По данным «Солара», в 2026 году продолжится рост к��бератак на привилегированные учетные записи. Скомпрометировав их, злоумышленники действуют внутри сети как легитимные администраторы. В таком случае традиционная модель «безопасного периметра» бессильна, потому что она не видит угроз изнутри. Поэтому организации начинают переходить к архитектуре нулевого доверия – Zero Trust – и внедряют PAM-системы. О том, как устроена эта связка и почему без PAM Zero Trust остаётся лишь теорией, рассказывает Антон Залесский, бизнес-архитектор группы развития продуктов по управлению доступом ГК «Солар».

Главная опасность атаки на привилегированные учетные записи заключается в том, что действия злоумышленника, использующего легитимные учетные данные, маскируются под обычную работу администратора. В результате хакеры могут долгое время действовать скрытно и наносить максимальный ущерб инфраструктуре организации.

Долгое время злоумышленники делали ставку на массовые автоматизированные атаки, не требующие глубокого проникновения. Однако с распространением межсетевых экранов нового поколения (NGFW), систем предотвращения вторжений (IPS) и современных средств защиты рабочих станций и серверов (EDR) эффективность таких «прямых» атак снизилась. Это заставило хакеров менять тактику: их фокус сместился на фишинг и социальную инженерию с целью кражи привилегированных учетных данных. Одновременно массовый переход в облака и усложнение гибридных сетей создали новые каналы вторжения, сделав управление привилегированным доступом одной из главных линий обороны. 

Классическая модель ИБ, основанная на защите «замкнутого внутреннего периметра» сети, неспособна противостоять этой угрозе, поскольку вся ее логика построена на разделении «внешнего» и «внутреннего». К примеру, если злоумышленник использует украденные учетные данные администратора, подключившись с доверенного IP, NGFW пропустит его как «своего». Все дальнейшие действия хакера выглядят как легитимный трафик. С распространением облачных сервисов, удаленной работы и сложных гибридных инфраструктур понятие четкой границы между «внутренней» доверенной и «внешней» враждебной средой стирается.

В ответ на такой тип киберугроз рынок информационной безопасности предлагает решение по управлению привилегированным доступом – Privileged Access Management, или коротко PAM. Оно строго контролирует все действия, сводя на нет преимущества, кот��рые дает злоумышленнику украденная техническая учетная запись (ТУЗ) или учетная запись (УЗ) администратора. По сути, PAM-система становится тем практическим механизмом, который позволяет реализовать принципы архитектуры Zero Trust в отношении самого рискового типа пользователей – привилегированных администраторов.

Отечественные решения, например, как PAM-система Solar SafeInspect от ГК «Солар», реализовывают эти принципы в различных секторах экономики, в том числе и на объектах критической информационной инфраструктуры. Продукт сертифицирован ФСТЭК России и архитектурно построен по модели безопасного шлюза (прокси) для работы в парадигме Zero Trust. PAM-система «Солара» контролирует сессии, перехватывает и проверяет весь трафик привилегированного доступа без установки агентов на конечные системы. Она также напрямую противостоит рискам, связанным с человеческим фактором и компрометацией учетных данных, значительно снижая риски даже в случае их утери. Актуальность такой защиты подтверждается исследованием ГК «Солар» о том, что риски, связанные с человеческим фактором, – это одна из причин утечек данных.

Ключевой механизм, который нивелирует этот риск, – разделение учётных данных и сопоставление учётных записей (account mapping) без участия пользователя. Администратор заходит в PAM-систему под своей непривилегированной учётной записью, проходит многофакторную аутентификацию и запрашивает доступ к целевому ресурсу. Например, Solar SafeInspect проверяет политики, и, если доступ разрешён, сам подставляет привилегированную учётную запись при подключении к серверу, базе данных или сетевому устройству.

Важно: пользователь никогда не видит и не вводит привилегированный пароль. Он не может его перехватить, случайно раскрыть или сохранить в незащищённом месте. Пароль хранится исключительно в зашифрованном хранилище PAM-системы и при необходимости автоматически ротируется после завершения сессии.

«По данным «Солара», кража привилегированной учётной записи сегодня — это одна из целей хакера. Но если пароль не попадает к пользователю в принципе, украсть его становится невозможно. Мы убираем «носителя секрета». Пароль привилегированной учётной записи больше не хранится у администратора — он остаётся внутри PAM-системы и подставляется автоматически. Это не просто контроль доступа, это смена парадигмы: от «доверия к пользователю» к «доверию к процессу», – поделился Антон Залесский, бизнес-архитектор ГК «Солар».

Что такое концепция Zero Trust и почему это важно

В отличие от модели с «безопасным внутренним периметром», Zero Trust исходит из пессимистичного, но реалистичного допущения: угроза может находиться где угодно – как снаружи, так и внутри сети. Суть концепции отражает ее главный принцип: Never trust, always verify («Никогда не доверяй, всегда проверяй»).

