Kimse tüm şirkete local admin vermeyi planlamaz. Kendiliğinden birikir. Bir geliştiricinin araç kurması gerekir, IT "şimdilik" admin verir. Havalimanındaki bir satış laptopuna yazıcı sürücüsü lazımdır, talep kuyruğu uzundur; çözüm yine admin olur. Bir departman, kurulumu yükseltme isteyen bir yazılım satın alır ve en hızlı çıkış, departmandaki herkesi kendi makinesinin yöneticisi yapan bir group policy'dir.
Her karar tek başına küçük ve savunulabilir. Toplamı ise yüzlerce laptopun ayrıcalıklı sistem olduğu — ve neredeyse kimsenin onları böyle takip etmediği — bir ortam.
Neden bu kadar sessizce büyür
Local admin, tek makineyle sınırlı olduğu için ayrıcalıklı erişim gibi hissettirmez. Ama risk modeli açıktır: kullanıcı olarak çalışan her şey, kullanıcının haklarıyla çalışır. Kullanıcı local administrator ise, açtığı her zararlı ek, indirdiği her truva atlı kurulum dosyası, bir phishing sayfasının çalıştırmaya ikna ettiği her script de administrator'dır.
Admin haklarıyla zararlı yazılım makinede misafir olmaktan çıkar: güvenlik araçlarını kapatabilir, sürücü yükleyebilir, bellekten kimlik bilgisi toplayabilir, yeniden başlatmalara dayanan kalıcılık kurabilir ve makineyi, kullanıcının erişebildiği her yere uzanan güvenilir bir üs olarak kullanabilir. Özellikle ransomware operatörleri buna bel bağlar: ele geçirilen ilk hesap kendi endpoint'inin yöneticisiyse toplu şifreleme, gölge kopyaların silinmesi ve yatay hareket belirgin biçimde kolaylaşır.
Bir de daha yavaş işleyen ikinci bir maliyet var. Kullanıcının her şeyi kurabildiği makineler zamanla savrulur: onaysız yazılımlar, devre dışı bırakılmış ajanlar, kimsenin akıl erdiremediği konfigürasyonlar. Her denetim bir arkeoloji kazısına döner.
Rahatsız edici ama gerekli çerçeve şu: local admin'i olan bir laptop "kolaylık açılmış bir endpoint" değildir. Ayrıcalıklı bir sistemdir — ve filonuz bunlarla dolu. Sunuculardaki ayrıcalıklı hesapları kasaya alan, oturumları kaydeden bir kurumun, aynı titizliği yüzlerce laptoptan esirgemesi için hiçbir mantıklı neden yoktur; sadece alışkanlık vardır.
"Admin'i kaldıralım" neden yetmez
Akla ilk gelen cevap — local admin'i her yerden kaldırmak — hemen her güvenlik ekibi tarafından denenmiştir ve hep aynı şekilde başarısız olur. Dağılmaya yol açan meşru ihtiyaçlar, haklar gidince ortadan kalkmaz. Geliştiricilerin hâlâ kurulum ve debug yapması gerekir. Sahadaki personel hâlâ yanında IT olmadan sürücü uyarılarıyla karşılaşır. Kurumsal uygulamalar güncelleme için hâlâ yükseltme ister.
Kaldırma işlemi hızlı ve meşru bir yükseltme yoluyla eşleşmezse iki şeyden biri olur: ya helpdesk yükseltme taleplerinde boğulur ve iş birimleri ayaklanır, ya da istisnalar çoğalır ve "geçici" admin grubu sessizce yeniden dolar. İki durumda da güvenlik ekibi bir sonraki denemede daha az itibarla masaya oturur. Yükseltme yolu olmayan toptan kaldırma bir politika değil, geri dönüş için geri sayımdır. Amaç admin'i yok etmek değil; onu doğru işe, doğru süreyle, kayıt altında vermektir.
