Weryfikacja mechanizmów uwierzytelniania wieloskładnikowego (Multi-Factor Authentication – MFA) oraz sposobu realizacji logowania uprzywilejowanego należy do najważniejszych elementów audytu systemów operacyjnych Windows i Linux. Współczesne cyberataki coraz rzadziej polegają na wykorzystywaniu wyłącznie podatności technicznych. Zdecydowanie częściej ich celem jest przejęcie tożsamości użytkownika lub administratora poprzez kradzież danych uwierzytelniających, phishing, wykorzystanie wyciekłych haseł lub przejęcie aktywnej sesji.
Celem kontroli jest ocena, czy organizacja wdrożyła odpowiednie mechanizmy ochrony procesu logowania, stosuje uwierzytelnianie wieloskładnikowe dla systemów o podwyższonym poziomie ryzyka oraz właściwie zarządza dostępem uprzywilejowanym. Audyt powinien potwierdzić, że nawet w przypadku przejęcia hasła użytkownika osoba nieuprawniona nie uzyska łatwego dostępu do systemów krytycznych.
Znaczenie uwierzytelniania wieloskładnikowego
Przez wiele lat podstawowym mechanizmem ochrony dostępu do systemów było hasło. Obecnie takie podejście jest niewystarczające. Dane uwierzytelniające mogą zostać pozyskane w wyniku ataków phishingowych, wycieków baz danych, złośliwego oprogramowania typu infostealer, ataków słownikowych czy ponownego wykorzystania haseł przez użytkowników.
Uwierzytelnianie wieloskładnikowe znacząco ogranicza skuteczność takich ataków poprzez wymaganie przedstawienia co najmniej dwóch niezależnych składników uwierzytelniających. Dzięki temu samo poznanie hasła nie wystarcza do uzyskania dostępu do systemu.
Mechanizm MFA opiera się na zasadzie łączenia różnych kategorii czynników uwierzytelniających, takich jak wiedza użytkownika (hasło lub kod PIN), posiadanie określonego urządzenia (token sprzętowy, aplikacja mobilna, karta inteligentna) oraz cechy biometryczne (odcisk palca, rozpoznawanie twarzy lub tęczówki oka).
Logowanie uprzywilejowane jako obszar wysokiego ryzyka
Konta uprzywilejowane posiadają rozszerzone uprawnienia umożliwiające zarządzanie systemami operacyjnymi, usługami sieciowymi, użytkownikami oraz konfiguracją bezpieczeństwa. Ich kompromitacja może prowadzić do całkowitego przejęcia infrastruktury organizacji.
Logowanie uprzywilejowane powinno być traktowane jako proces odrębny od standardowego logowania użytkowników. Administrator nie powinien wykonywać codziennej pracy z wykorzystaniem konta posiadającego pełne uprawnienia administracyjne. Zalecaną praktyką jest stosowanie dwóch oddzielnych kont – standardowego, wykorzystywanego do codziennej pracy biurowej, oraz uprzywilejowanego, używanego wyłącznie podczas wykonywania czynności administracyjnych.
Takie podejście ogranicza ryzyko przejęcia kont administracyjnych poprzez złośliwe oprogramowanie uruchomione podczas codziennej pracy użytkownika.
Zakres kontroli audytowej
Podczas audytu należy zweryfikować wszystkie mechanizmy odpowiedzialne za uwierzytelnianie użytkowników oraz administratorów.
Kontrola obejmuje między innymi:
- sposób logowania użytkowników,
- konfigurację MFA,
- wyjątki od obowiązku stosowania MFA,
- logowanie administratorów,
- logowanie zdalne,
- dostęp do systemów krytycznych,
- zarządzanie sesjami administracyjnymi,
- zarządzanie kontami uprzywilejowanymi,
- monitorowanie logowań.
Audyt powinien objąć zarówno środowiska lokalne, jak i usługi chmurowe, systemy VPN, rozwiązania do zdalnego zarządzania oraz interfejsy administracyjne urządzeń sieciowych.
Weryfikacja wdrożenia MFA
Pierwszym etapem kontroli jest ustalenie, dla których systemów organizacja wymaga stosowania uwierzytelniania wieloskładnikowego.
Audytor powinien odpowiedzieć na następujące pytania:
- Czy MFA jest obowiązkowe dla wszystkich administratorów?
- Czy MFA chroni dostęp do poczty elektronicznej?
- Czy MFA obejmuje systemy VPN?
- Czy MFA jest wymagane dla systemów finansowych?
- Czy MFA stosowane jest w usługach chmurowych?
