Privilegované účty patří mezi nejcennější cíle útočníků. Kompromitace administrátorského účtu často znamená možnost převzít kontrolu nad servery, databázemi, síťovými prvky nebo cloudovou infrastrukturou. Právě proto se stále více organizací zaměřuje na implementaci řešení typu Privileged Access Management (PAM). Jedním z těchto řešení je IBM Security Verify Privilege Vault, které je postaveno na technologii Delinea Secret Server a je nabízeno v portfoliu IBM pod značkou Verify.
Tento článek není instalačním návodem krok za krokem. Je určen technickým specialistům, administrátorům a bezpečnostním architektům, kteří se připravují na implementaci a chtějí vědět, jaké předpoklady, závislosti a infrastrukturní požadavky je vhodné před samotnou instalací zohlednit.
Co je IBM Security Verify Privilege Vault
IBM Security Verify Privilege Vault je řešení pro správu privilegovaných identit a bezpečné ukládání citlivých údajů, jako jsou:
- administrátorská hesla,
- servisní účty,
- účty používané aplikacemi,
- SSH klíče,
- API tokeny,
- cloudové přístupové údaje,
- certifikáty.
Součástí řešení nejsou pouze trezory pro ukládání tajných údajů, ale také funkce pro:
- automatickou rotaci hesel,
- řízení přístupových oprávnění,
- auditní záznamy,
- workflow schvalování přístupů,
- řízení privilegovaných relací,
- integraci s adresářovými službami a SIEM systémy.
Nejdůležitější otázka: Cloud nebo On-Premises?
Ještě před zahájením projektu je nutné rozhodnout, jaký model nasazení bude použit.
SaaS varianta
V případě cloudového nasazení provozuje infrastrukturu IBM. Organizace řeší především:
- integraci s Active Directory nebo Entra ID,
- konektivitu ke spravovaným systémům,
- synchronizaci identit,
- bezpečnostní politiky.
Výhodou je nižší náročnost na správu a rychlejší implementace.
On-Premises varianta
Při lokálním nasazení organizace zajišťuje celou infrastrukturu sama. To znamená návrh:
- serverové infrastruktury,
- databázové vrstvy,
- vysoké dostupnosti,
- zálohování,
- monitoringu,
- disaster recovery scénářů.
Právě zde je potřeba věnovat přípravě nejvíce času.
Návrh infrastruktury
Aplikační server
Verify Privilege Vault běží nad webovou architekturou a vyžaduje dedikovaný aplikační server.
Při návrhu infrastruktury je vhodné zohlednit:
- počet spravovaných tajných údajů,
- počet současně přihlášených administrátorů,
- frekvenci rotace hesel,
- využití session managementu,
- počet integrovaných systémů.
V menších prostředích může postačovat jediný server. Ve středních a velkých organizacích je běžné nasazení více uzlů za load balancerem.
Databázová vrstva
Databáze představuje kritickou součást celé architektury.
V databázi jsou ukládány:
- konfigurace systému,
- auditní události,
- metadata tajných údajů,
- workflow informace,
- historie změn.
Doporučuje se:
- nasazení na samostatném databázovém serveru,
- pravidelné zálohování,
- monitoring výkonu,
- využití vysoké dostupnosti.
Z pohledu bezpečnosti bývá databázový server umístěn v oddělené serverové zóně a je dostupný pouze aplikační vrstvě.
Integrace s Active Directory
Ve většině organizací je první integrační krok propojení s Active Directory.
Před instalací je vhodné připravit:
- LDAP/LDAPS konektivitu,
- servisní účet pro čtení adresáře,
- strukturu skupin,
- mapování rolí,
- definici administrátorů PAM platformy.
Častou chybou bývá import příliš velkého množství skupin a uživatelů bez jasného návrhu oprávnění.
Doporučuje se předem navrhnout:
- PAM administrátory,
- schvalovatele přístupů,
- běžné uživatele,
- bezpečnostní auditory.
Síťové požadavky
PAM řešení musí komunikovat s celou řadou systémů.
Typicky se jedná o:
- Active Directory,
- Linux servery,
- Windows servery,
- databáze,
- síťové prvky,
- VMware prostředí,
- cloudové služby,
- SIEM platformy.
