c4.5 Otorgar acceso elevado temporal
No otorgue acceso permanente para tareas ocasionales como troubleshooting. Deje que las personas soliciten acceso elevado temporal mediante un flujo de aprobación, con la concesión limitada en el tiempo, auditada y aprobada por otra persona, de modo que una identidad comprometida tenga mucho menos poder permanente.
Guía de implementación
Solicite acceso justo a tiempo
El acceso perpetuo a todo lo que una persona pudiera llegar a necesitar es una gran superficie de ataque permanente. En su lugar, aprovisione el acceso justo a tiempo: un empleado solicita acceso elevado temporal para una tarea específica, idealmente mediante un flujo de aprobación, y la concesión es limitada en el tiempo, auditada y aprobada por una persona distinta (separación de funciones). Cuando termina la ventana, el acceso se elimina.
Opciones de implementación
Las soluciones de Privileged Access Management (PAM) emiten acceso temporal bajo demanda. Proveedores como CyberArk, Okta y otros se integran con IAM Identity Center para otorgar credenciales temporales. Si usa otra herramienta PAM, revise cómo se integra: prefiera soluciones que emitan credenciales de corta duración y nunca expongan ni compartan access keys de larga duración con el usuario. Para elevación temporal nativa de AWS, vea Temporary elevated access.
Por qué importa
Esto es especialmente importante para los Managed Service Providers: si un admin no necesita rutinariamente acceso privilegiado a las cuentas de los clientes, el acceso elevado temporal limita el radio de impacto si las credenciales de ese admin se comprometen.
Cómo validar
- ¿Aprovisiona acceso elevado temporal y limitado en el tiempo en vez de acceso permanente para tareas ocasionales?
- ¿Un flujo de aprobación y la separación de funciones gobiernan la concesión?
- Si usa una herramienta PAM, ¿emite credenciales de corta duración (sin exponer ni compartir keys de larga duración) y se integra con IAM Identity Center?
Amenazas que atiende
- Un principal con acceso perpetuo a todo lo que pudiera necesitar es un objetivo mucho más dañino si se compromete que uno que debe solicitar acceso limitado en el tiempo cuando lo necesita.
- Un admin de MSP comprometido con acceso permanente a muchas cuentas de clientes puede alcanzarlas todas a la vez; el acceso elevado temporal limita esa exposición.
Mapeos de frameworks
AWS CAF
Well-Architected
- waf-identity-and-access-management Identity and access management
- waf-incident-response Incident response