administrujący serwerami
Administratorzy rzeczywiście mogą potrzebować szerokich uprawnień. Nie oznacza to jednak konieczności korzystania ze wspólnego konta. Każdy administrator powinien posiadać własną tożsamość, a działania uprzywilejowane powinny być odpowiednio kontrolowane.
Przy stałej obsłudze informatycznej firm zasady nadawania, zmiany i odbierania dostępów powinny być częścią standardowego procesu administracyjnego.
Wnioski
Bezpieczny zdalny dostęp dostawców nie polega na całkowitym blokowaniu partnerów. Chodzi o świadome ograniczenie tego, co może zrobić osoba posiadająca legalny dostęp — oraz ograniczenie skutków sytuacji, w której jej konto lub urządzenie zostanie przejęte.
Najważniejsze mechanizmy to indywidualne konta, MFA, minimalne uprawnienia, segmentacja sieci, kontrolowany VPN, rejestrowanie aktywności oraz regularne przeglądy dostępów.
Podsumowanie
Zdalny dostęp dostawców powinien podlegać takim samym zasadom bezpieczeństwa jak dostęp administratorów wewnętrznych. Szczególną uwagę warto zwrócić na stare konta serwisowe, bezterminowe dostępy VPN i wspólne dane logowania.
Najważniejsze pytanie nie brzmi więc: „Czy ufamy temu dostawcy?”, ale: „Co się stanie z naszą infrastrukturą, jeśli jego konto zostanie przejęte?”
Jeżeli odpowiedzią jest dostęp do większości sieci lub kluczowych systemów, warto zmienić konfigurację, zanim pojawi się incydent.
Najnowsze komentarze