--- id: CP-198 slug: zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow lang: pl title: Ochrona kont administratorów (PAM) description: Konto administratora otwiera wszystkie drzwi. Oto jak chroni je PAM i co na co dzień robią pracownik oraz jego przełożony. canonical_url: https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Ochrona kont administratorów (PAM)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/ fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ it: https://startbrain.io/cyberpedia/it/articles/gestione-accessi-privilegiati-pam-account-admin/ nl: https://startbrain.io/cyberpedia/nl/articles/beheer-bevoorrechte-toegang-pam-beheerdersaccounts/ pt: https://startbrain.io/cyberpedia/pt/articles/gestao-acessos-privilegiados-pam-contas-admin/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Ochrona kont administratorów (PAM) Konto uprzywilejowane to konto systemowe, które posiada uprawnienia użytkownika uprzywilejowanego [1]. Użytkownik uprzywilejowany to osoba upoważniona, a więc uznana za godną zaufania, do wykonywania funkcji kontrolnych, nadzorczych, administracyjnych lub związanych z bezpieczeństwem, których zwykli użytkownicy wykonywać nie mogą [2]. Takie konto nie musi należeć do informatyka z firmy. Brytyjskie NCSC używa słowa „administrator” zarówno dla osoby, na przykład administratora bazy danych, jak i dla konta systemowego uruchamiającego zaplanowane zadanie, i przypomina, że administrowanie jest często powierzane zewnętrznemu dostawcy [3]. Wszyscy mają uprawnienia wyższe niż zwykły użytkownik [3]. Zarządzanie dostępem uprzywilejowanym, czyli PAM (Privileged Access Management), to zasady i narzędzia, które obejmują te konta. ## W 30 sekund - Gdzie to się zdarza: w każdym systemie, w którym ktoś ma uprawnienia administracyjne, w katalogu firmowym, na stacji roboczej, serwerze lub w usłudze online. - Czego chce atakujący: zdobyć dane logowania istniejącego konta, by działać bez zwracania uwagi [4]. - Odruch: konta administratora używać tylko do administrowania, nigdy do poczty, internetu ani pracy biurowej, a uprawnień prosić w chwili, gdy są potrzebne. - Jeśli to już się stało: powiadomić zespół bezpieczeństwa. ## Pytania wprost ### Czym jest konto uprzywilejowane? To konto, którego uprawnienia przekraczają uprawnienia zwykłego użytkownika. NCSC podaje trzy przykłady: utworzenie użytkownika w domenie, połączenie przez SSH z serwerem WWW w celu zmiany pliku oraz skonfigurowanie alarmu na zaworze przemysłowym [3]. Wszystkie te działania mogą posłużyć do wyrządzenia szkody, dlatego trzeba je chronić [3]. ### Dlaczego atakujący celują przede wszystkim w te konta? Skradzione dane logowania pozwalają obejść kontrolę dostępu. Służą też do utrzymania trwałego dostępu do usług wystawionych na zewnątrz, takich jak VPN, poczta przez przeglądarkę czy pulpit zdalny [4]. Przejęte konto może ponadto dać wyższy poziom uprawnień w niektórych systemach lub dostęp do zastrzeżonych części sieci [4]. Mając prawdziwe dane logowania, atakujący może obejść się bez złośliwego oprogramowania, przez co trudniej zauważyć jego obecność [4]. Microsoft opisuje ten sam mechanizm dla katalogu Active Directory: atakujący wydobywa dane logowania z otwartych sesji i szuka przede wszystkim kont już podwyższonych, pod które następnie się podszywa [5]. Typowe cele to konta ze stałymi uprawnieniami, konta członków kierownictwa, konta katalogowe z uprawnieniami oraz kontrolery domeny [5]. ### Czy z konta administratora można czytać pocztę? Nie. Microsoft wymienia wśród zachowań zwiększających ryzyko kradzieży danych logowania przeglądanie internetu podczas zalogowania na konto uprzywilejowane oraz logowanie się na nie z niezabezpieczonego komputera [5]. Producent zaleca, by w miarę możliwości nie używać kont o wysokich uprawnieniach do bieżących zadań administracyjnych [5]. Zabezpieczone stacje administracyjne nie uruchamiają ani aplikacji pocztowej, ani przeglądarki, ani oprogramowania biurowego [5]. ### Co w praktyce oznacza PAM? NCSC podaje zasadę przewodnią: starannie kontrolować, kto administruje, gdzie, kiedy, dlaczego i jak, nadawać administratorom minimalne uprawnienia i odbierać dostęp, gdy przestaje być potrzebny [3]. W usłudze Microsoft Privileged Identity Management można zarządzać dostępem do ważnych zasobów organizacji, kontrolować go i monitorować [6]. MITRE dodaje monitorowanie korzystania z kont uprzywilejowanych oraz rozliczalność zapewnianą przez rejestrowanie zdarzeń i audyt [7]. ## Jak to działa PAM łączy kilka elementów. Po pierwsze, sejf na hasła. MITRE zaleca narzędzia typu sejf do przechowywania i rotacji danych logowania, a jako przykłady podaje CyberArk, HashiCorp Vault i KeePass [7]. W przypadku haseł lokalnych administratorów ta sama strona wymienia Microsoft LAPS [7]. Po drugie, czasowe podniesienie uprawnień. W usłudze Privileged Identity Management w Microsoft Entra pracownik może być „uprawniony” do roli, nie mając jej na stałe. Gdy jej potrzebuje, aktywuje ją na ograniczony czas, w maksimum ustalonym przez administratorów, podając powód wniosku [6]. Aktywacja może wymagać weryfikacji uwierzytelnianiem wieloskładnikowym, uzasadnienia