У сотрудника десять паролей в десяти системах
Пароли повторяются и лежат в заметках. Общая учётная запись «на отдел» не позволяет понять, кто что сделал.
SSO и MFA для корпоративных систем: единый вход, второй фактор и роли
Внедрение SSO и MFA сводится к двум вопросам: где живут учётные записи и что делает каждая система, когда человек увольняется или меняет должность. Единый вход убирает десять паролей на сотрудника, второй фактор закрывает украденный пароль, а роли из одного каталога позволяют отозвать доступ одним действием. Подключаем порталы, 1С, почту и внутренние сервисы к одному входу в вашем контуре.
Обследование доступа — 200 000 ₽, вычитается из первого этапаРаботаем в вашем контуре: Keycloak, FreeIPA, ALD Pro или ваш каталогОтзыв доступа проверяется отдельным тестом, а не обещается
С чем приходят
Когда единый вход и второй фактор становятся задачей
Уволенный сотрудник остаётся в системах
Из каталога его убрали, а в 1С, на портале и во внутренней утилите запись жива. Служба безопасности просит показать, где ещё остался доступ, и ответа в одном месте нет.
Клиент или аудитор требует двухфакторный вход
Для администраторов, доступа извне и работы с персональными данными второй фактор стал условием договора или опросника по безопасности, а часть систем его не умеет.
Права выданы «по аналогии с коллегой»
Через два года никто не знает, почему у бухгалтера есть доступ к складу. Нужна модель ролей, которую можно прочитать и проверить, а не накопленная история исключений.
Протоколы
Как система подключается к единому входу: четыре способа и где они ломаются
Способ выбирается по тому, что умеет приложение, и обычно нужны два-три сразу. Общий обзор обменов — на странице интеграций.
Способ подключения
Когда подходит
Что нужно от приложения
Где ломается
Способ подключенияOpenID Connectсовременные веб-приложения и API
Когда подходитНовые порталы, кабинеты, наши и ваши внутренние сервисы
Что нужно от приложенияПриложение умеет входить через внешний сервер, принимает токены и проверяет срок их жизни
Где ломаетсяОтдельная система хранит роли у себя и не обновляет их из каталога, поэтому после перевода сотрудника права расходятся
Способ подключенияSAMLготовые корпоративные продукты
Когда подходитПакетные системы, которые поддерживают его из коробки
Что нужно от приложенияМетаданные, сертификаты подписи и согласованные поля профиля
Где ломаетсяИстёк сертификат подписи и вход встал у всех; срок замены сертификата нужно заносить в календарь
Способ подключенияLDAP и Kerberosстарые системы и сети на доменных учётках
Когда подходитПриложения, которые умеют проверять пароль в каталоге; доменные рабочие станции
Что нужно от приложенияДоступ к каталогу по защищённому каналу и служебная учётная запись с минимальными правами
Где ломаетсяПриложение получает пароль в открытом виде и проверяет его само, поэтому второй фактор в такую схему встраивается плохо
Способ подключенияПрокси перед сервисомсамописные утилиты и системы без внешнего входа
Когда подходитСервис остаётся как есть, вход проверяет шлюз, который передаёт имя пользователя в заголовке
Что нужно от приложенияСервис закрыт от прямых обращений: доступен только через шлюз
Где ломаетсяЗабытый прямой адрес сервиса обходит шлюз, поэтому в приёмку входит проверка, что напрямую сервис не отвечает
Каталог
Источник истины: где живёт список сотрудников и их групп
Единый вход переносит порядок из каталога в системы. Если порядка в каталоге нет, он переносит беспорядок. Если каталог придётся менять, смотрите замену Active Directory.
Один источник, один владелец
Сначала записывается, откуда берётся запись о человеке: из кадровой системы, из каталога или руками администратора. Пока источников два, у одного сотрудника появляются две учётные записи, и вход работает «иногда». Решает, кто принят и кто уволен, кадровая служба, а не ИТ.
Три события, которые должны работать без ручной правки
- Приём. Из заявки в кадровую систему появляется запись, группы выдаются по должности, человек получает доступ к рабочим системам без звонка в поддержку.
- Перевод. Старые группы снимаются, новые выдаются. Именно здесь копятся лишние права: добавить легко, снять забывают.
- Увольнение. Запись отключается в каталоге, сессии прекращаются в течение срока, который вы записали заранее, ключи доступа и токены приложений отзываются.
Сервисные и общие учётные записи
Интеграции, задачи по расписанию и «общий вход для склада» живут на паролях, которые знают пять человек. Их отделяют от людей: у каждой своё назначение, владелец, срок пересмотра и минимальные права.
Второй фактор
Способы второго фактора: кому подходят и чем рискуют
Для разных групп пользователей можно выбрать разные способы.
