PAM, Just-in-Time Access, JEA και Privileged Access Engineering — DedSec Project
PAM, Just-in-Time Access, JEA και Privileged Access Engineering Ελληνική έκδοση — Μάθημα 130. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου…
Ελληνική έκδοση — Μάθημα 130. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.
Η privileged πρόσβαση πρέπει να είναι σύντομη, ελεγχόμενη και attributable. Μελέτησε PAM, JIT/JEA, session controls και break-glass design.
Μαθησιακοί στόχοι
Στο τέλος πρέπει να μπορείς να:
- εξηγήσεις το privileged identity separation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το vaulting versus ephemeral credentials και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το just-in-time and just-enough access και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το approval and policy workflows και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το session recording and command context και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το break-glass accounts και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
Βαθιές τεχνικές έννοιες
1. privileged identity separation
Administrative work πρέπει να γίνεται με ξεχωριστή identity από email/browsing/development. Αυτό μειώνει credential exposure και κάνει privileged actions πιο εύκολα σε attribution, restriction και monitoring.
2. vaulting έναντι ephemeral access
Vaulting προστατεύει long-lived secrets αλλά δεν αφαιρεί lifecycle risk. Short-lived/ephemeral credentials μειώνουν standing privilege όταν το target platform και το recovery model το επιτρέπουν.
3. JIT και JEA
Just-In-Time περιορίζει διάρκεια elevation και Just Enough Administration περιορίζει operations. Ο συνδυασμός μειώνει τόσο το χρονικό παράθυρο όσο και το blast radius του privilege.
4. approval και policy workflows
Elevation approval πρέπει να δένεται με identity, target, role, reason και duration. Ticket ή approval που μπορεί να επαναχρησιμοποιηθεί για άλλο resource δεν είναι ισχυρό authorization context.
5. session recording και command context
Privileged-session recording βοηθά accountability αλλά μπορεί να καταγράψει secrets. Κράτησε actor, target, action και time context με κατάλληλο redaction, retention και access control.
6. break-glass access
Emergency account πρέπει να λειτουργεί όταν το normal identity plane αποτύχει, άρα να μη βασίζεται στο ίδιο dependency. Προστάτεψέ το offline/strongly, monitor κάθε χρήση και rotate/reseal μετά από activation.
7. de-escalation και expiry
Privilege πρέπει να λήγει αυτόματα και να αφαιρεί derived sessions/tokens όπου γίνεται. Επαλήθευσε effective permissions μετά το expiry και όχι μόνο ότι αφαιρέθηκε ένα group membership.
8. service και administrator boundaries
Human admins και workload identities χρειάζονται διαφορετικό lifecycle. Απόφυγε shared accounts, interactive χρήση service credentials και service principals με broad tenant-wide permissions.
Καθοδηγούμενο εργαστήριο
Εργαστήριο 1 — Κατάγραψε υποθετικές εργασίες διαχειριστή και ανάθεσε ελάχιστους ρόλους, διάρκεια και προϋποθέσεις έγκρισης.
Εργαστήριο 2 — Μοντελοποίησε προσωρινή ανύψωση δικαιωμάτων JIT από το αίτημα ως τη λήξη και επαλήθευσε ποια στοιχεία παραμένουν.
Εργαστήριο 3 — Σχεδίασε δοκιμή πρόσβασης έκτακτης ανάγκης που αποδεικνύει διαθεσιμότητα χωρίς έκθεση πραγματικών διαπιστευτηρίων.
Πλήρες αγγλικό μάθημα
Επόμενα μαθήματα
Σχετικά modules: 021, 032, 042, 049, 059, 072, 093. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.