CyberArk PAM

Información básica

CyberArk Privileged Access Manager (PAM) es una solución integral diseñada para proteger, gestionar y supervisar el acceso privilegiado en toda la infraestructura de TI de una empresa. Se centra en la protección de cuentas y credenciales privilegiadas, que son objetivos principales de los ciberataques.

• Modelo: CyberArk Privileged Access Manager (PAM).
• Versión: Las versiones principales actuales son 14.x para implementaciones autohospedadas y 14.1 para Privilege Cloud.
• Fecha de lanzamiento: CyberArk PAM se somete a un desarrollo y actualizaciones continuos, y periódicamente se lanzan versiones principales.
• Requisitos mínimos: Varían considerablemente según el componente y el tamaño de la implementación (pequeño, mediano, grande). Se detallan en la sección Requisitos técnicos.
• Sistemas operativos compatibles: Varía según el componente, incluido Windows Server (2019, 2022) para componentes principales y varias distribuciones de Linux (Red Hat Enterprise Linux, Rocky Linux, AlmaLinux, Ubuntu) para otros.
• Última versión estable: Las versiones principales actuales son 14.x.
• Fecha de finalización del soporte: Varía según la versión y el componente del producto. Los usuarios deben consultar la documentación oficial de CyberArk y la política de finalización del soporte para conocer las fechas exactas.
• Fecha de finalización del ciclo de vida: Varía según la versión y el componente del producto. Los usuarios deben consultar la documentación oficial de CyberArk y la política de finalización del ciclo de vida para obtener las fechas exactas.
• Tipo de licencia: Generalmente un modelo de licencia de nivel empresarial, a menudo basado en suscripción, que refleja su conjunto integral de características y su mercado objetivo.
• Modelo de implementación: admite modelos de implementación locales (autohospedados), en la nube (SaaS/Privilege Cloud) e híbridos, lo que ofrece flexibilidad en función de las necesidades de seguridad y la infraestructura de la organización.

Requisitos técnicos

CyberArk PAM consta de varios componentes principales, cada uno con requisitos técnicos específicos que se adaptan al tamaño y la complejidad de la implementación. Estos requisitos son considerables, lo que refleja una solución de nivel empresarial.

• RAM:
  • Bóveda: varía entre 32 y 64 GB para implementaciones pequeñas, entre 64 y 128 GB para implementaciones medianas y 256 GB o más para implementaciones grandes.
  • Administrador de sesiones privilegiadas (PSM): mínimo 8 GB. El consumo de RAM se escala con sesiones simultáneas; por ejemplo, varias sesiones de Chrome consumen recursos de CPU y RAM equivalentes.
  • Análisis de amenazas privilegiadas (PTA): mínimo 8 GB, con requisitos de RAM fluctuantes según la carga.
• Procesador:
  • Bóveda: 8-12 núcleos físicos (pequeños), 24-48 núcleos físicos (medianos), 60 o más núcleos físicos (grandes), todos en arquitectura x86-64.
  • PSM: Procesador mínimo de 8 núcleos (compatible con Intel).
  • PTA: Intel x86_64 (Sandy Bridge o posterior Core, Tiger Lake o posterior Celeron/Pentium) o AMD x86_64 (Bulldozer o posterior). Requiere el conjunto de instrucciones AVX para su componente MongoDB.
• Almacenamiento:
  • Bóveda: 2 SSD de 80 GB para implementaciones pequeñas; 1 SSD de 80 GB y 2 SSD de 512 GB para implementaciones medianas y grandes. Se recomienda RAID 10 con unidades SAS intercambiables en caliente.
  • PSM: 80 GB de espacio libre en disco para la instalación, más 80 GB adicionales para espacio de trabajo temporal. Las grabaciones de sesiones suelen consumir entre 50 y 250 KB por minuto.
  • PTA: 500 GB de almacenamiento total. Para servidores reforzados con CIS, este espacio se divide en particiones, con al menos 200 GB para /var y 100 GB para /var/log.
• Pantalla: No es un requisito técnico principal para los componentes del servidor. La resolución de pantalla del equipo cliente y la presencia de varios monitores pueden afectar la concurrencia de sesiones PSM.
• Puertos: Todos los componentes de CyberArk se comunican con Digital Vault en el puerto TCP 1858. Central Policy Manager (CPM) y Privileged Threat Analytics (PTA) se comunican con Password Vault Web Access (PVWA) en el puerto TCP 443. Se utilizan puertos y protocolos estándar para la comunicación entre los componentes y los dispositivos administrados.
• Sistema operativo:
  • Vault, PVWA, CPM, PSM: Windows Server 2019, Windows Server 2022. PSM también requiere .NET Framework 4.8 y el host de sesión de Servicios de Escritorio remoto (RDS) de Microsoft.
  • Puerta de enlace PSM: Red Hat Enterprise Linux 8.x/9.x, Rocky Linux 8.x/9.x, Ubuntu 20.x/22.x (para Docker).
  • PTA: Red Hat Enterprise Linux 8.6 o posterior (instalación mínima), Red Hat Enterprise Linux 9.2 o posterior (instalación mínima), Rocky Linux 8.6 o posterior (instalación mínima), AlmaLinux 8.6 o posterior (instalación mínima).

