Privileged Access Management Linux-szerverparkokhoz — agentless credential broker és bastion
A privilegizált SSH kontrollált, megfigyelt és megszakítható csatorna lesz.
A hitelesítő adat soha nem kerül a felhasználó kezébe: session-enkénti, öt percig élő tanúsítvány, ami a bróker memóriáját el sem hagyja. A tiltott parancs a célgép előtt áll meg — nem utólag derül ki a felvételről. A napló a gateway-en keletkezik, ahová a támadó nem ér el.
A kockázat, amit lezár
A privilegizált SSH a legmagasabb kockázatú mindennapi művelet egy vállalati Linux-parkban. A bevett modell — kulcs a felhasználónál, sudoers a célgépen, napló ugyanott — négy ponton törik.
Állandó hitelesítő adat. A kulcs a felhasználó gépén él — lopható, másolható, megosztható. Egy kompromittált munkaállomás azonnal root-hozzáférés.
Nincs standing credential: session-enkénti, öt perces tanúsítvány, ami a bróker memóriáját el sem hagyja. Nincs mit ellopni, nincs mit elfelejteni visszavonni.
Nincs parancsszintű kontroll. Bent a gépen a felhasználó azt tesz, amit a sudo enged — egy elgépelt vagy rosszindulatú parancs ellen nincs védőháló.
Minden parancs policy-értékelést kap a célgép előtt; a tiltott parancs el sem indul. A beépített tiltások megkerülhetetlenek.
A napló ott van, ahol a támadó. A célgépen keletkezik, ahol a root törölheti — incidens után épp a bizonyíték hiányzik.
Az audit a gateway-en keletkezik, append-only írással, SIEM-be táplálhatóan. Egy célgépre bejutott root a róla készült naplót nem éri el.
A jóváhagyás szabályzat, nem kényszer. A folyamat leírja, de semmi nem kényszeríti ki — az auditor kérdésére csak eljárásrend a válasz.
Approval-kapu és ticket-horgony a végrehajtási úton: a döntés nélkül semmi nem fut le, és a döntés, a döntéshozó és az időbélyeg a naplóban marad.
Hogyan működik — a bróker-modell
Az adminisztrátor nem a célgépre lép be, hanem az ISG-re. Két külön SSH-kapcsolat van, nem egy átmenő tunnel: az ISG kiveszi a parancsot, policy-t értékel rá, és ha átment, saját kliens-kapcsolatán hajtja végre — a felhasználó nevében, rövid életű tanúsítvánnyal.
Operátor
isg CLI vagy webUI — tudatosan a gateway-re csatlakozik
ISG gateway
MFA · címtár-jogosultság · policy engine · CA · jóváhagyás · audit
Célgép
csak CA-bizalom (TrustedUserCAKeys) — nincs agent, nincs PAM-modul
A tűzfal a célgépek SSH-portját kizárólag a gateway felől engedi — ez a single funnel: egyetlen felügyelt bejárat a teljes gépparkhoz. A tanúsítvány principalja a valódi felhasználó neve, ezért a célgépen az utmp, a journald és a sudo-napló mind az embert látja, nem egy megosztott szolgáltatás-fiókot. A bizalmi lánc kétirányú: a célgép is host-tanúsítvánnyal bizonyítja, hogy ő az — és hitelesítetlen géphez a kapcsolat nem esik vissza jelszóra.
A parancs végrehajtásra kerül, a kimenettel együtt naplózva — kereshetően, session-ID-hez kötve.
A parancs a gateway-en áll: a célgépen semmi nem fut, amíg a jóváhagyó nem dönt — CLI-ből vagy böngészőből, ugyanazon a szerveroldali rétegen.
A parancs soha nem éri el a célgépet. A felhasználó a szabálynevet és az indokot kapja; az esemény az auditban marad.
Négy védelmi réteg
Defense in depth: négy egymásra épülő réteg, mindegyik más kérdésre ad választ.
Identitás
Ki lép be?
Címtár-hitelesítés (LDAP / Active Directory) kötelező MFA-val. Rossz jelszó ≠ címtár-kiesés: a hibás jelszó zárolást számol, az infrastruktúra-hiba nem.
Jogosultság
Jogosult-e ehhez a géphez?
Csoporttagság mint belépő, a kibocsátási szabályzat plafonján belül. Célgép-szintű csoportkövetelmény: az „X csapat csak az X gépeket éri el" technikai kényszer.
Parancs-kontroll
Mi engedélyezett?
Policy engine parancsonként, a célgép szigorúsági szintjéhez igazítva: engedélyezés, jóváhagyás-kötelezettség vagy tiltás — a végrehajtás előtt.
Elszámoltathatóság
Mit csinált valójában?
Parancs-napló, session-felvétel, ITSM-jegy, SIEM-export — mind a gateway-en, visszakereshetően.
Alapelv: egyetlen réteg sem hibátlan. Ha az egyik átenged, a következő megfog. Ha mind átenged, a napló megmarad — és olyan helyen keletkezik, ahová a támadó nem ér el.
Fő képességek
Policy — testreszabható, de nem lazítható
A szabálykészlet két forrásból áll össze, és a kettő összeadódik. A beépített tiltások — interaktív root-shell, destruktív rendszertörlés, jelszóváltás — mindig elöl vannak és mindig aktívak: ügyfél-szabály nem írhatja felül őket.
A beépített jóváhagyás-kötelezettségek viszont a lánc végén ülnek: explicit szándékkal felülírhatók. A hatályos szabálylista per-szabály forrásjelöléssel megtekinthető.
