PAM Privileged Access Management (PAM) - Part 2: Features, Protocols và Best Practices

Nếu Section trước giải thích các thành phần kiến trúc, thì Section này tập trung vào giá trị sử dụng - những tính năng mà Security team, Admin team và Auditor thực sự tương tác hàng ngày.​

​

Approval Workflow​

Không phải mọi truy cập đặc quyền đều cần approval, nhưng với môi trường nhạy cảm, đây là lớp kiểm soát quan trọng. PAM cho phép cấu hình workflow theo nhiều cấp và điều kiện: Development tự động approve, Staging cần một cấp, Production cần hai cấp với deadline. Workflow tích hợp với email, Slack, ServiceNow, Jira - người phê duyệt không cần vào PAM portal. Quan trọng: mọi approval đều được ghi lại với timestamp và người phê duyệt cụ thể.​

​

Just-in-Time (JIT) Access​

Thay vì cấp Domain Admin thường trực, PAM hiện thực hoá JIT bằng cách tạo tài khoản tạm thời hoặc nâng quyền tạm thời chỉ trong khoảng thời gian được phê duyệt. Ví dụ: Developer cần sudo trên server production trong 2 giờ để debug - PAM add user vào group sudoers trong 2 giờ rồi tự động remove. Kể cả nếu tài khoản bị compromise trong khoảng thời gian không có quyền, kẻ tấn công không thể làm được gì đặc biệt.​

​

Command Filtering​

Command Filter là tính năng kiểm soát cấp độ lệnh trong phiên SSH hoặc database session. Khi được kích hoạt, PAM intercept các lệnh được gõ, đối chiếu với rule được cấu hình, và quyết định: cho phép, cảnh báo, hoặc block. Ví dụ điển hình: rm -rf / hoặc DROP DATABASE có thể kích hoạt terminate session và alert đến Security team, tùy theo policy. Đây là lớp bảo vệ bổ sung - hiệu quả nhất khi kết hợp với các kiểm soát ở các lớp trước.​

​

Break Glass Access​

Break Glass là cơ chế truy cập khẩn cấp - "phá kính trong trường hợp khẩn cấp". Khi hệ thống PAM gặp sự cố hoặc cần truy cập tức thì mà không thể qua approval workflow thông thường, Break Glass credential cho phép bypass quy trình bình thường. Nhưng: sử dụng Break Glass kích hoạt alert tức thì đến Security team và Leadership, toàn bộ session được record với mức ưu tiên cao nhất, và người dùng phải điền lý do chi tiết sau đó. Break Glass là "an toàn nhưng có trách nhiệm" - không phải đường tắt ẩn danh.​

​

Secret Management và Machine Identity​

Đây là phần PAM hiện đại mở rộng xa hơn quản lý tài khoản người dùng. Không chỉ người dùng - máy móc và ứng dụng cũng cần credential đặc quyền: ứng dụng web cần DB_PASSWORD, pipeline CI/CD cần SSH key hoặc cloud API key, Kubernetes pod cần service account token. Tất cả đều là attack surface nếu không được quản lý đúng.​

​

Truyền thống, những secrets này được lưu trong biến môi trường, file config, hoặc CI/CD secret store - phân tán, khó audit, và thường không được rotate. PAM hiện đại (hoặc Secret Management engine như HashiCorp Vault, CyberArk Conjur) tập trung hóa toàn bộ machine secrets này, cung cấp dynamic secrets (credential tự expire sau vài giờ), và secret injection vào runtime thay vì hard-code.​

​

Reporting & Compliance​

PAM tự động tổng hợp dữ liệu phục vụ audit: ai đã truy cập hệ thống nào, khi nào, trong bao lâu, được ai phê duyệt, thực hiện lệnh gì. Báo cáo có thể được export theo format yêu cầu của từng tiêu chuẩn (PCI DSS, SOX, ISO 27001) và lên lịch gửi tự động trước mỗi kỳ audit. Thay vì tốn hàng tuần chuẩn bị bằng tay, auditor nhận được báo cáo đầy đủ trong vài phút.​

Hiểu rõ giới hạn của PAM quan trọng không kém hiểu tính năng của nó. PAM không phải là một giải pháp bảo mật toàn diện mà là một thành phần chuyên biệt tập trung vào việc quản lý và bảo vệ tài khoản đặc quyền. Do đó, PAM không thay thế các giải pháp bảo mật khác trong doanh nghiệp.​

​

PAM có thể thực hiện các chức năng sau, nhưng không thay thế các hệ thống tương ứng:​