Способ
Для кого
Сильная сторона
Что учесть
СпособОдноразовые коды в приложениипо времени
Для когоСотрудники, администраторы, подрядчики
Сильная сторонаРаботает без интернета на телефоне и не зависит от оператора связи
Что учестьСмена телефона требует процедуры восстановления; процедура и есть слабое место
СпособПодтверждение в приложенииуведомление на телефон
Для когоСотрудники с корпоративными телефонами
Сильная сторонаУдобно пользователю: одно нажатие вместо ввода кода
Что учестьУсталость от запросов: человек подтверждает всё подряд; нужны сопоставление числа и ограничение числа попыток
СпособАппаратный ключFIDO2, WebAuthn
Для когоАдминистраторы, доступ к деньгам и персональным данным
Сильная сторонаЗащищён от поддельных страниц входа; не подделать удалённо
Что учестьКлюч нужно выдать, учесть и заменить при потере; нужен запасной ключ
СпособКод по SMSпо номеру телефона
Для когоРозничные клиенты, внешние пользователи кабинета
Сильная сторонаНичего не надо устанавливать
Что учестьЗависит от оператора и от номера, который сменили или перехватили; для администраторов не годится
Модель доступа
RBAC или ABAC: как выбрать модель прав
Единый вход отвечает на вопрос «кто это». Что человеку можно, решает модель прав, и от неё зависит, сколько будет исключений.
RBAC (доступ по ролям) говорит: бухгалтер видит счета, кладовщик видит склад. Модель проста и читается любым администратором. ABAC (доступ по атрибутам) говорит: менеджер видит заказы своего региона, если они не выше его лимита и если запрос идёт с рабочего места. Модель гибкая, но правила нужно уметь записать и проверить.
- Ролей хватает, когда ограничения совпадают с должностью: роль, группа в каталоге, права в приложении.
- Нужны атрибуты, когда доступ зависит от объекта: регион, договор, склад, подразделение, статус документа. Роль задаёт тип действия, атрибут задаёт, над чем.
- Смешанная схема встречается чаще всего: роли в каталоге, ограничения по объектам в приложении. Важно, чтобы у приложения не появилась вторая, скрытая таблица ролей.
Что записывается до подключения
Матрица «роль, система, действие»: что разрешено, что запрещено и кто согласовал. Отдельный список запретов для ролей, которые не должны сочетаться: оформляет платёж и подтверждает его. По матрице потом проверяется, что реально выдано в системах. Если права в приложении проверяются только интерфейсом, а не сервером, это замечание аудита уровня «исправить до запуска». Разбор типовых ошибок есть в статье «OWASP Top 10 простыми словами».
Аудит доступа
Аудит управления доступом: что проверяем и что вы получаете
Аудит можно заказать без внедрения. Цена на шкале обследования: 200 000 ₽ за одну-две системы, 350 000 ₽ за несколько.
Что проверяем
Как проверяем
Что находим чаще всего
Что на выходе
Что проверяемУчётные записисверка каталога, приложений и кадровых данных
Как проверяемСравниваем список активных записей в каждой системе со списком действующих сотрудников
Что находим чаще всегоЗаписи уволенных, дубли, общие и сервисные учётные записи без владельца
Что на выходеСписок к отключению с владельцем каждой записи
Что проверяемПрава и группывыгрузка прав по ролям
Как проверяемСопоставляем выданное с матрицей «роль, система, действие»
Что находим чаще всегоНакопленные права после переводов, группы с неясным назначением
Что на выходеМатрица как есть и как должно быть, порядок чистки
Что проверяемВход и второй факторнастройки и проверка обхода
Как проверяемПробуем войти мимо единого входа и без второго фактора там, где он должен быть
Что находим чаще всегоЛокальные пароли, забытые прямые адреса, администраторы без второго фактора
Что на выходеПеречень обходов с оценкой серьёзности
Что проверяемСессии и отзывтестовая учётная запись
Как проверяемОтключаем тестового сотрудника и смотрим, сколько он ещё работает в каждой системе
Что находим чаще всегоДолгие сессии, токены приложений, которые не отзываются
Что на выходеВремя «от отключения до отказа» по каждой системе
Надёжность
Что будет, когда сам вход перестанет работать
Единый вход не должен стать единой точкой отказа
Сервер входа ставится в паре, с копией настроек и проверкой восстановления. До запуска согласуем, что работает при его недоступности, а что нет.
Аварийный доступ для администраторов
У двух-трёх администраторов остаётся запасной путь, записанный в регламент: учётная запись с длинным паролем в сейфе или аппаратный ключ. Его использование пишется в журнал и разбирается.
Закрытый контур
Все компоненты работают на ваших серверах, внешние сервисы авторизации не нужны. Если облачный каталог уже есть, подключаемся к нему по вашему решению.
Что делаем
Из чего состоит работа и сколько она стоит
Цены совпадают с тарифами. Остановиться можно после любой ступени, сделанное остаётся у вас по акту.
