Управление привилегированным доступом в распределенной инфраструктуре

• Централизовать управление привилегированным доступом пользователей, сервисных учетных записей и подрядных организаций в инфраструктуре компании.

• Ограничить привилегированный доступ в соответствии с принципом наименьших привилегий.

• Обеспечить контроль привилегированных сессий подрядных организаций.

• Реализовать управление жизненным циклом привилегированного доступа: от запроса и согласования до отзыва прав.

• Обеспечить полный аудит привилегированных действий и сформировать доказательную базу для расследований и внутреннего контроля.

• Снизить риски, связанные с доступом подрядных организаций и использованием привилегированных учетных записей.

Масштаб внедрения

• 30 информационных систем и ~2 000 серверов переведены под управление PAM

• ~1 500 серверов магазинов переведены на модель управления секретами: инженеры работают под привилегированными учётными записями, не зная их паролей

Перевод подрядных организаций

• Проведён аудит VPN-доступов подрядчиков; избыточные права отозваны

• ~95% подрядчиков переведены за PAM

• По новой целевой схеме доступ выдаётся только через PAM

Управление доступами и аудит

• Для каждого доступа определены срок, владелец и обоснование; по завершении срока или работ он отзывается

• 100% привилегированных сессий к целевым активам фиксируются в журнале аудита; для критичных систем — с записью сессий

• Обеспечена доказательная база для внутреннего аудита и расследования инцидентов

Изменения в процессах

• Переход от разрозненного управления правами к единой модели: доступ запрашивается, согласуется, выдаётся через PAM, контролируется и отзывается в рамках одного цикла

• Выстроены регламенты запроса, выдачи, продления и отзыва доступа

NGR Softlab PAM (Infrascope)

• Архитектурная сложность. Интеграция PAM-решения с уже существующей разнородной инфраструктурой распределенных ЦОД: большое количество сервисов, учётных записей, уровней доступа и исторически сложившихся моделей использования прав. Требовалось выстроить единые процессы аутентификации, авторизации, управления сессиями и контроля действий пользователей, не нарушая стабильность работы критически важных систем.

• Обеспечение отказоустойчивости. В ходе масштабирования были выявлены ошибки первоначальной конфигурации кластера, связанные с использованием внешнего балансировщика. Архитектура была пересмотрена, кластер повторно развернут, проведены корректировка настроек и мероприятия по повышению отказоустойчивости.

• Поэтапность и операционная нагрузка. Проект реализовывался поэтапно, по одному подрядчику, по одной группе систем, чтобы минимизировать влияние на операционную деятельность. Каждый этап включал аудит существующих прав, согласование, развёртку, тестирование, пилот и масштабирование.

До начала проекта управление привилегированными правами в инфраструктуре компании было разрозненным. В распределенных ЦОД сохранялись избыточные и недостаточно прозрачные доступы, а подрядные организации использовали прямые VPN-подключения к тестовым и продуктивным системам.

Такая модель создавала риски:

• несанкционированных действий и ошибок в production;

• утечки и компрометации учетных данных;

• недостаточной прозрачности доступа — было сложно оперативно определить, кто, к каким системам, с какими правами и на какой срок имеет доступ;

• невозможности оперативного отзыва доступа при расторжении контракта или изменении задач;

• нарушения требований ФСТЭК (БДУ, контроль доступа) и лучших практик ИБ.

Для реализации проекта было выбрано решение PAM Infrascope от российского разработчика NGR Softlab. Проект развивался по двум основным направлениям.

1. Первое приоритетное направление — перевод подрядных организаций под контроль PAM. Был проведен аудит существующих VPN-доступов, выявлены и отозваны избыточные права. Около 95% подрядных организаций переведены за Infrascope. Доступ реализуется только через PAM, с ограничением по активам, срокам и функциям.

2. Второе направление — управление секретами для штатных инженеров. Около 1 500 серверов магазинов переведено на модель, при которой инженеры подключаются к серверам с использованием привилегированных учетных записей через PAM, не зная их паролей. Infrascope становится централизованной точкой управления такими учетными данными, что снижает риск их компрометации при кадровых изменениях, передаче паролей между сотрудниками или реализации инсайдерских угроз.

В результате PAM-система Infrascope внедрена на распределённой инфраструктуре двух ЦОД. Решение развёрнуто в отказоустойчивой конфигурации: в ходе проекта выявлены и устранены ошибки в работе кластера, выполнена пересборка и повторная развёртка архитектуры PAM, обеспечивающая стабильную работу в условиях распределённых ЦОД.

Также проведено масштабное изменение процессов и поведения пользователей. Для реализации проекта потребовалось:

• обновить политики доступа и регламенты;

• обучить сотрудников новым принципам работы с привилегированными учётными записями;

• выстроить процессы запроса, продления и отзыва доступа;

• обеспечить поддержку пользователей на этапе перевода;

• согласовать изменения с IT и бизнес подразделениями.

В результате проект позволил перейти от набора разрозненных доступов к централизованной модели управления полным жизненным циклом привилегированного доступа.

Статус и развитие:

По состоянию на сентябрь 2026 года основной этап внедрения завершён, система передана на сопровождение. В работе — подготовка к переводу штатных привилегированных сотрудников за PAM и расширению покрытия на оставшиеся системы.

Россия, г. Москва