PAM-система (Privileged Access Management) — это программное решение для управления привилегированным доступом. Она защищает пароли и SSH-ключи административных учетных записей, управляет подключениями к ИТ-ресурсам и сохраняет материалы сессий для последующего аудита.
Такое решение также называют системой контроля привилегированных пользователей. С его помощью организация определяет, кому, к каким ресурсам и на какой срок разрешен административный доступ, а затем проверяет, как сотрудники и подрядчики используют выданные права.
Кого считают привилегированными пользователями
Привилегированный пользователь обладает расширенными правами: например, может менять настройки систем, управлять учетными записями или получать доступ к защищенным данным. К таким пользователям относятся системные и сетевые администраторы, администраторы баз данных и прикладных систем, специалисты по ИБ, а также подрядчики, которые сопровождают оборудование и ПО. Привилегированные учетные записи могут использовать и сервисы со скриптами автоматизации — например, для подключения к базам данных.
Расширенные права связаны с привилегированной учетной записью. Примеры — встроенная учетная запись администратора Windows, доменный администратор, root в Linux и sa в Microsoft SQL Server. Один сотрудник может работать с несколькими такими записями, а одну целевую запись иногда используют несколько человек. Подробнее — в статье «Кто такой привилегированный пользователь».
Зачем нужен контроль привилегированных пользователей
Компрометация административной учетной записи опасна объемом доступных полномочий. В зависимости от выданных прав злоумышленник может изменить конфигурацию системы, получить конфиденциальные данные или удалить журналы событий. Для этого ему не всегда нужно эксплуатировать уязвимость: бывает достаточно украденного пароля или доступа подрядчика, который не отозвали после окончания работ.
О рисках, связанных с учетными данными и доступом третьих сторон, говорят результаты исследований:
По данным исследования BI.ZONE, опубликованного в мае 2026 года, для 27% изученных привилегированных учетных записей применялись сертификаты, а для 73% — пароли.
В отдельном исследовании BI.ZONE TDR, охватившем более 150 организаций, в среднем у 22% доменных учетных записей был установлен атрибут «пароль никогда не истекает». В среднем около 19% учетных записей использовали пароли, совпадающие с паролями других пользователей внутри компании. Эти показатели относятся к исследованным корпоративным учетным записям, а не только к привилегированным.
В выборке Verizon DBIR 2026 третьи стороны участвовали в 48% подтвержденных утечек данных. Эта доля выросла на 60% по сравнению с выборкой предыдущего отчета.
В опросе «Лаборатории Касперского» 35% российских компаний сообщили, что в 2025 году столкнулись с атаками на цепочки поставок ПО через компрометацию вендоров.
Без централизованного управления бывает трудно установить, кто именно использовал общую административную учетную запись. Например, пароль от root может храниться в переписке и быть известен нескольким сотрудникам и подрядчикам. PAM помогает связать подключение с конкретным человеком, ограничить срок доступа и сохранить данные о его работе.
Как работает PAM-система
В типовой схеме PAM-система выступает посредником между пользователем и целевым ресурсом. Администратор подключается к ресурсу через PAM, а система проверяет разрешение и использует учетные данные выбранной привилегированной записи. Разрешения в PAM определяют, кто, когда и под какой привилегированной учетной записью может подключаться к ресурсу. Полномочия самой учетной записи задают на целевом ресурсе по принципу минимальных привилегий: только в объеме, необходимом для выполнения задач.
Подключение обычно проходит в несколько этапов:
- Администратор входит в PAM под личной учетной записью и проходит аутентификацию по настроенной схеме — например, с подтверждением вторым фактором.
- Система проверяет, к какому ресурсу и под какой учетной записью разрешен доступ, а также ограничения по времени и источнику подключения. Если политика предусматривает согласование, запрос передается уполномоченному сотруднику.
- В сценарии автоматической подстановки PAM использует пароль или SSH-ключ целевой учетной записи без раскрытия пользователю. Сессия открывается в поддерживаемом клиенте или браузере.
