Cyberpediaod Brain
PLDEENESFRITNLPT

Ochrona kont administratorów (PAM)

Konto administratora otwiera wszystkie drzwi. Oto jak chroni je PAM i co na co dzień robią pracownik oraz jego przełożony.

W 30 sekund

Gdzie to się zdarza
W każdym systemie, w którym ktoś ma uprawnienia administracyjne, w katalogu firmowym, na stacji roboczej, serwerze lub w usłudze online.
Czego chce atakujący
Zdobyć dane logowania istniejącego konta, by działać bez zwracania uwagi4.
Odruch
Konta administratora używać tylko do administrowania, nigdy do poczty, internetu ani pracy biurowej, a uprawnień prosić w chwili, gdy są potrzebne.
Jeśli to już się stało
Powiadomić zespół bezpieczeństwa.

O co chodzi

Konto uprzywilejowane to konto systemowe, które posiada uprawnienia użytkownika uprzywilejowanego1. Użytkownik uprzywilejowany to osoba upoważniona, a więc uznana za godną zaufania, do wykonywania funkcji kontrolnych, nadzorczych, administracyjnych lub związanych z bezpieczeństwem, których zwykli użytkownicy wykonywać nie mogą2.

Takie konto nie musi należeć do informatyka z firmy. Brytyjskie NCSC używa słowa „administrator” zarówno dla osoby, na przykład administratora bazy danych, jak i dla konta systemowego uruchamiającego zaplanowane zadanie, i przypomina, że administrowanie jest często powierzane zewnętrznemu dostawcy3. Wszyscy mają uprawnienia wyższe niż zwykły użytkownik3. Zarządzanie dostępem uprzywilejowanym, czyli PAM (Privileged Access Management), to zasady i narzędzia, które obejmują te konta.

Pytania wprost

Czym jest konto uprzywilejowane?

To konto, którego uprawnienia przekraczają uprawnienia zwykłego użytkownika. NCSC podaje trzy przykłady: utworzenie użytkownika w domenie, połączenie przez SSH z serwerem WWW w celu zmiany pliku oraz skonfigurowanie alarmu na zaworze przemysłowym3. Wszystkie te działania mogą posłużyć do wyrządzenia szkody, dlatego trzeba je chronić3.

Dlaczego atakujący celują przede wszystkim w te konta?

Skradzione dane logowania pozwalają obejść kontrolę dostępu. Służą też do utrzymania trwałego dostępu do usług wystawionych na zewnątrz, takich jak VPN, poczta przez przeglądarkę czy pulpit zdalny4. Przejęte konto może ponadto dać wyższy poziom uprawnień w niektórych systemach lub dostęp do zastrzeżonych części sieci4. Mając prawdziwe dane logowania, atakujący może obejść się bez złośliwego oprogramowania, przez co trudniej zauważyć jego obecność4.

Microsoft opisuje ten sam mechanizm dla katalogu Active Directory: atakujący wydobywa dane logowania z otwartych sesji i szuka przede wszystkim kont już podwyższonych, pod które następnie się podszywa5. Typowe cele to konta ze stałymi uprawnieniami, konta członków kierownictwa, konta katalogowe z uprawnieniami oraz kontrolery domeny5.

Czy z konta administratora można czytać pocztę?

Nie. Microsoft wymienia wśród zachowań zwiększających ryzyko kradzieży danych logowania przeglądanie internetu podczas zalogowania na konto uprzywilejowane oraz logowanie się na nie z niezabezpieczonego komputera5. Producent zaleca, by w miarę możliwości nie używać kont o wysokich uprawnieniach do bieżących zadań administracyjnych5. Zabezpieczone stacje administracyjne nie uruchamiają ani aplikacji pocztowej, ani przeglądarki, ani oprogramowania biurowego5.

Co w praktyce oznacza PAM?

NCSC podaje zasadę przewodnią: starannie kontrolować, kto administruje, gdzie, kiedy, dlaczego i jak, nadawać administratorom minimalne uprawnienia i odbierać dostęp, gdy przestaje być potrzebny3. W usłudze Microsoft Privileged Identity Management można zarządzać dostępem do ważnych zasobów organizacji, kontrolować go i monitorować6. MITRE dodaje monitorowanie korzystania z kont uprzywilejowanych oraz rozliczalność zapewnianą przez rejestrowanie zdarzeń i audyt7.

1Jak to działa2 min

PAM łączy kilka elementów.

Po pierwsze, sejf na hasła. MITRE zaleca narzędzia typu sejf do przechowywania i rotacji danych logowania, a jako przykłady podaje CyberArk, HashiCorp Vault i KeePass7. W przypadku haseł lokalnych administratorów ta sama strona wymienia Microsoft LAPS7.

Po drugie, czasowe podniesienie uprawnień. W usłudze Privileged Identity Management w Microsoft Entra pracownik może być „uprawniony” do roli, nie mając jej na stałe. Gdy jej potrzebuje, aktywuje ją na ograniczony czas, w maksimum ustalonym przez administratorów, podając powód wniosku6. Aktywacja może wymagać weryfikacji uwierzytelnianiem wieloskładnikowym, uzasadnienia służbowego lub zgody wyznaczonego zatwierdzającego6. Po upływie czasu rola wygasa. Na tym polega zasada dostępu „just in time”: uprawnienia czasowe uniemożliwiają złośliwemu lub nieuprawnionemu użytkownikowi skorzystanie z nich po ich wygaśnięciu6. Ta sama usługa wysyła powiadomienie, gdy aktywowana jest rola uprzywilejowana, i umożliwia przeglądy dostępu, by sprawdzić, czy każdy nadal potrzebuje swojej roli6.

