Soluciones · Acceso privilegiado
La credencial que nadie se atreve a rotar es la que lo sostiene todo.
Las credenciales de administrador permanentes sobreviven al proyecto, al sistema y al ingeniero que las emitió. Con HBX, el acceso se autoriza para un destino y una ventana, y después no queda nada vigente.
La clave que nunca venció
Se creó para destrabar un lanzamiento. Ha sobrevivido a tres reorganizaciones.
Alguien necesitaba que un proceso nocturno actualizara la base de datos contable, así que creó una cuenta de administrador con una contraseña que no cambia. Eso fue hace varios años. Hoy está en un archivo de configuración, en un repositorio, en un manual operativo, en una verificación de monitoreo y en los gestores de contraseñas de cuatro personas, dos de las cuales ya se fueron.
No tiene dueño
El ingeniero que la emitió cambió de equipo. El equipo que la heredó nunca supo que existía. Aparece en la revisión de accesos como una cuenta de servicio con un nombre verosímil, y se da por buena.
Rotarla exige una ventana de cambio
Nadie puede listar todo lo que la usa, así que nadie puede prever qué se romperá. La rotación se programa, se aplaza y termina reclasificada como un riesgo que se acepta por escrito cada año.
Una bóveda traslada el problema
Guardar los secretos en una bóveda es una mejora real frente a un archivo de configuración, pero la bóveda sigue entregando un secreto que se puede copiar, y la custodia termina al retirarlo. Lo que lo tenga mientras trabaja puede filtrarlo.
Todo control que se pueda poner alrededor de una credencial permanente (una bóveda, una política de rotación, una grabación de lo hecho, una cola de aprobaciones) se apoya en el supuesto de que la credencial existe y alguien la tendrá. Ese supuesto es la parte que vale la pena atacar.
Lo que cambia HBX
Ninguna contraseña permanente que robar. Cada acceso termina solo.
HBX Access autoriza la solicitud. El conector, dentro de su red, crea un acceso temporal en el destino, limitado a esa ventana, y lo elimina cuando la ventana termina. Después no queda nada que rotar.
El vencimiento no es una política
La ventana forma parte de la autorización, no es una regla aplicada por encima. El conector elimina el acceso cuando termina, así que nada tiene que darse cuenta de que el tiempo se agotó.
Acotada a un solo destino
No a un entorno, ni a un rol que casualmente alcanza cuarenta máquinas. Lo que se autoriza es el sistema indicado en la solicitud, y el acceso que crea el conector cubre exactamente eso.
Asociada a un nombre
El privilegio se concede a quien lo pide, en este momento, con la identidad que su directorio ya respalda. La cuenta compartida que todos se prestan deja de ser necesaria.
Los sistemas que no pueden cambiar
Sus sistemas más antiguos reciben el mismo control que los más nuevos, sin instalar nada en ellos.
Un conector se instala junto al sistema, dentro de la red privada, y se conecta hacia afuera. El sistema no se publica, no necesita abrir nada en el firewall y no depende de un programa de firmware para ser alcanzable.
Nada que instalar en el equipo
No hay un agente que instalar en equipos que no pueden recibirlo, ni una actualización a una función que el fabricante nunca creó. El conector hace el último tramo.
Personas y software, el mismo motor
Un operador recibe una consola: HBX Human Access. Una automatización recibe su propio acceso temporal: HBX Agent Access. Una sola decisión de política detrás de ambos.
Nombre la credencial que ha estado evitando.
Media hora sobre esa cuenta: qué depende de ella, qué pasa si se rota y cómo se ve el mismo trabajo cuando después no queda nada vigente.
Las personas reciben una consola → HBX Human Access. Los agentes reciben su propio acceso temporal → HBX Agent Access.