Análisis de Requisitos Técnicos

Los requisitos técnicos de CyberArk PAM son sólidos y están diseñados para ofrecer alta disponibilidad, escalabilidad y seguridad en entornos empresariales. La arquitectura modular permite implementaciones distribuidas, pero cada componente requiere una cantidad considerable de recursos. Se admite la virtualización, siempre que los recursos virtualizados sean equivalentes a las especificaciones de hardware físico recomendadas. Una planificación y un aprovisionamiento adecuados son fundamentales para un rendimiento óptimo y para evitar cuellos de botella, especialmente en lo que respecta a la concurrencia de sesiones PSM y el consumo de recursos de PTA en función de la carga.

Soporte y compatibilidad

CyberArk PAM ofrece amplio soporte y compatibilidad, cruciales para su función en diversos entornos de TI empresariales.

• Última versión: Las versiones principales actuales son 14.x.
• Compatibilidad con sistemas operativos: amplio soporte para sistemas operativos empresariales, incluido Windows Server 2019/2022 para componentes principales y varias distribuciones de Linux (Red Hat Enterprise Linux, Rocky Linux, AlmaLinux, Ubuntu) para componentes específicos como PSM Gateway y PTA.
• Fecha de fin de soporte: CyberArk mantiene una política de fin de vida útil para sus productos. Las fechas específicas de fin de soporte varían según la versión y el componente; los usuarios deben consultar la documentación oficial de CyberArk para obtener información detallada.
• Localización: Compatible con varios idiomas, con documentación disponible en inglés y japonés. Algunos componentes, como PTA, especifican "sistemas operativos en inglés" para su instalación.
• Controladores disponibles: Si bien no utiliza controladores tradicionales, CyberArk PAM se integra con una amplia gama de sistemas y aplicaciones de terceros. Esto incluye servicios de directorio (p. ej., Active Directory), sistemas de gestión de eventos e información de seguridad (SIEM), sistemas de tickets y herramientas de bases de datos (p. ej., Oracle Toad, SQL*Plus).

Análisis del estado general de soporte y compatibilidad

CyberArk PAM demuestra una sólida compatibilidad con los sistemas operativos empresariales predominantes y los componentes críticos de la infraestructura de TI. Su capacidad de integración con diversos sistemas de gestión de identidades, SIEM y otras herramientas de seguridad garantiza su funcionamiento eficaz en entornos complejos. El lanzamiento continuo de nuevas versiones y actualizaciones, junto con un ciclo de vida de soporte definido, demuestra un compromiso con la compatibilidad y la seguridad continuas. Sin embargo, las organizaciones deben mantenerse informadas sobre las fechas de soporte de versiones específicas para garantizar la seguridad y el acceso a las actualizaciones.

