3 Förvalta behörigheter och använd stark autentisering

För att förhindra att angripare utnyttjar existerande konton måste organisationen ha full kontroll över konton och deras behörigheter. Det är viktigt att använda stark autentisering, eftersom lösenord ofta är en svag punkt. Flerfaktorsautentisering, särskilt med lösningar som smartkort, höjer säkerheten jämfört med enbart lösenord och skyddar effektivt mot nätfiske och många andra typer av intrångsförsök.

Risker med dålig kontroll över konton

Om en angripare får tillgång till ett existerande konto blir det svårt att upptäcka obehörig aktivitet. Det är vanligt att konton som tilldelats tidigare leverantörer eller anställda förblir aktiva och har tilldelade behörigheter långt efter att leverantörsrelationen eller anställningen avslutats. Konton kopplade till tjänster och system kan också vara aktiva efter att systemen tagits ur drift. Sådana konton kan utnyttjas av angripare för att få åtkomst till organisationens information.

Att använda samma kontouppgifter i både test- och produktionsmiljöer skapar risker. Om angripare får tag på dessa uppgifter i en mindre skyddad testmiljö kan de använda dem för att få åtkomst till produktionsmiljön.

Svaga lösenord är ett annat problem. Om standardlösenord inte ändras kan angripare enkelt hitta dem i offentlig dokumentation.

Nätfiske där användare luras att ange sina uppgifter på falska webbsidor, är ett vanligt sätt för angripare att få tillgång till lösenord. Om samma lösenord används i flera system ökar risken ytterligare.

Exempel från verkligheten

En anställd skapade flera extrakonton utöver sitt vanliga konto. Dessa konton hade VPN- åtkomst och tillgång till ett centralt system. Efter att personen slutade fortsatte denne att använda både sitt gamla konto och extrakontona för att få tillgång till systemet. Det berodde på tre brister:

• Användarens konto inaktiverades inte efter att anställningen avslutades.
• Skapandet av extrakonton upptäcktes inte.
• VPN-åtkomst kunde ske med bara användarnamn och lösenord.

Rekommenderat arbetssätt

Ge varje användare och tjänst unika konton. Använd ett automatiserat system för att hantera konton under hela deras livslängd. När en användare slutar eller ett system tas ur drift, ska kontot omedelbart inaktiveras. Konton för tillfälliga användare, som konsulter, ska automatiskt inaktiveras efter en viss tid. Kontrollera regelbundet att inaktivering har skett och att behörigheter har återkallats. Konton som inte använts på länge ska automatiskt inaktiveras.

Radera inte konton – inaktivera dem istället och ta bort behörigheterna. Raderade konton är svåra att spåra i äldre loggar och kan återanvändas på fel sätt.

Prioritera flerfaktorsautentisering för:

• System som nås via internet, som intranät, e-post, molntjänster, VPN, RDP och SSH.
• Information med högt skyddsvärde.
• Administrativa konton.

Administrativa konton bör skyddas med stark autentisering, exempelvis hårdvarunycklar, certifikat eller smartkort.

Säkerställ att flerfaktorsautentisering är korrekt implementerad. Om ett system tillåter åtkomst med enbart lösenord parallellt med flerfaktorsautentisering, är säkerheten fortfarande beroende av lösenordet. För konton där flerfaktorautentisering inte kan användas, ska unika och långa lösenord krävas. Använd ett lösenordshanteringssystem för att undvika att lösenord skrivs ned eller återanvänds mellan olika tjänster.

Logga och övervaka all kontoanvändning. Det är viktigt att loggarna skyddas mot obehörig åtkomst och manipulation, så att organisationen kan lita på dem. Särskilt viktigt är det att uppgifter om användares aktiviteter inte kan förnekas (eng. Non-Repudiation).

Inför en central behörighetsfunktion för att effektivt hantera och tilldela behörigheter. Var särskilt uppmärksam på konton med administrativa rättigheter och de som inte hanteras av denna funktion.