- Во время сессии PAM фиксирует действия пользователя. Состав записи зависит от протокола подключения, установленных компонентов и настроек: это могут быть видео, текстовый лог, снимки экрана и переданные файлы. Сотрудник с соответствующими правами может наблюдать за активной сессией и прервать ее.
- При настроенной ротации PAM меняет пароль или SSH-ключ после завершения сессии либо по расписанию. После успешной замены прежние учетные данные перестают подходить для новых подключений.
Так контроль доступа и аудит действий привилегированных пользователей объединяются в одном процессе. Чтобы подключения не выпадали из этого контроля, при внедрении нужно ограничить доступ к ресурсам в обход PAM. Подробнее о компонентах и подстановке паролей — в статье «Как работает PAM-система управления привилегированным доступом».
Запись и аудит привилегированных сессий
Запись сессий администраторов помогает установить, кто подключался к ресурсу и что делал во время работы. Для расследования используют несколько видов данных. Их доступность зависит от возможностей конкретной PAM-системы и способа подключения.
| Что записывается | Зачем это нужно |
| Видео сессии | Помогает восстановить действия в графическом интерфейсе: какие окна пользователь открывал и какие настройки менял. |
| Текстовый лог | Позволяет искать команды и другие зафиксированные действия без просмотра всей видеозаписи. Состав данных зависит от протокола и компонентов PAM. |
| Снимки экрана | Фиксируют состояние экрана через заданные интервалы и помогают быстро просмотреть ход работы. |
| Переданные файлы | Помогают проверить обмен файлами с ресурсом. Возможность сохранения файлов и направление передачи зависят от способа подключения. |
| Журнал событий | Показывает запросы доступа, согласования, начало и завершение сессий и другие события в PAM. |
Аудит сессий обычно начинается с события безопасности. Например, SIEM обнаруживает создание новой учетной записи с правами администратора. Специалист сопоставляет время и ресурс с журналом PAM, находит подходящую сессию и изучает доступные записи: команды в текстовом логе или действия в графическом интерфейсе. Так можно восстановить последовательность событий и проверить, кто выполнял операции.
Срок хранения записей должен учитывать возможную задержку обнаружения атаки. В отчете Kaspersky Compromise Assessment за 2025 год указано, что 52% выявленных инцидентов высокой критичности оставались незамеченными более 90 дней. Это данные проектов данного сервиса, а не статистика всех инцидентов в мире. Если записи удаляются через месяц, нужных материалов к началу расследования может уже не быть.
Записи полезны и при регулярном контроле: они помогают проверить, соответствует ли работа подрядчика согласованной задаче и какие файлы администратор передает на ресурс или получает с него. Если PAM поддерживает контроль активности, можно заранее настроить реакцию на определенные действия — например, блокировку пользователя при срабатывании правила для запрещенного приложения или команды.
Сами записи тоже требуют защиты. На видео могут попасть персональные данные, пароли прикладных систем и фрагменты конфигураций. Поэтому нужно определить, кто вправе просматривать материалы, сколько времени они хранятся и какие меры защищают их от несанкционированного доступа, подмены и удаления.
Какие функции есть у PAM-системы
Помимо записи сессий, PAM может решать задачи управления учетными записями, защиты секретов и автоматизации доступа. При выборе продукта следует проверять, какие из этих функций он поддерживает и для каких ресурсов.
| Функция | Какую задачу решает |
| Инвентаризация учетных записей | Помогает обнаруживать и учитывать административные записи на поддерживаемых ресурсах, в том числе неиспользуемые. |
| Хранилище и ротация паролей | Защищает пароли и SSH-ключи, позволяет менять их по правилам организации и подставлять при подключении. |
| Управление разрешениями | Ограничивает доступ к ресурсам и учетным записям, в том числе по сроку, расписанию и источнику подключения. |
| Согласование сессий | Позволяет запросить подтверждение уполномоченного сотрудника перед открытием сессии. |
| Запись и контроль сессий | Сохраняет доступные для выбранного подключения материалы, позволяет наблюдать за сессиями и прерывать их. |
| Аутентификация | Защищает вход в PAM с помощью поддерживаемых методов, например второго фактора или сертификата. |
| Пароли для приложений | Позволяет приложениям и скриптам получать учетные данные по запросу, чтобы не хранить их непосредственно в коде. |
| Интеграция с SIEM | Передает события и доступные логи для сопоставления с другими данными об инцидентах. |
Чем PAM-система отличается от IdM и мониторинга сотрудников
IdM управляет жизненным циклом учетных записей и прав доступа: помогает создать учетную запись при приеме сотрудника, изменить его полномочия при переводе и отозвать доступ при увольнении. Общие требования к системам автоматизированного управления учетными записями и правами доступа установлены в ГОСТ Р 71753-2024.