Modern model: kullanıcıyı değil, işi yükselt
Endpoint privilege management (EPM) bu gerilimi, yükseltilen şeyi değiştirerek çözer. Kullanıcı standart kullanıcı olarak kalır — kalıcı olarak. Belirli bir uygulamanın gerçekten yükseltmeye ihtiyacı olduğunda, o uygulama, politika altında, just-in-time yükseltilmiş çalışır. Pratikte:
Uygulama bazında, hesap verilebilir just-in-time yükseltme. Onaylı bir aracı kurması gereken kullanıcı, o kurulum dosyası için yükseltme talep eder. Kararı politika verir: bazı uygulamalar sessizce yükselir, bazıları kullanıcının yazdığı bir iş gerekçesi ister, bazıları bir onaylayıcının evet demesini bekler. Her yükseltme loglanır — hangi kullanıcı, hangi binary, hangi gerekçe, ne zaman. Admin hakları sürekli bir durum olmaktan çıkar; kaydı tutulan bir olaya dönüşür.
Binary'nin adına göre değil, ne olduğuna göre izin ve engel. Kurallar uygulamaları hash, imza ve yayıncıya göre eşler — herhangi bir zararlının kopyalayabileceği dosya adına göre değil. Güvenilen bir yayıncının imzalı kurulum dosyasına geniş izin verilebilir; indirilenler klasöründeki imzasız bir çalıştırılabilir, kendine ne ad verirse versin asla yükselmez.
Bağlamı anlayan koşullu kurallar. Modern EPM politikası komut satırının ve parent process'in farkındadır. Aynı binary, nasıl başlatıldığına göre meşru da olabilir düşmanca da: geliştiricinin terminalden açtığı bir shell normal iştir; bir hesap tablosunun ya da doküman görüntüleyicinin doğurduğu shell ise klasik bir zararlı makro işaretidir ve politika tam olarak bu kombinasyonu doğrudan engelleyebilir. Bağlama duyarlı kurallar, işin olduğu yerde esnek, saldırının olduğu yerde katı olmanızı sağlar.
Çevrimdışı güvenli politika. Laptop'lar uçaklarda ve otel Wi-Fi'ının çekmediği köşelerde yaşar. Yükseltme politikası makinedeki ajan tarafından, endpoint hiçbir yere ulaşamadığında da çalışan — ve kısıtlayıcı kalan — önbelleğe alınmış kurallarla uygulanmalıdır. Çevrimdışında gevşeyen bir kontrol, saldırganın sadece beklemesi gereken bir kontroldür.
Geriye kalanı döndür. İyi yönetilen bir filoda bile her makinede kurtarma için yerleşik bir local administrator hesabı kalır. Bu hesaplar filo genelinde tek bir parolayı paylaşmamalıdır — bu bir maymuncuktur. LAPS tarzı rotasyon her makineye benzersiz, düzenli döndürülen, kasada saklanan ve tek tek, kim aldı kaydıyla alınabilen bir local admin parolası verir.
Linux da hikâyeye dahil oluyor
Bu eskiden bir Windows sohbetiydi; artık değil. Geliştirici ve üretim Linux makinelerinin aynı sorunun kendi versiyonu var: bir kez verilip hiç gözden geçirilmeyen geniş sudo hakları, paylaşılan root parolaları, makineden makineye savrulmuş sudoers dosyaları. Aynı model burada da geçerli: hangi kullanıcının hangi makinede hangi komutları yükseltebileceğine karar veren, PAM/sudo seviyesinde merkezî politika — ve dağınık yerel dosyalar yerine merkezde loglanan her yükseltme. Endpoint'te en az yetki, iki ayrı proje değil; iki işletim sisteminde tek disiplindir.
Local admin dağılması sessizdir; çünkü hakkı verdiğiniz gün kötü hiçbir şey olmaz. Kötü bir şey olduğu gün ise fark, tek makinedeki bir olay ile her yerdeki bir olay arasındaki farktır. İşi zorlaştırmadan standart kullanıcıyı varsayılan yapmaya hazırsanız, Monopam EPM'in just-in-time yükseltmeyi ve uygulama kontrolünü nasıl ele aldığına, Linux kimlik ajanının da aynı politikayı Linux filonuza nasıl taşıdığına bakabilirsiniz.