Před implementací je vhodné vytvořit přehled:
- zdrojových IP adres,
- cílových systémů,
- používaných portů,
- firewall pravidel.
V rozsáhlých prostředích bývá právě síťová segmentace nejčastější příčinou zdržení implementace.
Certifikáty a PKI
Protože Verify Privilege Vault pracuje s citlivými údaji, je nezbytné správně řešit certifikáty.
Doporučuje se:
- používat certifikáty vydané interní nebo veřejnou CA,
- zakázat používání self-signed certifikátů v produkci,
- nastavit automatickou obnovu certifikátů,
- připravit proces jejich rotace.
Administrátoři by měli ověřit, zda jsou všechny použité certifikační autority důvěryhodné pro servery, klienty i integrované systémy.
Vysoká dostupnost
Mnoho organizací vnímá PAM jako kritický systém.
Pokud administrátoři ztratí přístup k uloženým účtům, může být negativně ovlivněn provoz celé IT infrastruktury.
Proto je vhodné již při návrhu řešit:
- redundanci aplikačních serverů,
- databázové clustering řešení,
- load balancing,
- geografickou redundanci,
- disaster recovery.
Častou chybou je implementace PAM jako jediného serveru bez záložního řešení.
Zálohování
Před uvedením do provozu musí být definována zálohovací strategie.
Měla by zahrnovat:
- databázi,
- aplikační konfiguraci,
- šifrovací klíče,
- certifikáty,
- auditní data.
Bez dostupných šifrovacích klíčů nemusí být obnova systému možná ani v případě, že jsou k dispozici všechny databázové zálohy.
Integrace se SIEM
Bezpečnostní týmy obvykle požadují centralizovaný dohled nad PAM řešením.
Verify Privilege Vault je vhodné propojit například s:
- IBM QRadar,
- ManageEngine Log360,
- Logmanager,
- Splunk,
- ArcSight.
Do SIEM systému by měly být přenášeny zejména:
- přihlášení uživatelů,
- neúspěšné pokusy o autentizaci,
- přístupy k tajným údajům,
- schvalovací workflow,
- změny konfigurace,
- rotace hesel.
Tato integrace bývá důležitá pro splnění požadavků auditů a regulatorních rámců.
Bezpečnostní architektura
Před instalací je dobré definovat základní bezpečnostní principy.
Mezi doporučené postupy patří:
Princip minimálních oprávnění
Každý uživatel by měl mít přístup pouze k těm tajným údajům, které skutečně potřebuje.
Multifaktorová autentizace
MFA by měla být povinná minimálně pro:
- PAM administrátory,
- bezpečnostní týmy,
- účty s rozsáhlými oprávněními.
Oddělení rolí
Osoba spravující PAM platformu by neměla automaticky získat přístup ke všem uloženým heslům.
Auditovatelnost
Veškeré změny musí být dohledatelné a jednoznačně přiřaditelné konkrétnímu uživateli.
Co si připravit před zahájením instalace
Praktické zkušenosti ukazují, že nejúspěšnější implementace začínají důkladnou přípravou.
Před zahájením instalace by měl být připraven:
✅ návrh architektury
✅ seznam spravovaných systémů
✅ integrační požadavky
✅ DNS záznamy
✅ SSL/TLS certifikáty
✅ firewall pravidla
✅ servisní účty
✅ návrh rolí a oprávnění
✅ zálohovací strategie
✅ disaster recovery plán
✅ požadavky na SIEM integraci
Závěr
Implementace IBM Security Verify Privilege Vault není pouze instalace dalšího bezpečnostního produktu. Jde o zavedení klíčové bezpečnostní platformy, která bude spravovat nejcitlivější přístupové údaje v organizaci. Úspěch projektu proto závisí především na kvalitním návrhu architektury, správném nastavení integrací a důkladné přípravě provozních procesů.
Organizace, které věnují dostatek času plánování infrastruktury, rolí, síťové komunikace a bezpečnostních politik, obvykle dosahují výrazně rychlejší implementace, jednoduššího provozu a vyšší úrovně zabezpečení privilegovaných účtů. Verify Privilege Vault se tak stává nejen trezorem pro hesla, ale centrálním bodem řízení privilegovaného přístupu napříč celým IT prostředím.