PAM phát huy hiệu quả cao nhất khi được triển khai như một thành phần trong hệ sinh thái bảo mật doanh nghiệp. Thông thường, PAM tích hợp với IAM để sử dụng danh tính người dùng, IdP/MFA để xác thực, SIEM để phân tích nhật ký, IGA để tiếp nhận yêu cầu cấp quyền và EDR/XDR để hỗ trợ phát hiện các hành vi bất thường trên endpoint. Nhờ đó, doanh nghiệp có thể xây dựng một mô hình phòng thủ nhiều lớp (Defense in Depth) thay vì phụ thuộc vào một giải pháp duy nhất.​

​

Để thực hiện các tích hợp này, PAM hỗ trợ nhiều giao thức như SSH, RDP, LDAP, SAML và các giao thức kết nối cơ sở dữ liệu. Việc hiểu rõ phạm vi hỗ trợ của từng giao thức giúp xác định chính xác khả năng kiểm soát và phạm vi triển khai của PAM trong môi trường doanh nghiệp.​

PAM phải proxy và audit nhiều loại traffic khác nhau. Hiểu nhóm protocol giúp bạn biết PAM hỗ trợ kết nối đến đâu và giới hạn của từng loại.​

​

Remote Session Protocols​

Identity và Authentication Integration​

Database Proxy​

PAM Database Proxy hoạt động tương tự SSH Proxy: DBA kết nối đến PAM DB Proxy (pam-dbproxy:1433) thay vì kết nối thẳng đến database server. PAM authenticate, lấy credential từ Vault, inject vào kết nối thực, và proxy toàn bộ traffic - cho phép log SQL query và block các statement nguy hiểm theo policy.​

​

File Transfer​

SCP và SFTP chạy trên nền SSH nên được proxy và audit tự động khi PAM proxy SSH session - PAM log tên file, kích thước, hướng transfer. Một số giải pháp PAM hỗ trợ tích hợp DLP để kiểm soát nội dung file trước khi cho phép transfer.​

Triển khai PAM bắt đầu bằng việc hiểu rõ môi trường của mình và áp dụng nguyên tắc đúng từ đầu.​

​

Discovery trước, deployment sau: Bước đầu tiên là tìm ra tất cả tài khoản đặc quyền đang tồn tại trong tổ chức - thường nhiều hơn bạn nghĩ. Service account được tạo cho project cũ, local admin account trên từng máy chủ, API key tồn tại trong code base từ nhiều năm trước. PAM không thể bảo vệ credential mà nó không biết đến.​

​

Least Privilege: Sau khi onboard credential vào Vault, rà soát và giảm quyền của từng tài khoản về mức tối thiểu cần thiết. Thực hiện Access Review định kỳ (ít nhất mỗi quý): ai vẫn còn cần quyền đã được cấp? Công việc của họ có thay đổi không?​

​

Tối thiểu hoá ngoại lệ MFA: Các tiêu chuẩn compliance như PCI DSS v4.0 và ISO 27001 yêu cầu MFA cho tài khoản đặc quyền. Trong thực tế, ngoại lệ MFA đôi khi cần thiết cho emergency access hoặc break glass scenario - nhưng phải được kiểm soát chặt chẽ, documented, và reviewed định kỳ. Nếu MFA gây bất tiện trong workflow thông thường, giải pháp là cải thiện UX của MFA (push notification, FIDO2 hardware key) chứ không phải loại bỏ nó.​

​

Check-out/Check-in model cho credential nhạy cảm nhất: Với tài khoản đặc biệt quan trọng (Domain Admin, Database SA), áp dụng mô hình check-out: mật khẩu chỉ được giải mã khi admin "check-out" cho phiên cụ thể, và tự động thay đổi khi "check-in" sau phiên. Không ai có thể giữ credential qua đêm.​

​

Thiết kế Approval Workflow phù hợp với văn hóa tổ chức: Workflow quá phức tạp sẽ bị bypass thường xuyên qua Break Glass. Nguyên tắc là: Development có thể tự approve, nhưng Production phải có approval từ người khác. Thời gian approval phải đủ nhanh để không cản trở công việc khẩn cấp.​

​

Bảo vệ Audit Log: Log PAM không nên lưu duy nhất trên PAM server - nên được push sang SIEM hoặc secure log storage ngay lập tức. Trong môi trường tuân thủ nghiêm ngặt, log được replicate sang môi trường off-site và PAM admin không có quyền xóa hay sửa log. Cấu hình cụ thể phụ thuộc vào yêu cầu compliance và khả năng của sản phẩm.​

​

Session Recording coverage: Xác định rõ scope recording ngay từ đầu: những hệ thống nào cần record, retention bao lâu, ai có quyền xem lại. Bắt đầu với coverage rộng rồi tinh chỉnh theo nhu cầu và storage cost.​

​

Integrate PAM với quy trình Change Management: Yêu cầu truy cập Production nên liên kết với Change Ticket (ServiceNow, Jira). Điều này tạo audit trail kép: PAM biết ai đã truy cập, Change Management biết tại sao và theo kế hoạch nào.​