СКПП «Афигейт» (AFIGate)

Управление привилегированным доступом без раскрытия паролей

AFIGate — коммерческая PAM-платформа АФИ Дистрибьюшн для управления привилегированным доступом. Она объединяет политики и заявки, защищённые подключения, работу с привилегированными учётными данными, наблюдение за активными сессиями и централизованный аудит в едином контуре.

Платформа нужна там, где прямой доступ администраторов и подрядчиков к серверам, базам данных, сетевым устройствам и внутренним приложениям создаёт неконтролируемый риск. Вместо передачи постоянного пароля пользователь проходит проверку и получает только разрешённый ресурс, протокол и временное окно. В результате ДИБ получает воспроизводимый аудит и материалы расследований, ДИТ — единый процесс выдачи прав, инженеры — привычные способы подключения, а бизнес — меньшую зависимость от неформальной передачи паролей и общего доступа.

Основные функции

• доступ по роли, ресурсу, протоколу, времени, источнику подключения и согласованной заявке;
• SSH, RDP и SQL; подключение из браузера без плагинов, через нативные клиенты или приложение AFIGate;
• централизация привилегированных учётных данных без их раскрытия пользователям;
• JIT-доступ: минимально необходимые права на согласованный период;
• дополнительный фактор перед входом и критичными операциями;
• обнаружение, создание и смена секретов учётных записей, выявление рискованных учётных записей;
• запись сессий, команд, операций с файлами и событий в единой хронологии;
• мониторинг пользователей онлайн и принудительное завершение сессии;
• совместный доступ к сессии для второго оператора;
• готовые отчёты по сессиям, передаче файлов и заявкам, отдельный аудит заявок;
• массовые операции и шаблоны заданий на нескольких ресурсах;
• интеграции с каталогами, SIEM, ITSM, хранилищами и API; SAML 2.0, OpenID Connect, OAuth 2.0, LDAP, RADIUS, Passkey;
• зоны и сетевые шлюзы по сегментам сети, разделение по организациям.

Как устроен доступ

Пользователь входит в AFIGate и проходит дополнительную проверку. Платформа оценивает политику — кто, к какому ресурсу, по какому протоколу, в какое время, с какого источника и на каком основании — и проксирует подключение к целевой системе. Пароль сервера, СУБД или устройства пользователю не передаётся. Действия фиксируются: запись сессии, команды, операции с файлами и события собираются в единый таймлайн, который потом можно искать и выгружать в SIEM.

Для временной работы используется заявка: сотрудник указывает систему, время и основание, владелец ресурса или ИБ согласовывает подключение, после окна работ право отзывается. Это убирает постоянные исключения и доступ «на всякий случай».

Демо и пилот

На демонстрации инженер AFI покажет создание политики или заявки, проверку пользователя, подключение к тестовому активу без раскрытия пароля, наблюдение за сессией и поиск действий в аудите. Демонстрация адаптируется под SSH, RDP или SQL, доступ подрядчиков, штатное администрирование или задачу расследования; подключать производственные системы не требуется.

Для пилота достаточно выбрать 3–5 тестовых активов, 2–3 роли и один реальный процесс согласования. На пилоте подтверждается не только сам вход, но и отсутствие раскрытия пароля, запись действий, поиск события, отзыв прав и реакция на нарушение политики. AFI поможет описать критерии, провести демонстрацию и подготовить архитектуру внедрения.

Варианты внедрения по масштабу

Небольшая организация

Можно начать с одного контролируемого контура — например, доступа подрядчиков к нескольким серверам. Цель — убрать общий пароль и получить запись действий без длительной программы преобразований.

Средняя компания

Единый PAM-процесс для серверов, сетевых устройств и СУБД, интеграция с корпоративным каталогом и SIEM, распределение ролей между ИТ и ИБ.

Крупная и геораспределённая организация

Несколько команд и площадок, формализованные заявки, разные владельцы ресурсов, разделение по организациям, централизованный аудит и простой переход к геораспределённому отказоустойчивому кластеру.

Практические сценарии

• единый порядок доступа штатных администраторов к production и критичным системам;
• временный доступ подрядчика без передачи постоянных реквизитов;
• администрирование Windows по RDP и Linux/СУБД по SSH и SQL без раскрытия пароля;
• массовая смена и ротация секретов на группе ресурсов;
• расследование инцидента по записи сессии, командам и переданным файлам;
• подключение второго оператора к активной сессии для контроля или помощи;
• подготовка отчётов для внутреннего аудита и внешних проверок.

Посмотреть AFIGate в работе

Получить конфигурацию и расчёт

Официальная информация: afigate.ru.