Szigorúsági szintek gépenként
Minden célgép kap egy szintet, és ugyanaz a szabálykészlet automatikusan szigorodik a környezettel — sandboxtól a kritikus, szabályozott hatókörig.
A szint a CMDB-ből, címke alapján is származhat: egy új éles gép a felvétel pillanatában a helyes szabályok alá kerül, kézi karbantartás nélkül.
Jóváhagyás és ITSM-horgony
A függő parancs a gateway-en áll; a döntés, a döntéshozó és az időbélyeg az auditban és a jegyhez kötve marad.
Minden küszöb feletti hozzáférés JIRA-jegyet kap — akkor is, ha nem igényelt jóváhagyást. A ticket-szándék perzisztens outboxba íródik: egy ITSM-kiesés nem bénítja a hibaelhárítást, de néma audit-lyuk sem keletkezik.
Két, egymást kiegészítő napló
A parancs-napló strukturált: parancs, policy-döntés, eredmény, időbélyeggel — „ki adott ki jogosultság-módosító parancsot 30 napon belül?" egyetlen lekérdezés.
A session-felvétel az interaktív munkamenet teljes képernyő-folyama, visszajátszhatóan — visszanézésre, számonkérésre, oktatásra.
Élő munkamenetek, azonnali megszakítás
Élő lista mutatja, ki hol van bent és mióta — és bármelyik munkamenet kívülről, egyetlen művelettel megszakítható.
A reakcióidő percekre csökken, és mindez nem igényel semmit a célgépen.
Gépi identitások (NHI)
Mentőszkriptek, CI/CD-feladatok, ütemezett munkák — nagyságrenddel több gépi identitás, mint emberi fiók, gyakran örökre élő titkokkal.
Itt az ISG tanúsítvány-kibocsátó: egy órán át érvényes cert, automatikus megújítással és azonnali, serial-alapú visszavonással. A gateway kiesése nem állítja meg az éjszakai mentést — a kontroll a kibocsátás, teljes körűen auditálva.
Illeszkedik a meglévő rendszerekhez
Nincs párhuzamos felhasználó-nyilvántartás, nincs saját transzport-réteg — az ISG a már működő vállalati rendszerekre köt rá.
IAM / címtár
LDAP / Active Directory — bind és csoport-alapú RBAC. A címtárból való kivétel azonnal érvényre jut: nincs kibocsátás, nincs belépés.
ITSM / ticketing
JIRA — session-horgony: minden küszöb feletti hozzáférés jegyet kap. Fail-open, perzisztens outboxszal és kompenzáló riasztással.
CMDB / inventory
Címke-alapú host-besorolás — szigorúsági szint és policy-hatókör automatikusan, kézi karbantartás nélkül.
Titokkezelés / secrets
HashiCorp Vault / OpenBao — signer: vault módban az SSH CA privát kulcsát a bróker be sem olvassa, az aláírás a titokkezelőben történik; az MFA-titkok is a KV-ban tarthatók lemez helyett.
HA / terheléselosztó
Aktív-aktív: N bróker közös név mögött, közös PostgreSQL rekord-tárral és brókerek közt közös brute-force-költségvetéssel; a session-felvételek S3-kompatibilis tárba (RustFS / AWS S3) archiválhatók. Minden bróker CA-aláírt gateway host-certet visel a közös névre — brókerváltásnál nincs host-key figyelmeztetés; a hibás bróker a /readyz-n kiesik az elosztásból.
Monitoring
/healthz és /readyz a terheléselosztónak, Prometheus /metrics a Grafana és Alertmanager felé, isg system check exit-kóddal (Nagios / Zabbix / CI).
SIEM
Append-only JSON-lines, verziózott sémával — Splunk / Elastic / QRadar. A napló a source of truth, az írás fail-closed.
Támogatja a hozzáférés-kezelési és naplózási követelmények teljesítését: least privilege, kikényszerített MFA, központi és integritás-védett audit, jóváhagyó + időbélyeg minden privilegizált akció mögött.
Bevezetés — agentless, visszafordítható lépésekben
A célgépekre nem települ futó komponens. A lábnyom tisztán statikus konfiguráció: egy sor az SSH-szolgáltatásban (CA-bizalom), egy gép-tanúsítvány, és a vészkijárat kulcskészlete — mindhárom visszafordítható, verziókövethető, konfigmenedzsmenttel kiosztható.
Nincs kernel-verzió-függés, nincs agent-kompatibilitási mátrix, nincs teljesítmény-kockázat a gépparkon. A verziófrissítés egy ponton, a gateway-en történik — nem N ezer gépen.
A kritikus tulajdonság a mérési lépés: a rendszer megméri, hogy a váltás kizárna-e valakit, mielőtt a váltás megtörténne. Nem az óvatosság teszi a bevezetést kockázatmentessé, hanem a mérés.
Figyelés
A kontrollok naplóznak, de nem blokkolnak — látszik, kit zárna ki tévedésből a váltás.
Provisionálás
A célgépek felkészítése; a régi hozzáférés végig működik.
Mérés
Lefedettségi kijelző: hány gép áll készen a váltásra.
Élesítés
A kapuk blokkolóra váltanak, gépcsoportonként.
Lezárás
A régi, közvetlen hozzáférés megszüntetése a célgépeken.
A teljes műszaki dokumentáció nyilvános.
Architektúra és bizalmi lánc, policy-referencia, telepítési és üzemeltetési útmutató, parancs- és konfigurációs referencia — verziókövetve, a termékkel együtt kiadva.