Обследование: доступ в одной-двух системах
Каталог, список систем, способы подключения, матрица ролей, перечень служебных записей. На выходе схема единого входа и вилка бюджета. Вычитается из первого этапа, если продолжаете с нами.
200 000 ₽ · 2–3 недели
Обследование: несколько систем и каталогов
Портал, 1С, почта, внутренние сервисы, несколько источников пользователей. Дополнительно схема потоков и матрица источников истины.
350 000 ₽ · 3–4 недели
Пилот: вход в одну-две системы
Сервер входа, выбранные системы, второй фактор для администраторов, тест отзыва доступа. Проверяем схему на реальных пользователях, прежде чем подключать остальное.
150 000–400 000 ₽ · 2–8 недель
Пилот тяжёлый: несколько систем и ролей
Несколько приложений разными способами, прокси перед системами без внешнего входа, роли из каталога, журнал входов.
400 000–1 200 000 ₽ · 2–3 месяца
Вывод в эксплуатацию
Подключение остальных систем волнами, второй фактор для выбранных групп, резерв сервера входа, регламент аварийного доступа и отзыва, обучение поддержки.
от 1 500 000 ₽ этапами по 300 000–700 000 ₽ · от 3 месяцев
Сопровождение
Мониторинг сервера входа, сроки сертификатов, обращения, подключение новых систем. Плановые доработки входят с пакета на 60 000 ₽. Сверх пакета — 5 000 ₽ в час.
20 000 / 60 000 / 120 000 ₽ в месяц
Процесс
Как идёт работа
2–4 недели — Обследование: пользователи, системы, роли
Кто входит, куда, чем подтверждается личность. Инвентаризация систем и способов их подключения, список служебных записей, матрица ролей в проверяемом виде.
Перед разработкой — Схема входа и порядок волн
Какой сервер входа, какие протоколы, в каком порядке подключаются системы. Первыми идут те, где риск выше, а подключение проще.
От 2 недель — Настройка и пилот
Сервер входа, первые системы, второй фактор для администраторов. Работаем на тестовом стенде, затем на ограниченной группе пользователей.
1–2 недели — Проверка
Отключаем тестового сотрудника и измеряем, сколько он ещё работает. Пробуем обойти вход напрямую и без второго фактора. Восстанавливаем сервер входа из копии.
По волнам — Подключение остальных систем
Каждая волна с приёмкой и планом отката: одна-две системы, наблюдение за обращениями, затем следующие.
Дальше — Эксплуатация
Мониторинг, замена сертификатов по календарю, пересмотр прав раз в оговорённый срок. Объём работ в месяц записан в договоре.
Контроль
Что остаётся у вас и чего мы не делаем
Остаётся у вас
- Исходный код и настройки в вашем репозитории с первого коммита.
- Сервер входа, каталог и ключи на ваших серверах; развёртывание описано инструкцией.
- Матрица ролей, схема потоков и список служебных записей в проверяемом виде.
- Регламент аварийного доступа и отзыва: с ним можно идти к другому подрядчику.
- Право остановиться после любой ступени: сделанное остаётся у вас по акту.
Мы этого не делаем
- Не имеем лицензии ФСТЭК и не проводим аттестацию. Требования регуляторов к средствам защиты оцениваете вы и ваш ответственный за безопасность.
- Не проводим тестов на проникновение боевых систем. Проверяем настройки, права и типовые обходы входа на вашем стенде.
- Не продаём лицензии на коммерческие продукты управления доступом и не берём деньги за чужие подписки.
- Не дежурим круглосуточно: если вход обязан работать ночью без остановки, это закладывается в резерв и в ваш регламент, а не в наше дежурство.
- Не отвечаем за защиту сети и рабочих мест, SIEM и защиту от атак на доступность.
- Не берём работы дешевле 150 000 ₽.
Граница
Единый вход, личный кабинет, замена каталога: где проходит граница
Если нужен вход для внешних пользователей (клиентов, дилеров, поставщиков) с ролями по организациям, это часть личного кабинета или B2B-портала: там способ входа выбирается по тому, кто пользуется. Если вы продаёте доступ другим компаниям и у каждой свои пользователи и настройки, речь о SaaS-платформе и вопросе изоляции данных.
Если проблема в самом каталоге (устаревший домен, зависимость от иностранной ОС), начинать нужно с его замены, а единый вход подключать к новому каталогу: замена Active Directory. Устройство всей системы разбирает аудит кода и архитектуры, типовые уязвимости веб-приложения — аудит безопасности. Разбор типовой задачи с языковой моделью: единый вход в закрытом контуре.
