Как и с чем автоматизировать PKI?

Развитие ИТ-инфраструктуры компании — это непрерывный эволюционный процесс, и каждый этап развития несет в себе как новые возможности, так и новые вызовы. Аналогичным образом должна развиваться и информационная безопасность, не отставая от ИТ-направления. При этом тезис про новые возможности, которые, в свою очередь, влекут за собой и новые вызовы, справедлив и в отношении ИБ.

Рассмотрим, как может выглядеть типичный сценарий развития step-by-step, на укрупненном примере:

1. Количество ИТ-ресурсов неуклонно растет, как и аудитория их пользователей. В результате управление статическими паролями от десятка-­другого информационных систем с тысячами пользователей превратилось в масштабную задачу, которая становится одной из главных проблем современной инфраструктуры. Кроме того, сами статические пароли уже не отвечают современным требованиям безопасности.
2. В ответ службы ИБ компаний, предоставляющих те или иные розничные сервисы, предлагают вводить строгую аутентификацию пользователей, хотя бы по сертификатам. Это достаточно простой способ усилить безопасность доступа на текущем этапе, хотя на самом деле существуют и гораздо более эффективные решения. Однако предположим, что внедрение DFA+SSO — двухфакторной аутентификации (Dual-­Factor Authentication) по схеме Singe Sign-­On, позволяющей пользователю однократно пройти процедуру аутентификации и затем использовать несколько разных сервисов без дополнительного подтверждения, по ­каким-то причинам пока не рассматривается, и проблему надо решить на базе имеющихся в наличии средств.
3. В этом случае компанией налаживается выпуск сертификатов через удостоверяющий центр на базе MSCA/ADCS (Microsoft Certification Authority, Active Directory Certificate Services), и все пользователи ее сервисов получают возможность входить на многие ресурсы, используя один и тот же сертификат и ПИН-код.
4. Теперь, когда у компании появился удостоверяющий центр, для различных информационных систем и серверов также становится стандартом использовать такие протоколы защиты, как SSL/TLS (Secure Sockets Layer/Transport Layer Security), в том числе со временем — и для различного оборудования.
5. Проходит некоторое время, и количество сертификатов, которые надо выпускать, обновлять или отзывать у пользователей, серверов и устройств, возрастает настолько, что теперь к обслуживанию этих процессов приходится постоянно привлекать целую команду сотрудников. При этом периодически начинают возникать инциденты: тут сертификат забыли обновить, там пользователь вовремя не обратился за обновлением, про ­какой-то сертификат и вовсе забыли, а при выполнении ­какой-то запланированной синхронизации между системами все вдруг пошло не так, и проблему заметили не сразу. В общем, человеческий фактор накладывается на объем задач, усугубляя и без того непростую ситуацию. Таким образом, с одной стороны, одни проблемы этим способом вроде бы решить удалось, а с другой — мы получили массу других. Особенно критичной становится ситуация на фоне тренда, в рамках которого все больше рыночных и собственных программных продуктов компаний переходит на использование микросервисов. Такой подход позволяет решать проблемы масштабирования и отказоустойчивости, а также ускоряет процессы внедрения и развития, но он же делает инфраструктуру очень динамичной и требует для управления специальных оркестраторов и сильно автоматизирован. В частности, регулярный и своевременный выпуск сертификатов для микросервисов и для их фронтендов становится большой проблемой, требующей автоматизации.

Отдельные детали и факторы могут отличаться, но описанная выше картина довольно типична для многих крупных, средних и динамично развивающихся компаний с сильным ИТ-подразделением. И раз уж мы выбрали в качестве основного «виновника торжества» корпоративные удостоверяющие центры (или попросту инфраструктуру открытых ключей — Public Key Infrastructure, PKI), попробуем рассмотреть некоторые из наиболее актуальных аспектов такого подхода в настоящей статье.

Вначале немного статистики об эффективности функционирования неавтоматизированных PKI, где все сертификаты выпускаются сотрудниками вручную, которые пока еще часто встречаются среди больших и средних компаний с собственными PKI. Итак, по данным французской компании EverTrust, одного из французских разработчиков ПО для PKI и сферы информационной безопасности, обладающей уникальной экспертизой в этой области:

• 80% корпоративных SSL сертификатов практически не контролируются без автоматизации;
• 70% веб-сайтов и приложений по-прежнему используют небезопасные протоколы TLS 1.0 или SSL 2.0/3.0;
• до 75% сокращаются затраты человеческих ресурсов с автоматизацией PKI.

• Конфигурация на базе системы профилей:
  • Поддержка одновременно нескольких разных PKI и различных шаблонов сертификатов
  • Разные режимы развертывания
  • Настраиваемые криптографические ограничения
  • Настройка ограничений по именам
  • Расширенное сопоставление данных

• Расширенный мониторинг, KPI, системный журнал
• Управление цепочкой доверия с большинством режимов развертывания
• Мощный и удобный веб-интерфейс для настройки и регистрации

Два пути реализации

Итак, мы обозначили основные вопросы и теперь попробуем разобраться, как с ними работать дальше. На самом деле путей много, но основных и самых логичных всего два:

• замена PKI на более функциональный и гибкий;
• внедрение специального ПО, которое возьмет на себя функции автоматизации и аудита.