Системы мониторинга сотрудников фиксируют рабочую активность: например, какие приложения запускает человек и сколько времени проводит за компьютером. PAM сосредоточена на использовании привилегированных учетных записей и доступе к критичным ресурсам.
| Критерий | IdM | PAM | Мониторинг сотрудников |
| Кого охватывает | Пользователей и их учетные записи в подключенных системах | Администраторов, подрядчиков и приложения с привилегированным доступом | Сотрудников на рабочих местах |
| Главная задача | Управлять жизненным циклом учетных записей и назначением прав | Управлять привилегированным доступом и контролировать сессии | Анализировать рабочую активность |
| Что фиксирует | Изменения учетных записей и прав | Подключения, действия и материалы сессий — в пределах возможностей продукта | Активность на рабочем компьютере |
| Работа с паролями | Может управлять парольными политиками и синхронизацией; зависит от продукта | Хранение, ротация и подстановка привилегированных учетных данных | Защита привилегированных секретов обычно не входит в основную задачу |
IdM и PAM могут работать совместно: первая система помогает управлять назначением прав, вторая контролирует привилегированные подключения и использование учетных данных. Сама по себе запись экрана или сессии не решает задачи хранения паролей, их ротации и ограничения доступа в обход контролируемого подключения.
PAM и требования регуляторов
PAM может помочь реализовать требования к защите привилегированного доступа. С 1 марта 2026 года действует приказ ФСТЭК России № 117, который устанавливает требования к защите информации в ГИС и иных информационных системах государственных органов, государственных унитарных предприятий и государственных учреждений. Привилегированному доступу посвящен пункт 48.
Этот пункт определяет необходимые меры защиты, но не требует приобретать продукт именно класса PAM. Возможности решения нужно сопоставлять с требованиями к целевым системам и с организационными процедурами.
| Требование пункта 48 | Как PAM помогает его реализовать |
| Минимальные права, необходимые для работы | Ограничивает разрешения на подключение. Права самой целевой учетной записи настраиваются в соответствующей системе. |
| Персонификация записей, которые вправе создавать другие привилегированные записи | Связывает сессию с личной записью пользователя PAM. Персонификацию целевых записей с правом создания других записей обеспечивают отдельно. |
| Строгая аутентификация; при технической невозможности — усиленная многофакторная | Позволяет применять поддерживаемые схемы входа. Наличие любого второго фактора само по себе не подтверждает выполнение требования. |
| Разделение ролей системного администрирования, разработки и тестирования, администрирования безопасности | Помогает разделять разрешения. Разделение ролей нужно обеспечить и в целевых учетных записях и группах. |
| Отключение встроенных записей, а при невозможности — переименование; изменение их аутентификационных данных | Помогает учитывать записи и менять пароли. Отключение или переименование выполняют на целевых системах. |
| Регистрация действий при привилегированном доступе и контроль использования записей | Сохраняет события и материалы сессий. Полнота регистрации зависит от охвата ресурсов, способа подключения и настроек. |
| Блокировка и удаление неиспользуемых привилегированных записей | Помогает выявлять неиспользуемые записи и отзывать доступ через PAM. Саму запись блокируют и удаляют в системе, где она создана, по внутренним регламентам. |
Требования к управлению доступом также предусмотрены приказом ФСТЭК России № 239 для значимых объектов КИИ и ГОСТ Р 57580.1-2017 для финансовых организаций. Применимый набор мер зависит от типа системы и требований к ее защите. Обзор приказа № 117 опубликован в Блоге Индид.