Estado de seguridad

CyberArk PAM está diseñado con una mentalidad de seguridad primero e incorpora múltiples capas de defensa para proteger el acceso privilegiado.

• Características de seguridad:
  • Tecnología de bóveda: almacena de forma segura credenciales de cuentas privilegiadas, claves SSH y claves API en una bóveda digital cifrada.
  • Rotación automatizada de contraseñas: cambia y actualiza automáticamente las contraseñas de las cuentas privilegiadas, lo que reduce el riesgo de credenciales estáticas.
  • Gestión de sesiones privilegiadas (PSM): supervisa, registra y controla las sesiones de usuarios privilegiados en tiempo real, lo que garantiza la responsabilidad y permite el análisis forense.
  • Análisis de amenazas privilegiado (PTA): emplea análisis avanzados para detectar comportamientos sospechosos de los usuarios y amenazas potenciales.
  • Acceso con mínimo privilegio: aplica el principio del mínimo privilegio y otorga a los usuarios solo los permisos necesarios para sus tareas.
  • Autenticación multifactor (MFA): fortalece la seguridad al requerir múltiples formas de autenticación.
  • Controles de acceso adaptativos: ajusta dinámicamente los privilegios de acceso en función de factores contextuales como el comportamiento y la ubicación del usuario.
  • Gestión de privilegios en la nube: extiende las capacidades de PAM a los entornos de nube, protegiendo las cargas de trabajo en la nube y las identidades de las máquinas.
  • Administración de privilegios de puntos finales: protege dispositivos y estaciones de trabajo administrando y controlando el acceso a recursos confidenciales en los puntos finales.
  • Compatibilidad con el modelo de confianza cero: verifica usuarios y dispositivos de forma continua, aplicando el mínimo privilegio y MFA adaptativo.
• Vulnerabilidades conocidas: CyberArk publica periódicamente avisos y actualizaciones de seguridad para abordar las vulnerabilidades conocidas. Se recomienda a las organizaciones mantener sus implementaciones actualizadas y seguir las directrices de refuerzo.
• Estado de lista negra: no aplicable para software.
• Certificaciones:
  • Cumplimiento de FIPS 140-2: la jerarquía de cifrado multicapa de CyberArk cumple con FIPS 140-2.
  • SOC-2 e ISO 27001: Los servicios de CyberArk Privilege Cloud están alojados en instalaciones certificadas para el cumplimiento de SOC-2 e ISO 27001.
  • Certificaciones profesionales: CyberArk ofrece varias certificaciones profesionales (Defender, Sentry, Guardian) que validan la experiencia en la implementación y gestión de sus soluciones PAM.
• Soporte de cifrado:
  • Datos en reposo: Utiliza cifrado jerárquico multicapa con AES-256 para cifrado simétrico y RSA-2048 para cifrado asimétrico. Cada archivo y caja fuerte cuenta con una clave de cifrado única.
  • Datos en tránsito: Todas las comunicaciones entre los componentes de CyberArk están protegidas mediante cifrado TLS. Un protocolo propietario con una clave de sesión única AES-256, compatible con FIPS 140-2, protege la comunicación con Privilege Cloud Connector.
• Métodos de autenticación: Admite una amplia gama de métodos de autenticación principales, como CyberArk Password, LDAP, NT/Windows, OpenID Connect (OIDC), PKI, RADIUS, SAML y Amazon Cognito. También admite una capa de autenticación secundaria para mayor seguridad, incluyendo funciones de MFA y SSO.
• Recomendaciones generales: Las mejores prácticas incluyen el fortalecimiento del sistema, la aplicación de los últimos parches de seguridad, la desactivación de servicios innecesarios, la restricción del acceso al servidor, la implementación de la segmentación de la red (zona de bóveda dedicada, DMZ para acceso remoto), evitar el acceso directo a la bóveda para los usuarios finales, aplicar el control de acceso basado en roles (RBAC) y garantizar la separación de funciones.

