Just in time access

Podstata JIT přístupu

V tradičním modelu řízení přístupu dostávají uživatelé oprávnění například při nástupu do zaměstnání nebo při změně pracovní pozice. Taková oprávnění se označují jako stálá (standing privileges). Například správce sítě tak může mít nepřetržitě plná administrátorská práva ke všem serverům, přestože je skutečně využívá jen několik hodin měsíčně. Zbytek času představují tato oprávnění pouze riziko.

Stálá oprávnění jsou atraktivním cílem útočníků. Pokud získají přihlašovací údaje privilegovaného účtu prostřednictvím phishingu, odcizení hesla nebo kompromitace zařízení správce, mají okamžitě i veškeré pravomoci, které s účtem souvisejí. Zneužití přihlašovacích údajů přitom patří k nejčastějším způsobům průniku. Stálá oprávnění navíc postupně narůstají, protože uživatelé při změnách pozic či projektů získávají nová práva, ale ta stará jim zpravidla odebrána nebývají.

JIT přístup postupuje opačně. Uživatel má v základním stavu jen minimální nebo žádná privilegovaná oprávnění. Místo nich je označen jako způsobilý (eligible) k jejich získání, a když je potřebuje, musí o ně požádat. Oprávnění jsou pak aktivována jen pro konkrétní úkol, na předem stanovenou dobu, a po jejím uplynutí automaticky zanikají. Případný útočník s přihlašovacími údaji takového uživatele má jen omezené pravomoci a pro jejich rozšíření musí projít dalšími kontrolami, které zvyšují šanci na jeho odhalení.

Zjednodušeně řečeno, JIT přístup rozšiřuje princip minimálních oprávnění o hledisko času. Zatímco princip minimálních oprávnění říká, že každý uživatel má mít jen taková práva, která nezbytně potřebuje, JIT k tomu doplňuje, že je má mít jen tehdy, když je potřebuje. Spolu s konceptem just enough access (přístup v nezbytném rozsahu) tvoří dvojici, která omezuje oprávnění v rozsahu i čase.

Průběh JIT přístupu

Konkrétní podoba JIT přístupu se liší podle použitého nástroje a prostředí, základní postup je ale obvykle podobný:

1. Definice způsobilosti – správci předem určí, kteří uživatelé mohou o konkrétní oprávnění žádat, na jak dlouho nejvýše je mohou získat a za jakých podmínek. Součástí pravidel bývá také určení, zda žádost vyžaduje schválení a kdo je schvaluje.
2. Žádost – ve chvíli, kdy oprávnění potřebuje, podá uživatel žádost s uvedením důvodu, například s číslem servisního požadavku nebo popisem úkolu. Systém přitom může vyžadovat opakované ověření identity pomocí vícefaktorové autentizace.
3. Schválení – u méně rizikových oprávnění může být žádost schválena automaticky na základě pravidel, u citlivějších ji posuzuje nadřízený, vlastník systému nebo bezpečnostní tým.
4. Udělení přístupu – po schválení systém oprávnění aktivuje v přesně stanoveném rozsahu a na dobu uvedenou v žádosti.
5. Sledování – během platnosti oprávnění se činnost uživatele zaznamenává, u kriticky významných systémů někdy včetně záznamu celé relace.
6. Odebrání – po uplynutí stanovené doby nebo po dokončení úkolu je oprávnění automaticky odebráno bez nutnosti zásahu správce.

Všechny kroky se zaznamenávají, takže organizace má přehled o tom, kdo, kdy, na jak dlouho a z jakého důvodu získal privilegovaný přístup. Tyto údaje slouží pro audit, vyšetřování incidentů i pravidelnou revizi pravidel.