- Czy użytkownicy mogą wyłączyć drugi składnik uwierzytelniania?
- Czy istnieją wyjątki od obowiązku stosowania MFA?
- Czy wyjątki są formalnie zatwierdzane?
Brak MFA dla systemów dostępnych z Internetu należy uznać za jedną z najpoważniejszych niezgodności wykrywanych podczas audytu.
Ocena metod uwierzytelniania
Nie wszystkie mechanizmy MFA zapewniają taki sam poziom bezpieczeństwa.
Podczas kontroli należy ocenić wykorzystywaną metodę drugiego składnika uwierzytelniania.
Najwyższy poziom bezpieczeństwa zapewniają:
- klucze sprzętowe FIDO2,
- tokeny zgodne z U2F,
- karty inteligentne,
- certyfikaty sprzętowe.
Dobrym rozwiązaniem są również aplikacje generujące jednorazowe kody (TOTP), takie jak Microsoft Authenticator, Google Authenticator czy FreeOTP.
Niższy poziom bezpieczeństwa zapewniają wiadomości SMS, które mogą być podatne na ataki typu SIM swapping lub przechwycenie wiadomości.
Podczas audytu należy ocenić, czy stosowane rozwiązania odpowiadają poziomowi ryzyka związanego z chronionymi zasobami.
Bezpieczeństwo logowania administratorów
Administratorzy systemów operacyjnych powinni korzystać z bardziej restrykcyjnych zasad uwierzytelniania niż pozostali użytkownicy.
Audyt powinien obejmować między innymi:
- obowiązkowe MFA,
- oddzielne konta administracyjne,
- zakaz wykorzystywania kont administracyjnych do pracy biurowej,
- ograniczenie logowania do wybranych urządzeń administracyjnych,
- możliwość logowania wyłącznie z zaufanych lokalizacji,
- kontrolę czasu aktywności sesji,
- automatyczne blokowanie nieaktywnych sesji.
W środowisku Windows warto zweryfikować wykorzystanie mechanizmów takich jak Privileged Access Workstations (PAW), Windows Hello for Business oraz Conditional Access. W systemach Linux należy sprawdzić konfigurację SSH, wykorzystanie kluczy kryptograficznych oraz ograniczenie logowania użytkownika root.
Weryfikacja logowania zdalnego
Współczesne organizacje bardzo często umożliwiają administratorom wykonywanie obowiązków zdalnie.
Podczas audytu należy sprawdzić:
- Czy dostęp zdalny wymaga MFA,
- Czy stosowany jest VPN,
- Czy logowanie jest ograniczone do określonych adresów IP,
- Czy wykorzystywane są certyfikaty,
- Czy sesje administracyjne są szyfrowane,
- Czy rejestrowane są wszystkie próby logowania.
Szczególną uwagę należy zwrócić na usługi RDP oraz SSH dostępne bezpośrednio z Internetu.
Zarządzanie sesjami uprzywilejowanymi
Sam proces uwierzytelnienia nie kończy zagadnienia bezpieczeństwa.
Audytor powinien sprawdzić:
- czas trwania sesji,
- automatyczne wylogowanie,
- możliwość równoczesnych logowań,
- rejestrowanie działań administratorów,
- nagrywanie sesji administracyjnych,
- możliwość natychmiastowego zakończenia aktywnej sesji.
Coraz więcej organizacji wykorzystuje rozwiązania klasy Privileged Access Management (PAM), które umożliwiają pełne monitorowanie i rejestrowanie wszystkich działań wykonywanych przez administratorów.
Monitorowanie prób logowania
Audyt powinien obejmować również ocenę mechanizmów monitorowania procesu uwierzytelniania.
Należy zweryfikować:
- rejestrowanie udanych logowań,
- rejestrowanie nieudanych prób,
- wykrywanie nietypowych lokalizacji,
- wykrywanie logowań poza godzinami pracy,
- wykrywanie logowań niemożliwych geograficznie (Impossible Travel),
- wykrywanie prób omijania MFA,
- generowanie alertów bezpieczeństwa.
Informacje te powinny być przekazywane do centralnego systemu SIEM oraz analizowane przez zespół odpowiedzialny za monitorowanie bezpieczeństwa.
Typowe niezgodności wykrywane podczas audytu
Podczas audytów najczęściej identyfikowane są następujące problemy:
- brak MFA dla administratorów,
- brak MFA dla usług VPN,
- logowanie do serwerów wyłącznie przy użyciu hasła,
- wykorzystywanie wiadomości SMS jako jedynego drugiego składnika,
- współdzielone konta administracyjne,
- administratorzy pracujący na kontach uprzywilejowanych przez cały dzień,
- brak monitorowania logowań,
- brak rejestrowania działań administratorów,
- możliwość logowania administratora z dowolnego urządzenia,
- brak ograniczeń dotyczących lokalizacji logowania.