Análisis de la calificación general de seguridad

CyberArk PAM mantiene una alta calificación de seguridad general gracias a su enfoque integral y multicapa para la seguridad del acceso privilegiado. Sus principios de diseño fundamentales priorizan la durabilidad, integridad y protección extremas de los datos contra el acceso no autorizado. La conformidad de la solución con los estándares de cifrado FIPS 140-2, la compatibilidad con mecanismos de autenticación robustos y las capacidades de monitorización continua la convierten en la opción preferida por organizaciones con estrictos requisitos de seguridad y cumplimiento normativo. Las actualizaciones periódicas y el cumplimiento de las mejores prácticas de seguridad de CyberArk son esenciales para aprovechar al máximo sus capacidades de protección.

Rendimiento y puntos de referencia

CyberArk PAM está diseñado para ofrecer un alto rendimiento y escalabilidad, satisfaciendo las exigentes necesidades de los entornos empresariales.

• Puntuaciones de referencia: CyberArk proporciona un "Informe de referencia del servidor PTA" para métricas de rendimiento relacionadas con el análisis de amenazas privilegiadas.
• Métricas de rendimiento en el mundo real:
  • Escalabilidad: diseñado para escalar desde implementaciones pequeñas a grandes, administrando miles de cuentas y sesiones privilegiadas.
  • Capacidad de sesión: los servidores PSM tienen una concurrencia recomendada de hasta 100 sesiones por servidor, aunque esto puede verse influenciado por factores del lado del cliente, como la resolución de pantalla y la cantidad de sesiones simultáneas de Chrome.
  • Eficiencia: Las funciones automatizadas de gestión de contraseñas y monitoreo de sesiones mejoran la eficiencia operativa al reducir las tareas administrativas manuales.
• Consumo de energía: no se aplica directamente al software; depende de la infraestructura de hardware subyacente donde se implementan los componentes de CyberArk PAM.
• Huella de carbono: no se aplica directamente al software; depende de la eficiencia energética del centro de datos o de la infraestructura de la nube que lo respalda.
• Comparación con activos similares: CyberArk PAM es reconocido como líder del mercado, distinguido por su enfoque especializado en seguridad privilegiada, a diferencia de las soluciones más amplias de Gestión de Identidad y Acceso (IAM). Si bien suele considerarse una solución más costosa, su completo conjunto de funciones y robustas capacidades de seguridad justifican su costo para grandes empresas con necesidades complejas de seguridad y cumplimiento normativo.

Análisis del estado general del rendimiento

CyberArk PAM ofrece un alto rendimiento y escalabilidad, lo que lo hace ideal para organizaciones con amplios requisitos de gestión de acceso privilegiado. Su arquitectura está diseñada para gestionar un alto volumen de sesiones simultáneas y rotaciones de credenciales de forma eficiente. Un rendimiento óptimo depende en gran medida del cumplimiento de las especificaciones de hardware recomendadas por CyberArk y las mejores prácticas de arquitectura, especialmente para componentes que consumen muchos recursos, como PSM y PTA. La capacidad de la solución para automatizar tareas críticas de seguridad también contribuye a un mejor rendimiento operativo y a una reducción de la carga administrativa.

Reseñas y comentarios de usuarios

Las opiniones y comentarios de los usuarios destacan las fortalezas de CyberArk PAM en seguridad y cumplimiento, aunque también señalan desafíos relacionados con la implementación y el costo.