Po trzecie, możliwość prześledzenia działań. NCSC wymaga rejestrowania całej aktywności administracyjnej i jej audytu, aby sprawdzić, czy administratorzy wykonują wyłącznie działania uzasadnione i zatwierdzone3. Usługa Microsoft pozwala pobrać historię audytu6. Microsoft zaleca też monitorowanie katalogu w poszukiwaniu oznak ataku5.

Po czwarte, silne uwierzytelnianie. Wymaga co najmniej dwóch dowodów tożsamości: tego, co się wie, tego, co się posiada, i tego, kim się jest8. MITRE zaleca stosowanie go dla wszystkich kont uprzywilejowanych7, a w szczególności dla ról uprzywilejowanych8. Microsoft wymaga go przy używaniu kont uprzywilejowanych lub do zadań administracyjnych5.

Wreszcie, rozdzielenie kont. W swoim modelu Microsoft tworzy zabezpieczone konto użytkownika stacji roboczej oraz osobne konto administratora urządzeń9. NCSC zaleca administrowanie warstwowe, ponieważ nie każde administrowanie niesie takie samo ryzyko3.

2Co Pan/Pani robi1 min

Działania pracownika sprowadzają się do czterech punktów.

  • Rozdzielić dwa sposoby użycia. Konto do codziennej pracy służy do poczty, internetu i pracy biurowej. Konta administracyjnego używa się tylko do administrowania, na stacji do tego przeznaczonej5.
  • Prosić o uprawnienia w razie potrzeby. Jeśli rola wymaga od czasu do czasu podwyższonego dostępu, należy skorzystać z firmowej procedury aktywacji lub wniosku o zatwierdzenie, zamiast mieć uprawnienia na stałe6. Microsoft idzie w tym samym kierunku: zlikwidować stałe członkostwo w grupach o wysokich uprawnieniach i nadawać członkostwo czasowe, gdy jest potrzebne5.
  • Zaakceptować silne uwierzytelnianie. Microsoft wymaga go co najmniej od administratorów9.
  • Nie zachowywać bez potrzeby uprawnień administratora lokalnego na swoim komputerze. Microsoft przewiduje odebranie tych uprawnień użytkownikom swoich stacji uprzywilejowanych9, a MITRE zaleca usunięcie użytkowników z grupy administratorów lokalnych7.

Zadaniem przełożonego jest ograniczenie liczby osób, które mają dostęp do informacji wrażliwych. Zmniejsza to ryzyko, że dostanie się do nich złośliwy podmiot lub że uprawniony użytkownik nieumyślnie dotknie wrażliwego zasobu6. Wyznaczony zatwierdzający dostaje powiadomienie e-mailem, gdy wniosek o rolę czeka na zatwierdzenie6.

3Pułapki1 min
  • Powtórnie użyte hasło administratora. MITRE wyjaśnia, że ponowne używanie haseł może pozwolić na nadużycie kont lokalnych na wielu maszynach, by podnieść uprawnienia i przechodzić z jednego komputera na drugi10. Microsoft zalicza do konfiguracji ryzykownych lokalne konta uprzywilejowane z takimi samymi danymi logowania we wszystkich systemach5.
  • Konto uśpione. Atakujący może nadużywać kont nieaktywnych, na przykład osób, które odeszły z organizacji, ponieważ pierwotnego użytkownika nie ma już, by zauważyć nietypową aktywność4. Przeglądy dostępu pozwalają sprawdzić, czy użytkownicy nadal potrzebują swojej roli6.
  • Zbyt wiele potężnych kont. Przypisanie zbyt wielu użytkowników do uprzywilejowanych grup domeny sprzyja ich nadmiernemu używaniu5.
  • Kradzież danych logowania. Logowanie się kontem uprzywilejowanym na niezabezpieczonym komputerze naraża te dane5.
  • Nakładanie się uprawnień między kontami lokalnymi, domenowymi i online. MITRE się tym niepokoi, bo atakujący może przechodzić z jednego konta i systemu na drugi aż do poziomu administratora domeny lub przedsiębiorstwa4.
4Przypadki z praktyki1 min

Atak na ukraińską sieć elektroenergetyczną, 2015

Podczas tego ataku grupa Sandworm Team użyła ważnych kont w sieci firmowej, by podnieść uprawnienia, przemieszczać się w poziomie i trwale osiąść w tej sieci4.

Karta

Identyfikator
CP-198
Skrzydło
3. Protokoły i obrona
Kompetencja Brain
Kontrolować dostęp (control_access)
Odruch Brain
cr-030
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 10
ŹródłaŹródła: 10
  1. NIST, „privileged account - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_account (dostęp 3 listopada 2026)
  2. NIST, „privileged user - Glossary | CSRC”. https://csrc.nist.gov/glossary/term/privileged_user (dostęp 3 listopada 2026)
  3. NCSC (Royaume-Uni), „Secure system administration”, 15 września 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/ (dostęp 3 listopada 2026)
  5. Microsoft, „Best practices for securing Active Directory”. https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (dostęp 3 listopada 2026)
  6. Microsoft, „What is Privileged Identity Management? - Microsoft Entra ID Governance”. https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1026/ (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/mitigations/M1032/ (dostęp 3 listopada 2026)
  9. Microsoft, „Deploying a privileged access solution - Privileged access”. https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (dostęp 3 listopada 2026)
  10. MITRE ATT&CK, „Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1078/003/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Ochrona kont administratorów (PAM)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/

BibTeX 
@misc{brain_cp198_pl_2026,
  author = {Brain},
  title = {Ochrona kont administratorów (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/zarzadzanie-dostepem-uprzywilejowanym-pam-konta-administratorow/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0