Takie niezgodności znacząco zwiększają ryzyko skutecznego przejęcia infrastruktury przez osoby nieuprawnione.
Ocena ryzyka
Brak uwierzytelniania wieloskładnikowego dla kont uprzywilejowanych należy traktować jako ryzyko krytyczne.
Przejęcie pojedynczego konta administratora może umożliwić atakującemu uzyskanie dostępu do wszystkich systemów organizacji, zmianę konfiguracji zabezpieczeń, utworzenie nowych kont uprzywilejowanych oraz usunięcie śladów swojej aktywności.
Ryzyko dodatkowo wzrasta, jeżeli administratorzy korzystają z jednego konta do wszystkich czynności lub logują się z niezaufanych urządzeń.
Zalecenia audytowe
Organizacja powinna wdrożyć obowiązkowe uwierzytelnianie wieloskładnikowe dla wszystkich użytkowników posiadających dostęp do systemów krytycznych oraz bezwzględnie dla wszystkich kont uprzywilejowanych. Dostęp administracyjny powinien być realizowany wyłącznie z wykorzystaniem dedykowanych kont administracyjnych oraz zabezpieczonych stacji roboczych przeznaczonych do zarządzania infrastrukturą.
Należy ograniczyć możliwość logowania administratorów wyłącznie do zaufanych lokalizacji i urządzeń, stosować polityki dostępu warunkowego (Conditional Access) oraz regularnie przeglądać wyjątki od obowiązku stosowania MFA. W środowiskach Windows zaleca się wykorzystanie Windows Hello for Business, Microsoft Entra ID, Windows LAPS oraz Privileged Identity Management (PIM). Środowiska oparte o Linux rekomendowane jest stosowanie logowania z użyciem kluczy SSH, wyłączenie logowania użytkownika root oraz wdrożenie centralnego zarządzania tożsamością.
W organizacjach o podwyższonych wymaganiach bezpieczeństwa warto wdrożyć rozwiązania klasy PAM umożliwiające czasowe nadawanie uprawnień (Just-In-Time Access), nagrywanie sesji administracyjnych, rotację poświadczeń oraz pełną rejestrację działań wykonywanych przez administratorów.
Powiązanie z normami i dobrymi praktykami
Kontrola uwierzytelniania wieloskładnikowego oraz logowania uprzywilejowanego jest zgodna z wymaganiami ISO/IEC 27001:2022 dotyczącymi zarządzania tożsamością, kontroli dostępu oraz uwierzytelniania użytkowników. Wspiera funkcję Protect w NIST Cybersecurity Framework 2.0, realizuje zalecenia NIST SP 800-63 Digital Identity Guidelines oraz odpowiada wymaganiom CIS Controls v8 w zakresie zarządzania kontami uprzywilejowanymi, ochrony danych uwierzytelniających i stosowania MFA. Kontrola jest również zgodna z dobrymi praktykami modelu Zero Trust, zgodnie z którym każde logowanie powinno podlegać ciągłej weryfikacji, niezależnie od lokalizacji użytkownika.
Podsumowanie
Uwierzytelnianie wieloskładnikowe oraz właściwe zarządzanie logowaniem uprzywilejowanym stanowią jedne z najskuteczniejszych mechanizmów ograniczających ryzyko przejęcia kont użytkowników i administratorów. Wdrożenie MFA znacząco utrudnia wykorzystanie skradzionych haseł, natomiast odpowiednia organizacja dostępu administracyjnego zmniejsza możliwość eskalacji uprawnień oraz rozprzestrzeniania się ataku w środowisku organizacji.
Z perspektywy audytora szczególne znaczenie ma nie tylko potwierdzenie obecności mechanizmów MFA, ale również ocena ich skuteczności, zakresu stosowania oraz zgodności z polityką bezpieczeństwa. Organizacje powinny dążyć do wdrożenia modelu Zero Trust, w którym każda próba logowania jest oceniana pod kątem ryzyka, a dostęp do zasobów jest przyznawany zgodnie z zasadą najmniejszych uprawnień i ciągłej weryfikacji tożsamości. Takie podejście znacząco zwiększa odporność środowiska Windows i Linux na współczesne zagrożenia cyberbezpieczeństwa.
Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.
Link do formularza tutaj: https://beitadmin.pl/pomysly
Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).