Как выбрать PAM-систему
При выборе PAM-системы важно проверить, как она решает задачи конкретной инфраструктуры. Начать можно со следующих вопросов:
- Нужен ли для вашей информационной системы сертифицированный продукт? Если да, проверьте версию, действующий сертификат ФСТЭК России, уровень доверия и область применения.
- Есть ли продукт в реестре российского ПО и соответствует ли он условиям закупки? Для значимых объектов КИИ учитывайте применимые требования и сроки перехода на отечественное ПО. Закон № 58-ФЗ закрепил полномочия Правительства РФ по определению такого порядка и сроков; одной проверки записи в реестре для оценки соответствия недостаточно.
- Поддерживает ли система нужные ресурсы и способы подключения: Windows- и Linux-серверы, СУБД, веб-приложения, сетевое оборудование?
- Как защищен вход в саму PAM-систему? Поддерживает ли она нужную схему аутентификации, в том числе многофакторный вход, сертификаты или подключение к корпоративному провайдеру идентификации?
- Какие материалы сессий сохраняются? Доступны ли поиск по записям, наблюдение за активными подключениями и реакция на действия пользователя?
- Можно ли задать необходимые сроки хранения записей и разграничить доступ к их просмотру, выгрузке и удалению?
- Могут ли приложения получать учетные данные по запросу и можно ли передавать события в используемую SIEM-систему?
На пилотном внедрении проверьте реальные сценарии работы администраторов и подрядчиков. Для каждого протокола уточните состав записи и необходимые компоненты: например, наличие видео еще не означает, что доступен текстовый лог. Также проверьте порядок аварийного доступа и ограничения на подключения в обход PAM.
Как контролировать привилегированных пользователей с Indeed PAM
Indeed Privileged Access Manager (Indeed PAM) — российская PAM-система компании «Индид». Продукт включен в реестр российского ПО под номером 6351.
Версия 3.2.2 сертифицирована ФСТЭК России по 4-му уровню доверия. Для защиты информации, не составляющей государственную тайну, ее можно применять в ГИС и АСУ ТП до 1-го класса защищенности, в ИСПДн до 1-го уровня защищенности и на значимых объектах КИИ до 1-й категории значимости включительно.
Ниже возможности продукта описаны по документации Indeed PAM 3.5. Сведения о сертификации относятся к версии 3.2.2.
Подключения и права доступа
Через Indeed PAM администраторы подключаются к ресурсам по RDP и SSH, к PostgreSQL и Microsoft SQL Server, а также к веб-приложениям. В версии 3.5 компонент Web Terminal позволяет открывать из браузера сессии в режиме RDS: удаленный рабочий стол или опубликованное RemoteApp-приложение.
Доступ выдается по разрешению, в котором можно задать срок действия, расписание и источник подключения. Для поддерживаемых сценариев настраивается согласование сессии с администратором PAM. Система подставляет пароли и SSH-ключи и при включенных настройках ротации меняет их по расписанию или после сессии.
Запись и контроль сессий
Indeed PAM сохраняет материалы сессий с учетом настроек и способа подключения. Например, для текстового логирования RDP-сессий нужен Indeed PAM Agent, а текстовое логирование SSH-сессий не требует установки агента на целевой ресурс. Передача файлов также фиксируется по-разному: через PAM Gateway сохраняются только файлы, переданные на ресурс.
При включенном автоматическом удалении срок хранения видео, снимков экрана, текстовых логов и переданных файлов задается отдельно — от 1 до 3650 дней. Видео и снимки экрана шифруются по алгоритму AES-256 с уникальным ключом для каждой сессии.
Сессии можно искать по пользователю, ресурсу, учетной записи, типу подключения и причине, а отчеты выгружать в CSV и XLSX. Активную сессию можно прервать. В версии 3.5 доступен контроль активности в RDP-сессиях: при включенном сборе текстовых логов система анализирует их и блокирует пользователя в PAM при срабатывании заданного правила. Правило может учитывать запуск процесса, смену активного окна или клавиатурный ввод.