Formy JIT přístupu

JIT přístup lze technicky realizovat několika způsoby, které se v praxi často kombinují:

• Dočasné zvýšení oprávnění představuje základní formu JIT přístupu. Uživatel používá svůj běžný účet s omezenými právy a privilegovanou roli si aktivuje jen na dobu, kdy ji potřebuje.
• Dočasné členství ve skupinách přidává uživatele do privilegované skupiny jen na omezenou dobu.
• Dočasné účty vznikají jen pro konkrétní úkol nebo relaci a po jejím skončení jsou zrušeny. Neexistuje tedy žádný trvalý privilegovaný účet, jehož přihlašovací údaje by mohly být odcizeny.
• Zprostředkovaný přístup využívá údaje uložené v trezoru systému pro správu privilegovaného přístupu (Privileged Access Management, PAM). Uživatel heslo k privilegovanému účtu vůbec nezná. Systém mu po schválení zprostředkuje připojení nebo na omezenou dobu vydá heslo, které po použití změní.
• Krátkodobé přihlašovací údaje mají podobu dočasných přístupových klíčů, tokenů nebo certifikátů s krátkou platností. Typicky se používají v cloudových prostředích, kde nahrazují dlouhodobé klíče, které bývají častým zdrojem úniku.
• Síťový JIT přístup neomezuje oprávnění účtu, ale dostupnost systému. Porty pro vzdálenou správu jsou standardně uzavřené a otevírají se jen na vyžádání, na omezenou dobu a jen pro konkrétní IP adresy. Server tak není trvale vystaven automatizovaným pokusům o přihlášení z internetu.

Koncept JIT se neuplatňuje jen u lidských uživatelů. Stále významnější je i u takzvaných strojových identit, tedy servisních účtů, aplikací, skriptů, automatizovaných procesů a AI agentů. Jejich oprávnění bývají často rozsáhlá a trvalá a jejich přihlašovací údaje se mnohdy nacházejí přímo v kódu nebo konfiguračních souborech.

Souvislosti JIT s dalšími bezpečnostními koncepty

JIT přístup je jedním z hlavních nástrojů správy privilegovaného přístupu (PAM). Zatímco PAM zahrnuje celou oblast ochrany privilegovaných účtů, od jejich evidence přes ukládání hesel v trezorech až po záznam relací, JIT řeší konkrétně časový rozměr oprávnění. Stejně úzce souvisí se správou identit a přístupů (Identity and Access Management, IAM), která zajišťuje ověřování uživatelů a přidělování rolí.

Cílovým stavem, ke kterému JIT přístup směřuje, je model nulových stálých oprávnění (zero standing privileges, ZSP). V něm nemá žádný uživatel ani strojová identita trvalá privilegovaná práva a všechna jsou udělována jen na vyžádání. V praxi je úplné dosažení tohoto stavu obtížné, proto organizace obvykle postupují od nejkritičtějších systémů a rolí.

JIT přístup je zároveň důležitou součástí architektury nulové důvěry (zero trust). Ta vychází z předpokladu, že žádnému uživateli ani zařízení nelze důvěřovat automaticky a každý přístup je třeba ověřit. JIT k tomu přidává otázku, zda uživatel přístup potřebuje právě teď.

Z hlediska hrozeb omezuje JIT přístup dopady útoků, které stojí na získání přihlašovacích údajů. Patří mezi ně phishing a jeho cílené varianty, například whaling zaměřený na vrcholové vedení, ale také útoky na dodavatelský řetězec, kdy útočníci zneužívají trvalé přístupy externích dodavatelů. Dočasný přístup omezuje i takzvaný lateral movement, tedy postupné šíření útočníka v síti po prvotním průniku, protože na dalších systémech nenachází připravená privilegovaná oprávnění. JIT přitom může zmírnit i následky útoku zevnitř organizace, například ze strany nespokojeného zaměstnance, který by jinak mohl svá trvalá oprávnění snadno zneužít.

Přínosy JIT přístupu

JIT přístup především zmenšuje útočnou plochu. Čím méně privilegovaných oprávnění je v daném okamžiku aktivních, tím menší je šance, že útočník některé z nich získá a zneužije. Pokud přesto dojde ke kompromitaci účtu, je dopad útoku omezený rozsahem i délkou platnosti oprávnění.