«Zero Trust – это не продукт и не технология. Это способ мышления. Раньше мы говорили: «Ты внутри периметра – значит, свой». Zero Trust говорит: «Ты можешь быть где угодно, но доверия по умолчанию нет. Докажи, что тебе можно», – рассказывает Антон Залесский, бизнес-архитектор ГК «Солар».

PAM-система, построенная по этому принципу, по умолчанию не верит ни пользователю, ни устройству, ни операции – даже если они успешно прошли первичную аутентификацию. Каждый запрос на доступ к ресурсу проверяется и авторизуется на основе текущего контекста: кто, что, откуда, когда, с какого устройства.

Опираясь на принципы Zero Trust, PAM-система не доверяет пользователю даже после успешного входа. Все его действия записываются, контролируются и анализируются в реальном времени. Если в ходе сессии фиксируются аномалии (например, попытка выполнить запрещённую операцию), система может автоматически прервать подключение либо, в зависимости от политики, запросить повышенную проверку подлинности (Step-up authentication) – например, повторный ввод MFA-кода.

Радикальное снижение поверхности атаки – ключевое преимущество Zero Trust. Вместо широкого доступа к сети права выдаются точечно, часто на строго необходимое время. Даже проникнув в одну систему, хакер не увидит всей инфраструктуры. Именно эта логика сегментации на уровне доступа и делает PAM-системы эффективным инструментом архитектуры Zero Trust.  

Как принципы Zero Trust реализованы в PAM-системах

Вся архитектура Zero Trust базируется на трех ключевых принципах. Разберём, как каждый из них реализован в Solar SafeInspect.

1.Аутентификация и авторизация каждого запроса

В Solar SafeInspect этот принцип реализуется через один из трёх режимов интеграции: «Сетевой мост» (L2), «Маршрутизатор» (L3) или «Прокси-сервер» («Бастион»). Во всех режимах система устанавливается «в разрыв» трафика – пользователь физически не может подключиться к целевому серверу напрямую. Все соединения проходят через коллекторы Solar SafeInspect, которые перехватывают запросы, проверяют политики доступа и контекст (время, IP, устройство).

Только после успешной проверки система выполняет сопоставление учётных записей (account mapping):

  • Входящая учётная запись – непривилегированный аккаунт пользователя.

  • Исходящая учётная запись – привилегированная УЗ на целевом ресурсе.

Solar SafeInspect подставляет эти данные от своего имени и устанавливает сессию. Пользователь работает с ресурсом, но никогда не видит и не вводит привилегированный пароль. Для усиления защиты поддерживается многофакторная аутентификация (MFA) через интеграцию с решениями по протоколам RADIUS/TACACS+.

2. Минимальные привилегии и Just-in-Time доступ

Zero Trust требует выдавать права строго в объёме, необходимом для задачи, и ровно на то время, пока задача решается.

В Solar SafeInspect это реализовано через гранулированные политики доступа:

  • Администратор настраивает правила подключения для каждой группы пользователей и каждого ресурса.

  • Права могут выдаваться по запросу на ограниченный срок и автоматически отзываться после завершения работы.

  • Для подрядчиков и временных сотрудников механизм Just-in-Time доступа дополнительно интегрируется с порталом Solar SafeConnect. Пользователь получает каталог доступных ресурсов, запрашивает доступ в режиме self-service, и после согласования права выдаются на несколько часов или дней с автоматическим отзывом.

«Just-in-Time – это не просто «удобно». Это принципиальное изменение модели угроз. Даже если подрядчик скомпрометирован, окно атаки измеряется часами, а не месяцами. К тому моменту, когда хакер соберётся использовать украденный доступ, пароль уже будет сменён, а права – отозваны», – отметил Антон Залесский, бизнес-архитектор ГК «Солар».

3. Непрерывный мониторинг и прерывание сессии

Zero Trust требует контролировать действия пользователя на всём протяжении сессии, а не только в момент входа.

Solar SafeInspect реализует это через:

  • Полную запись всех действий: для SSH‑сессий формируется текстовый дамп команд, а из сырых данных преобразуем видео.

  • Анализ в реальном времени: система отслеживает команды и запускаемые процессы на основе чёрных и белых списков.

  • Автоматическое прерывание: при попытке выполнить запрещённую операцию (остановка критического сервиса, удаление логов, запуск подозрительного ПО) сессия может быть мгновенно заблокирована.

Собранные записи служат основой для аудита безопасности и расследования инцидентов. Полнотекстовый поиск по всем сессиям позволяет находить подозрительные действия за секунды, а не часы.

Важно: восстановление конфигураций после сбоев по записям сессий – востребованный операционный бонус, но он не относится к принципам Zero Trust.

Преимущества подхода

Главный практический результат перехода к Zero Trust через PAM – создание барьера для наиболее опасных сценариев атак. Поскольку сессии изолированы, пароли скрыты, а права выдаются минимальные и временные, злоумышленник теряет возможность использовать украденные учетные данные для скрытного перемещения внутри сети.