Автоматизация и интеграции
Для приложений и скриптов предусмотрен механизм AAPM — получение паролей и SSH-ключей из Indeed PAM по запросу. Доступны API, консольная утилита и Python SDK. Для работы с учетными данными в Ansible используется Ansible Lookup Plugin.
Для интеграции с SIEM настраивается отправка событий и текстовых логов на Syslog-сервер. Данные могут передаваться во время активной сессии, а не только после ее завершения.
Подробнее о практических задачах — в сценариях применения:
- защита паролей привилегированных учетных записей;
- запись действий и расследование инцидентов;
- удаленный доступ подрядчиков.
На странице Indeed PAM можно подробнее изучить возможности продукта и запросить демонстрацию.
Коротко о главном
- PAM-система управляет доступом к привилегированным учетным записям и помогает установить, кто и как использовал расширенные права.
- Доступ предоставляют под конкретную задачу. При необходимости его ограничивают по ресурсу, сроку, расписанию и источнику подключения.
- Хранилище и ротация учетных данных снижают риски, связанные с раскрытием и повторным использованием паролей. Прямые подключения в обход PAM нужно ограничивать отдельно.
- Запись сессий помогает проводить аудит и расследовать инциденты. Состав материалов зависит от протокола, компонентов и настроек продукта.
- PAM может поддержать выполнение нормативных требований. При выборе решения проверяют возможности нужной версии, условия сертификации и применимые требования к информационной системе.
Часто задаваемые вопросы
Что такое PAM-система простыми словами?
PAM-система помогает управлять доступом администраторов и подрядчиков к важным ИТ-ресурсам. Она проверяет разрешение на подключение, защищает учетные данные и фиксирует действия во время сессии. Сохраненные материалы используют для контроля и расследования инцидентов.
Кому нужна PAM-система?
PAM полезна организациям, где есть административный доступ к серверам, базам данных, сетевому оборудованию и другим критичным ресурсам. Особенно важен такой контроль, когда с одними системами работают несколько администраторов или внешние подрядчики.
Можно ли подключаться через PAM без знания пароля сервера?
Да, если продукт и выбранный способ подключения поддерживают автоматическую подстановку учетных данных. Пользователь проходит аутентификацию в PAM, а система применяет пароль или SSH-ключ целевой записи. Раскрытие секрета пользователю при этом не требуется.
Какие действия администраторов записывает PAM?
PAM может сохранять видео, снимки экрана, команды и другой текстовый ввод, сведения об окнах и процессах, переданные файлы и события подключения. Набор данных зависит от продукта и сценария. Например, в Indeed PAM для текстового логирования RDP-сессий нужен PAM Agent.
Чем PAM отличается от IdM?
IdM управляет жизненным циклом учетных записей и правами доступа в подключенных системах. PAM отвечает за привилегированный доступ: работу с секретами, условия подключения и контроль сессий. Эти решения могут использоваться совместно.
Достаточно ли записи экрана для контроля привилегированного доступа?
Нет. Запись помогает увидеть действия пользователя, но сама по себе не ограничивает выдачу прав, не меняет пароли и не исключает подключения в обход записи. Для управления привилегированным доступом эти задачи нужно решать отдельно или средствами PAM.
Обязывает ли приказ ФСТЭК России № 117 внедрять PAM?
Пункт 48 требует обеспечить защиту привилегированного доступа, но не называет PAM обязательным классом продукта. Организация должна реализовать применимые меры, включая необходимую аутентификацию, ограничение прав и регистрацию действий. PAM может помочь выполнить часть этих требований.
Как определить срок хранения записей PAM-сессий?
Срок устанавливают с учетом применимых требований, правил организации и задач расследования. Нужно предусмотреть, что атаку могут обнаружить спустя месяцы. Также следует проверить доступный объем хранилища и настроить права на просмотр, выгрузку и удаление материалов.
Официальные каналы Индид в соцсетях
Больше экспертных материалов по безопасности айдентити в удобном формате