• Puntos fuertes:
  • Seguridad robusta: los usuarios elogian constantemente sus sólidas funciones de seguridad, que incluyen administración de sesiones seguras, bóveda y procesos de autenticación, que son fundamentales para prevenir infracciones.
  • Cumplimiento y auditoría: muy valorado por sus registros de auditoría detallados, grabación de sesiones y funciones de informes, que ayudan a las organizaciones a cumplir con estrictos requisitos de cumplimiento normativo.
  • Automatización: Valoración de las capacidades de automatización, como la rotación fluida de contraseñas e integraciones, mejorando la eficiencia.
  • Conectividad segura: permite el acceso remoto seguro a través de varios protocolos.
  • Idoneidad empresarial: ideal para empresas establecidas con sistemas heredados y necesidades de cumplimiento exigentes.
  • Oferta de SaaS: la disponibilidad de una solución basada en SaaS se considera un beneficio significativo.
• Debilidades:
  • Complejidad de la configuración: la configuración inicial, especialmente para la solución PAM, puede ser compleja, llevar mucho tiempo y, a menudo, requiere experiencia especializada.
  • Mayor costo: Generalmente se considera una solución más costosa en comparación con la competencia, lo que puede ser una barrera para empresas más pequeñas o aquellas con limitaciones presupuestarias.
  • Sobrecarga de funciones: la amplia gama de funciones puede resultar abrumadora y no todas son relevantes para todos los usuarios.
  • Dificultades de integración: los usuarios informan desafíos con la integración, que a menudo requieren mucho tiempo y experiencia técnica.
  • Atención al cliente: Algunos usuarios han señalado inquietudes con respecto a los tiempos de respuesta y la disponibilidad de personal capacitado.
• Casos de uso recomendados:
  • Protección de cuentas y credenciales privilegiadas en entornos locales y en la nube.
  • Cumplimiento de estrictos requisitos de cumplimiento normativo y auditoría.
  • Protección contra amenazas avanzadas y prevención de acceso no autorizado.
  • Gestión del acceso en infraestructuras híbridas y multi-cloud.
  • Protección de secretos de DevOps y de identidades de máquinas.
  • Protección de administradores de SaaS y usuarios comerciales privilegiados.

Resumen

CyberArk Privileged Access Manager (PAM) se posiciona como una solución empresarial líder para proteger y gestionar el acceso privilegiado, un componente fundamental de las estrategias modernas de ciberseguridad. Su principal fortaleza reside en sus robustas funciones de seguridad, que incluyen tecnología avanzada de almacenamiento, rotación automatizada de credenciales, monitorización de sesiones en tiempo real y análisis de amenazas avanzado. CyberArk PAM es altamente eficaz al aplicar el principio de mínimo privilegio y ser compatible con arquitecturas Zero Trust, proporcionando una protección integral contra ataques basados en la identidad. La conformidad de la solución con certificaciones del sector como FIPS 140-2 y su cifrado multicapa para datos en reposo y en tránsito subrayan su sólida estrategia de seguridad.

Sin embargo, la implementación y la gestión continua de CyberArk PAM pueden ser complejas y consumir muchos recursos, lo que a menudo requiere experiencia especializada. Su naturaleza empresarial también implica un mayor coste en comparación con otras alternativas. Si bien ofrece una amplia compatibilidad con diversos sistemas operativos y capacidades de integración con numerosos sistemas de terceros, las organizaciones deben planificar cuidadosamente su arquitectura y la asignación de recursos para garantizar un rendimiento y una escalabilidad óptimos.

En esencia, CyberArk PAM es una herramienta indispensable para grandes organizaciones con estrictos requisitos de seguridad y cumplimiento normativo, en particular aquellas que gestionan entornos híbridos y multicloud complejos. Su capacidad para automatizar tareas críticas de seguridad y proporcionar un control granular sobre el acceso privilegiado reduce significativamente la superficie de ataque y mejora la seguridad general de la organización. Si bien la inversión inicial en términos de costo y complejidad es considerable, los beneficios a largo plazo en reducción de riesgos, cumplimiento normativo y eficiencia operativa lo convierten en un activo muy valioso para proteger las claves del éxito.

La información proporcionada se basa en datos públicos y puede variar según la configuración del dispositivo. Para obtener información actualizada, consulte los recursos oficiales del fabricante.