Интеграция SECURITM с FreeIPA

FreeIPA часто стоит в центре Linux-инфраструктуры. Через нее проходят аутентификация пользователей, политики доступа и Kerberos. При этом служба ИБ обычно видит содержимое каталога только через администраторов. Кто из пользователей заблокирован, у кого истекает пароль, каким хостам разрешено делегирование, все это лежит в FreeIPA и редко попадает в отчеты.

Интеграция переносит эти сведения в SECURITM. Хосты, учетные записи и группы из FreeIPA становятся активами, с которыми работают модули рисков, требований и метрик.

Реестр активов из каталога

После синхронизации в SECURITM появляются хосты, работники, группы пользователей и группы хостов. У работника заполняются должность, руководитель, почта, телефон, признак блокировки, срок действия пароля и дата его последней смены. У хоста заполняются имя, домен, FQDN, а тип актива определяется по версии операционной системы. Синхронизация идет по расписанию, а активы, о которых каталог давно ничего не сообщает, можно автоматически отправлять в архив.

Сведения, важные для безопасности

Для хостов интеграция забирает атрибуты Kerberos: требуется ли предварительная аутентификация, разрешено ли хосту принимать делегированные билеты и действовать от имени пользователя. Эти настройки проверяют редко, хотя лишнее право на делегирование помогает атакующему развить доступ с одного сервера на другие сервисы. В SECURITM такие хосты видны в реестре, и по ним можно построить собственную метрику.

По учетным записям видно, у кого пароль давно не менялся или скоро истекает и какие записи заблокированы. Сразу после подключения в модуле метрик появляется метрика Активы из FreeIPA, а остальные показатели настраиваются на полях карточек.

Контроль изменений и связь с процессами ИБ

С помощью модуля RPA можно отслеживать изменения в каталоге и реагировать на них, например ставить задачу или уведомлять ответственного. Реальные хосты и учетные записи используются при оценке рисков и проверке соответствия требованиям. Если в компании несколько служб каталогов, SECURITM так же работает с Active Directory, ALD Pro и Keycloak.

Как начать

Для подключения нужны адрес сервера FreeIPA и учетная запись, которой хватает прав стандартной группы ipausers. Интеграция настраивается в профиле команды SECURITM, инструкция есть в справке. Реестр активов и метрики на живых данных можно посмотреть на демонстрации системы.