służbowego lub zgody wyznaczonego zatwierdzającego [6]. Po upływie czasu rola wygasa. Na tym polega zasada dostępu „just in time”: uprawnienia czasowe uniemożliwiają złośliwemu lub nieuprawnionemu użytkownikowi skorzystanie z nich po ich wygaśnięciu [6]. Ta sama usługa wysyła powiadomienie, gdy aktywowana jest rola uprzywilejowana, i umożliwia przeglądy dostępu, by sprawdzić, czy każdy nadal potrzebuje swojej roli [6]. Po trzecie, możliwość prześledzenia działań. NCSC wymaga rejestrowania całej aktywności administracyjnej i jej audytu, aby sprawdzić, czy administratorzy wykonują wyłącznie działania uzasadnione i zatwierdzone [3]. Usługa Microsoft pozwala pobrać historię audytu [6]. Microsoft zaleca też monitorowanie katalogu w poszukiwaniu oznak ataku [5]. Po czwarte, silne uwierzytelnianie. Wymaga co najmniej dwóch dowodów tożsamości: tego, co się wie, tego, co się posiada, i tego, kim się jest [8]. MITRE zaleca stosowanie go dla wszystkich kont uprzywilejowanych [7], a w szczególności dla ról uprzywilejowanych [8]. Microsoft wymaga go przy używaniu kont uprzywilejowanych lub do zadań administracyjnych [5]. Wreszcie, rozdzielenie kont. W swoim modelu Microsoft tworzy zabezpieczone konto użytkownika stacji roboczej oraz osobne konto administratora urządzeń [9]. NCSC zaleca administrowanie warstwowe, ponieważ nie każde administrowanie niesie takie samo ryzyko [3]. ## Co Pan/Pani robi Działania pracownika sprowadzają się do czterech punktów. - Rozdzielić dwa sposoby użycia. Konto do codziennej pracy służy do poczty, internetu i pracy biurowej. Konta administracyjnego używa się tylko do administrowania, na stacji do tego przeznaczonej [5]. - Prosić o uprawnienia w razie potrzeby. Jeśli rola wymaga od czasu do czasu podwyższonego dostępu, należy skorzystać z firmowej procedury aktywacji lub wniosku o zatwierdzenie, zamiast mieć uprawnienia na stałe [6]. Microsoft idzie w tym samym kierunku: zlikwidować stałe członkostwo w grupach o wysokich uprawnieniach i nadawać członkostwo czasowe, gdy jest potrzebne [5]. - Zaakceptować silne uwierzytelnianie. Microsoft wymaga go co najmniej od administratorów [9]. - Nie zachowywać bez potrzeby uprawnień administratora lokalnego na swoim komputerze. Microsoft przewiduje odebranie tych uprawnień użytkownikom swoich stacji uprzywilejowanych [9], a MITRE zaleca usunięcie użytkowników z grupy administratorów lokalnych [7]. Zadaniem przełożonego jest ograniczenie liczby osób, które mają dostęp do informacji wrażliwych. Zmniejsza to ryzyko, że dostanie się do nich złośliwy podmiot lub że uprawniony użytkownik nieumyślnie dotknie wrażliwego zasobu [6]. Wyznaczony zatwierdzający dostaje powiadomienie e-mailem, gdy wniosek o rolę czeka na zatwierdzenie [6]. ## Pułapki - Powtórnie użyte hasło administratora. MITRE wyjaśnia, że ponowne używanie haseł może pozwolić na nadużycie kont lokalnych na wielu maszynach, by podnieść uprawnienia i przechodzić z jednego komputera na drugi [10]. Microsoft zalicza do konfiguracji ryzykownych lokalne konta uprzywilejowane z takimi samymi danymi logowania we wszystkich systemach [5]. - Konto uśpione. Atakujący może nadużywać kont nieaktywnych, na przykład osób, które odeszły z organizacji, ponieważ pierwotnego użytkownika nie ma już, by zauważyć nietypową aktywność [4]. Przeglądy dostępu pozwalają sprawdzić, czy użytkownicy nadal potrzebują swojej roli [6]. - Zbyt wiele potężnych kont. Przypisanie zbyt wielu użytkowników do uprzywilejowanych grup domeny sprzyja ich nadmiernemu używaniu [5]. - Kradzież danych logowania. Logowanie się kontem uprzywilejowanym na niezabezpieczonym komputerze naraża te dane [5]. - Nakładanie się uprawnień między kontami lokalnymi, domenowymi i online. MITRE się tym niepokoi, bo atakujący może przechodzić z jednego konta i systemu na drugi aż do poziomu administratora domeny lub przedsiębiorstwa [4]. ## Przypadki z praktyki ### Atak na ukraińską sieć elektroenergetyczną, 2015 Podczas tego ataku grupa Sandworm Team użyła ważnych kont w sieci firmowej, by podnieść uprawnienia, przemieszczać się w poziomie i trwale osiąść w tej sieci [4]. ## Źródła 1. NIST, „privileged account - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_account (dostęp 3 listopada 2026) 2. NIST, „privileged user - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_user (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Secure system administration”, 15 września 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (dostęp 3 listopada 2026) 5. Microsoft, „Best practices for securing Active Directory”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (dostęp 3 listopada 2026) 6. Microsoft, „What is Privileged Identity Management? - Microsoft Entra ID Governance”. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1026/ (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1032/ (dostęp 3 listopada 2026) 9. Microsoft, „Deploying a privileged access solution - Privileged access”. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (dostęp 3 listopada 2026) 10. MITRE ATT&CK, „Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/003/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.