Privilegierte Konten sind die Kronjuwelen Ihres Unternehmens und bei Cyberkriminellen sehr beliebt. Herkömmlicherweise werden sie in einem digitalen Tresor sicher und zentral gespeichert. Dies läuft jedoch dem Null-Vertrauen-Prinzip (zero trust) zuwider. Die Lösung? Kurzlebiger Zugang (ephemeral access).
Dabei werden Privilegien bedarfsorientiert (just-in-time & just-enough) zugewiesen und daraufhin automatisch entfernt. Das Ergebnis? Keine ständigen Privilegien (zero standing privileges), wodurch Sie für die operationellen privilegierten Konten keinen digitalen Tresor benötigen. Immer mehr PAM- und IAM-Lösungen bieten dies an. Eine höchst wirksame Sicherheitslösung, bei der allerdings ein paar Sachen zu berücksichtigen sind.
Jedes Unternehmen hat es mit privilegierten Konten (privileged accounts) zu tun. Dies sind digitale Identitäten mit einem größeren Umfang an Rechten, die genutzt werden, um Arbeiten an Systemen, Anwendungen und vertraulichen Informationen durchzuführen. Diese Kronjuwelen eines Unternehmens sind natürlich eine begehrte Beute von Angreifern.
Unternehmen haben es in ihrer sich rasch wandelnden IT-Landschaft mit einem Wildwuchs an privilegierten Konten zu tun. Interne und externe Teams wünschen privilegierten Zugang von jedem Ort aus und mit jedem Gerät. Nicht nur für Assets in der eigenen Infrastruktur, sondern auch in der Cloud.
Die privilegierten Konten werden oft auf permanenter Basis eingerichtet. Um Zugang, Verwaltung und Nutzung privilegierter Konten zu sichern, verwenden viele Unternehmen Lösungen für die Verwaltung des privilegierten Zugangs (Privileged Access Management; PAM). Privilegierte Konten werden dabei herkömmlicherweise sicher und zentral in einem digitalen Tresor gespeichert.
Obgleich PAM die Gefahr des Missbrauchs privilegierter Konten verringert, bleiben die privilegierten Konten jedoch immer bestehen. Dies sind die ständigen Privilegien (standing privileges). Dem liegt die stillschweigende Annahme zugrunde, dass die PAM-Lösung vertrauenswürdig ist.
Die Vorstellung von stillschweigendem Vertrauen läuft dem Prinzip „Null Vertrauen“ (zero trust) zuwider, bei welchem es um ausdrückliches Vertrauen geht. Anders gesagt: Bei jeder Nutzung sollte eine neuerliche Authentifizierung erfolgen. Moderne PAM- (und IAM-) Lösungen können auf der Grundlage des Prinzips der sogenannten Keine-Ständigen-Privilegien (zero standing privileges) funktionieren – einer Weiterführung des Prinzips des geringsten Privilegs (least privilege).
Bei „keinen ständigen Privilegien“ wird eine Aufgabe auf der Grundlage von Just-in-time- und Just-enough-Privilegien zugewiesen. Mit anderen Worten: Die Privilegien gelten nur für eine bestimmte Zeit und gewähren nur jene Rechte, die für das spezifische Asset zwingend erforderlich sind.
Muss ein Administrator operationelle Arbeiten ausführen und benötigt er dafür Rechte? Dann reicht er über das PAM- (oder IAM-) System einen entsprechenden Antrag ein. Genügt der Antragsteller den Anforderungen, um Zugang zu den notwendigen Administratorrechten für das Asset zu erhalten? Dies wird auf der Grundlage von attributbasierter Zugangskontrolle (attribute based access control; ABAC) festgestellt. Sobald der Antrag bewilligt ist, erstellt das PAM-System sofort ein vorübergehendes privilegiertes Konto. Dieser gilt nur für das Asset und die Dauer, die im Antrag genannt sind.
Keine ständigen Privilegien (zero standing privileges) werden mittels kurzlebigen Zugangs (ephemeral access) zuerkannt. Sobald der Zeitraum abgelaufen ist, wird der Nutzer abgemeldet und das privilegierte Konto automatisch entfernt. Das PAM-System legt in einem vollständigen Prüfprotokoll (audit log) fest, wer wann zu welchem Asset Zugang hatte. Da es keine dauerhaften Rechte gibt, wird Missbrauch vorgebeugt. Es gibt schließlich kein Konto, das sich hacken ließe. Das Konto mit kurzlebigem Privileg wird so erstellt, dass es in den Protokolldateien und im SIEM-System erkennbar ist.
Die Anwendung von keinen ständigen Privilegien für operationelle Konten mittels kurzlebigen Zugangs ist die neue übliche Art und Weise der Verwaltung des privilegierten Zugangs. Daher bieten dies immer mehr PAM- und IAM-Lösungen an, so dass Sie Ihr Unternehmen noch besser gegen Angriffe schützen können.
Wir empfehlen, die System- und Anwendungskonten, die in Ihrem Unternehmen verwendet werden, nicht aus dem Auge zu verlieren. Dieser Typ von privilegierten Konten bleibt nämlich über ständige Privilegien sehr wohl bestehen und muss daher auf die herkömmliche PAM-Art gesichert werden. Diese Konten müssen Sie also zentral und sicher in einem digitalen Tresor speichern, auf welchen Sie Ihr Passwortmanagement anwenden. Wählen Sie ein Produkt für die Zuweisung von privilegiertem Zugang aus? Dann lohnt es sich, dies zu berücksichtigen.
Menu