Полная запись сессий и централизованное хранение логов в Solar SafeInspect кардинально ускоряют расследование инцидентов. Аналитику не надо собирать данные с десятков систем — все действия уже зафиксированы в PAM. Это позволяет быстро восстановить картину атаки и предоставить регуляторам или руководству неопровержимую доказательную базу.

Дополнительный операционный бонус – восстановление рабочих конфигураций после сбоев. Записи сессий нередко используются администраторами как пошаговая инструкция для отката системы к корректному состоянию.

Кроме того, архитектура Solar SafeInspect с ее сегментацией сессий, контролем минимальных привилегий и полным аудитом действий обеспечивает выполнение требова��ий NIST 800-207 (Zero Trust Architecture) и рекомендаций ФСТЭК России. Для организаций, работающих с персональными данными или входящих в перечень КИИ, это не просто улучшение безопасности, а необходимое условие для соответствия и успешного прохождения проверок.

Отраслевые сценарии работы принципов Zero Trust

Для банков, процессинговых центров и финтеха привилегированный доступ – это доступ к деньгам и чувствительным данным клиентов. Риски здесь максимальны: от внутреннего мошенничества до целевых атак хакерских групп.

Solar SafeInspect позволяет выстроить непрерывный и доказуемый контроль над такими операциями. Контроль сессий через прокси-сервер, обязательная MFA и детальная запись всех действий (вплоть до вводимых команд) создают «цифровую плёнку» для любой транзакции или изменения конфигурации.

Госсектор требует одновременно максимальной защиты и строгого соответствия нормативам ФСТЭК. При этом инфраструктура часто распределена между ведомствами и региональными филиалами.

Solar SafeInspect позволяет централизованно контролировать доступ к критическим госсистемам независимо от их расположения. Режимы работы L2 и L3 обеспечивают прозрачное внедрение без изменения сетевой топологии.

Механизм «четыре глаза» для подрядчиков здесь особенно востребован: ни одно подключение извне не происходит без подтверждения ответственным сотрудником. Это особенно актуально, поскольку атаки через сторонние организации – нарастающий тренд, который продолжится и в 2026 году, считают аналитики центра исследования киберугроз Solar 4RAYS. Полная запись сессий также помогает восстанавливать работу после сбоев – записи действий администраторов используются как инструкция.

Проблема контроля доступа становится ещё острее, когда инфраструктура компании распределена между физическими дата-центрами и публичными облаками. Как показывают данные отчета IBM X-Force, более 35% инцидентов в облачной среде связаны именно с этим вектором атаки, а сами учетные данные составляют почти 90% активов на подпольных рынках.

Здесь многие PAM-системы сталкиваются с ограничениями: агентная архитектура требует установки ПО на каждую виртуальную машину. В облаках, где инстансы создаются динамически и живут минуты, разворачивать и обновлять агенты сложно, а иногда и невозможно.

Solar SafeInspect благодаря безагентной модели полностью обходит эту проблему. Система перехватывает трафик на уровне сети, не внедряясь в целевые системы. Это:

  • упрощает развертывание в публичных и гибридных облаках,

  • не влияет на производительность рабочих нагрузок,

  • позволяет контролировать доступ даже к эфемерным (временным) инстансам.

Также Solar SafeInspect контролирует доступ по протоколам RDP, SSH, HTTP/HTTPS независимо от того, где находится ресурс – в облаке или приватном дата-центре. Это обеспечивает единую политику безопасности для всей распределённой инфраструктуры.

Важное преимущество – интеграция с другими продуктами ГК «Солар»: IdM-системой Solar inRights и DLP-решением Solar Dozor. Это позволяет замкнуть контур управления идентификацией и защитой от утечек.

Заключение

PAM-системы становятся практическим фундаментом для реализации архитектуры Zero Trust. Они обеспечивают тот самый поэлементный контроль и непрерывную проверку, без которых концепция нулевого доверия остаётся лишь красивой теорией.

«Zero Trust без PAM – как сейф с открытой дверцей. Вы можете сколько угодно сегментировать сеть и строить политики, но пока привилегированные пароли хранятся в головах администраторов или на их ноутбуках – вы уязвимы. PAM замыкает последний контур: он убирает человека из цепочки владения секретом. И это, пожалуй, самый важный шаг к архитектуре нулевого доверия», – Антон Залесский, бизнес-архитектор группы развития продуктов по управлению доступом ГК «Солар».

Сертифицированное ФСТЭК решение Solar SafeInspect с его безагентной архитектурой и глубокой интеграцией в экосистему ГК «Солар» позволяет начать этот путь с самого рискованного сегмента – привилегированных пользователей.

Внедрение такой системы не только закрывает ключевые операционные риски, но и создаёт основу для соответствия растущим требованиям регуляторов. А главное – превращает Zero Trust из абстрактной концепции в работающий механизм защиты.