Implementando Monitoramento de Sessões Privilegiadas

Quando Usar

• Implantando ou configurando gravação de sessão para todo o acesso privilegiado a servidores e bancos de dados críticos
• Atendendo a requisitos de conformidade (PCI-DSS 10.2, SOX, HIPAA, ISO 27001) que exigem monitoramento de atividade privilegiada
• Investigando um incidente onde um administrador ou fornecedor terceirizado pode ter realizado ações não autorizadas
• Implementando alertas em tempo real para comandos de alto risco executados durante sessões privilegiadas
• Estabelecendo uma trilha de auditoria forense de todas as ações administrativas na infraestrutura de produção

Não use para monitorar sessões de usuários padrão ou atividade de endpoint; use soluções EDR/UBA para monitoramento geral do comportamento do usuário. O monitoramento de sessões privilegiadas foca especificamente em sessões com acesso elevado.

Pré-requisitos

• Implantação do CyberArk PAM Self-Hosted ou Privilege Cloud com Digital Vault configurado
• CyberArk Privileged Session Manager (PSM) ou PSM for SSH (PSMP) instalado em um servidor jump Windows/Linux endurecido
• Arquitetura de rede onde todo o acesso privilegiado é roteado através do proxy PSM (sem RDP/SSH direto para os alvos)
• PVWA (Password Vault Web Access) implantado e acessível para revisão de sessão
• Integração com o Active Directory para autenticar usuários PAM
• Armazenamento suficiente para gravações de sessão (estimativa: 50-250 KB por minuto para RDP, 5-20 KB por minuto para SSH)
• Alternativamente para código aberto: Teleport, Apache Guacamole com gravação de sessão, ou script/ttyrec para Linux

Fluxo de Trabalho

Etapa 1: Arquitetura — Roteie Todo o Acesso Privilegiado Através do PSM

Garanta que nenhum acesso privilegiado direto contorne o proxy de gravação:

Architecture Overview:

  Admin User ──> PVWA (Web Portal) ──> PSM (Jump Server) ──> Target Server
       │                                     │                     │
       │         Credentials never           │   Session is        │
       │         exposed to admin            │   recorded and      │
       │                                     │   stored in Vault   │
       └── MFA + AD Auth ──────────────────> │                     │
                                              └── RDP/SSH proxy ──>│

Network Controls:
- Firewall: DENY direct RDP (3389) and SSH (22) to target servers from user networks
- Firewall: ALLOW RDP/SSH to target servers ONLY from PSM server IPs
- Firewall: ALLOW PVWA access (443) from admin user networks
- PSM server: Hardened, no internet access, local admin access restricted

Etapa 2: Configure Componentes de Conexão do PSM

Defina como o PSM se conecta aos sistemas de destino. No console de administração do PVWA:

PVWA > Administration > Configuration > Connection Components

For Windows RDP targets:
  Connection Component: PSM-RDP
  Protocol: RDP
  Client Application: mstsc.exe
  Recording Settings:
    Record Sessions: Yes
    Recording Format: AVI (video) + Keystrokes (text)
    Record Windows Titles: Yes

For Linux SSH targets:
  Connection Component: PSM-SSH
  Protocol: SSH
  Client Application: PSM-SecureCRT or PSM-Putty
  Recording Settings:
    Record Sessions: Yes
    Recording Format: AVI + Text commands
    Record Unix Commands: Yes

For Database targets (SQL Server Management Studio):
  Connection Component: PSM-SSMS
  Protocol: Custom
  Client Application: SSMS.exe
  Recording Settings:
    Record Sessions: Yes
    Record SQL Queries: Yes (via keystroke logging)

Etapa 3: Configure Políticas de Gravação de Sessão

Defina regras de gravação com base no nível de risco e nos requisitos de conformidade:

PVWA > Administration > Platform Management > [Platform] > Session Management

Session Recording Settings:
  Enable Session Recording: Yes
  Recording Type: Record and Save (not just Monitor)

  Keystroke Logging:
    Enable Transcript: Yes
    Enable Window Events: Yes

  Storage:
    Recordings Storage Location: Vault (encrypted, tamper-proof)
    Retention Period: 90 days (adjust per compliance requirement)

    PCI-DSS:  Retain for 1 year, available for 3 months
    SOX:      Retain for 7 years
    HIPAA:    Retain for 6 years

  Compression:
    Enable Recording Compression: Yes
    Compression Level: Medium (balance storage vs. quality)

Para controle granular, configure políticas de gravação por cofre (safe):

Cofre: Servidores-Producao-Admin
  Gravar todas as sessões: Sim

Cofre: Servidores-Desenvolvimento
  Gravar todas as sessões: Não (opcional para não produção)

Cofre: Acesso-Fornecedor-Terceirizado
  Gravar todas as sessões: Sim
  Habilitar monitoramento em tempo real: Sim

…