Инструменты
На чём собираем
Сервер входа и каталог
- Keycloak или ваш сервер входа; OpenID Connect и SAML
- FreeIPA, ALD Pro или ваш каталог (LDAP, Kerberos)
- PostgreSQL для хранения настроек сервера входа
- Пара серверов с копией настроек и проверкой восстановления
Подключение и контроль
- Nginx или другой шлюз для систем без внешнего входа
- Одноразовые коды и ключи FIDO2 в качестве второго фактора
- Docker, GitLab CI, настройки как код в вашем репозитории
- Журнал входов и мониторинг сроков сертификатов
Материалы
Материалы по теме
SSO и MFA: что выбрать для корпоративных систем
Как выбрать протокол, место хранения пользователей и способ второго фактора, и что делать с системами, которые единый вход не умеют.
- Протоколы
- Второй фактор
- Отзыв доступа
OWASP Top 10 простыми словами для заказчика
Десять классов рисков веб-приложений без жаргона. Часть из них про доступ и вход, и их проверяют в первую очередь.
- Десять категорий
- Проверки руками
- Как читать отчёт
Единый вход в закрытом контуре
Разбор типовой задачи: один каталог для порталов, 1С и языковой модели, роли из групп, тест отзыва доступа.
- Каталог
- Роли из групп
- Тест отзыва
Заявка
Разберём, куда нужен единый вход и где нужен второй фактор
Сорок минут созвона: какие системы, где живут пользователи, что умеют приложения. По итогам скажем, какой способ подключения подойдёт, с какой ступени начинать и в какую вилку это укладывается.
Вопросы
Частые вопросы: SSO и MFA
Сколько стоит внедрение SSO и MFA?
Начинаем с обследования: 200 000 ₽ за одну-две системы и 350 000 ₽ за несколько систем и каталогов. Дальше пилот на одну-две системы стоит 150 000–400 000 ₽ за 2–8 недель, тяжёлый пилот — 400 000–1 200 000 ₽, вывод в эксплуатацию — от 1 500 000 ₽ этапами по 300 000–700 000 ₽. Обследование вычитается из первого этапа, если продолжаете с нами.
Чем SSO отличается от MFA?
SSO отвечает за то, что человек входит один раз и работает в нескольких системах. MFA отвечает за то, как подтверждается личность: кроме пароля нужен второй фактор. Они независимы: можно иметь единый вход без второго фактора и второй фактор в одной системе без единого входа. Вместе они дают один вход, который труднее украсть.
Что делать с системами, которые не умеют единый вход?
Три пути: шлюз перед системой, который проверяет вход; подключение к каталогу по LDAP; либо локальный вход под присмотром: записи в списке, пароли в хранилище, отзыв по регламенту. Выбор записывается на обследовании по каждой системе.
Нужен ли второй фактор всем сотрудникам?
Не обязательно сразу. Начинают с администраторов, доступа извне и работы с деньгами и персональными данными, затем расширяют охват. Если нужно всем, в бюджет закладываются выдача ключей, обучение и процедура восстановления.
Можно ли обойтись без внешних сервисов авторизации?
Да. Сервер входа и каталог ставятся на ваших серверах. Если у вас уже есть облачный каталог, подключаемся к нему по вашему решению и записываем, что станет с входом при его недоступности.
Как проверить, что доступ действительно отзывается?
Отдельным тестом: отключаем тестового сотрудника и смотрим по каждой системе, сколько он ещё работает. Результат записывается как время от отключения до отказа. Такой тест входит в приёмку и повторяется после подключения новых систем.
Вы выдаёте заключение о соответствии требованиям регуляторов?
Нет. Лицензии ФСТЭК у нас нет, аттестацию мы не проводим. Мы описываем и настраиваем схему входа и доступа и показываем, что она делает. Соответствие требованиям вашей отрасли оцениваете вы и ваш ответственный за безопасность.
Как устроено сопровождение?
Ежемесячно: 20 000, 60 000 или 120 000 ₽ в месяц, до 4, 12 или 25 часов. Часы уходят на мониторинг сервера входа, замену сертификатов, обращения и подключение новых систем. Сверх пакета — 5 000 ₽ в час, по согласованию до начала. Круглосуточного дежурства нет.
Вы работаете только в Ростове-на-Дону?
Мы в Ростове-на-Дону, работаем с заказчиками по всей России: удалённо и в вашем контуре. Доступ к системам и обследование согласуем на старте с вашей службой безопасности.
Смежное
Что посмотреть рядом
- Интеграции и сопровождение: 1С, CRM, единый вход
- Замена Active Directory на Linux
- Аудит кода и архитектуры
- Аудит безопасности веб-приложения
- Разработка личного кабинета
- Разработка B2B-портала
- Разработка SaaS-платформы на заказ
- Цены и сроки по ступеням
- SSO и MFA: что выбрать
- OWASP Top 10 простыми словами
- Разбор: единый вход в закрытом контуре
- Защита API от несанкционированного доступа