Významným přínosem je také lepší přehled a kontrola. Každé použití privilegovaného přístupu je spojené s konkrétní žádostí, důvodem a časovým úsekem. Usnadňuje to audit, prokazování souladu s regulacemi i vyšetřování incidentů. Neobvyklá žádost, například v noci nebo z neznámého zařízení, může sama o sobě sloužit jako signál možného útoku.

JIT přístup také řeší problém postupného hromadění oprávnění, protože práva automaticky zanikají a nezůstávají uživatelům po změně pozice ani po skončení projektu. Obdobně usnadňuje správu přístupu externích dodavatelů a servisních techniků, kteří potřebují oprávnění jen příležitostně.

Rizika a omezení JIT

Hlavním rizikem zavedení JIT je provozní zátěž. Pokud je proces podávání žádostí a schvalování příliš pomalý nebo složitý, zdržuje správce při běžné práci a ještě citelněji při řešení výpadků a dalších krizových situací. Uživatelé pak mohou začít hledat způsoby, jak kontroly obejít, například žádostí o oprávnění na co nejdelší dobu. Schvalovatelé zahlcení velkým množstvím žádostí je mohou potvrdit bez skutečné kontroly.

JIT přístup také vytváří závislost na systému, který oprávnění uděluje. Pokud tento systém přestane fungovat, například při výpadku cloudové služby nebo kybernetickém útoku, nemusí se správci k systémům dostat právě ve chvíli, kdy je to nejvíce potřeba. Organizace proto obvykle udržují nouzové účty s trvalými oprávněními, které však musí být mimořádně dobře chráněny a jejich použití pečlivě sledováno.

Systém pro správu JIT přístupu se sám stává vysoce hodnotným cílem. Útočník, který by nad ním získal kontrolu nebo odcizil účet schvalovatele, by mohl oprávnění udělovat sám sobě. JIT přístup navíc nemůže chránit privilegované účty před zneužitím oprávnění v době, kdy jsou aktivní. Pokud útočník ovládne zařízení správce právě ve chvíli, kdy má správce aktivní privilegovaná práva, může je využít. JIT proto není samostatným řešením a musí být doplněn vícefaktorovou autentizací, zabezpečením koncových zařízení, sledováním relací a detekcí anomálií.

Zavedení JIT přístupu do existujícího prostředí navíc vyžaduje důkladnou analýzu. Organizace musí nejprve zjistit, která trvalá oprávnění existují i kdo a k čemu je skutečně používá. Zvlášť obtížné je to u starších aplikací a u strojových identit, ke kterým často chybí dokumentace.

Budoucí vývoj JIT

JIT přístup se posouvá od manuálně schvalovaných žádostí k automatizovanému rozhodování na základě kontextu. Systém může při posuzování žádosti zohlednit, odkud se uživatel připojuje, zda jeho zařízení splňuje bezpečnostní požadavky, zda existuje související servisní požadavek nebo jak se uživatel choval v minulosti. Běžné žádosti s nízkým rizikem pak mohou být schváleny okamžitě, zatímco neobvyklé vyžadují lidské posouzení. Tento přístup odpovídá cílovému stavu modelu nulové důvěry, ve kterém je rozsah přístupu průběžně přizpůsobován aktuální potřebě.

Rostoucí význam bude mít JIT přístup také u strojových identit, jejichž počet v podnikových prostředích roste s rozvojem cloudu a automatizace. Zvláštní pozornost si zaslouží AI agenti, kteří samostatně volají externí nástroje a provádějí akce jménem uživatelů. Pokud agent disponuje trvalými a širokými oprávněními, může jeho kompromitace, například technikou prompt injection, způsobit rozsáhlé škody. Udělování oprávnění agentům jen pro konkrétní úkol a na nezbytnou dobu proto představuje jeden z přirozených způsobů, jak tato rizika omezit.