Was ist privilegierter Zugriff?
Im Unternehmenskontext wird der Begriff „privilegierter Zugriff“ für bestimmte Zugriffsrechte verwendet, die über die eines Standardbenutzers hinausgehen. Mithilfe von privilegiertem Zugriff können Unternehmen ihre Infrastruktur und Anwendungen sichern, die Geschäftstätigkeit effizient aufrechterhalten und die Vertraulichkeit sensibler Daten und kritischer Infrastruktur wahren.
Privilegierter Zugriff kann sowohl menschlichen Benutzern als auch nicht menschlichen Benutzern wie Anwendungen und Maschinenidentitäten gewährt werden.
Beispiele für privilegierte Zugriffe durch Menschen:
- Superuser-Konto: Ein leistungsfähiges Konto, mit dem IT-Systemadministratoren Konfigurationen an einem System oder einer Anwendung vornehmen, Benutzer hinzufügen bzw. entfernen oder Daten löschen können.
- Domänenadministrator-Konto: Ein Konto, das privilegierten administrativen Zugriff auf alle Workstations und Server innerhalb einer Netzwerkdomäne ermöglicht. In der Regel gibt es nicht viele dieser Konten, aber sie bieten den umfassendsten und stabilsten Zugriff im gesamten Netzwerk. Oft ist auch vom „Schlüssel zur IT-Festung“ die Rede, wenn es um die Privilegien einiger Administratorkonten und -systeme geht.
- Lokales Administratorkonto: Dieses Konto befindet sich auf einem Endpunkt oder einer Workstation und nutzt eine Kombination aus Benutzername und Passwort. Benutzer können damit auf lokale Rechner und Geräte zugreifen und Änderungen daran vornehmen.
- Secure-Socket-Shell(SSH)-Schlüssel: SSH-Schlüssel sind häufig genutzte Zugriffsprotokolle, die direkten Root-Zugriff auf kritische Systeme ermöglichen. Roots sind Benutzernamen oder Konten, die standardmäßig Zugriff auf alle Befehle und Dateien auf einem Linux- oder einem anderen Unix-ähnlichen Betriebssystem haben.
- Notfallkonto: Dieses Konto bietet Benutzern im Notfall administrativen Zugriff auf sichere Systeme. Es wird manchmal auch als Firecall oder Break Glass Account bezeichnet.
- Privilegierter Geschäftsbenutzer: Ein Benutzer, der außerhalb der IT arbeitet, aber Zugriff auf sensible Systeme hat. Das kann zum Beispiel ein Mitarbeiter sein, der Zugriff auf Finanz-, Personal- oder Marketingsysteme braucht.
Beispiele für nicht menschlichen privilegierten Zugriff:
- Anwendungskonto: Ein privilegierter Account für eine bestimmte Anwendungssoftware, mit dem in der Regel der Zugriff auf die Anwendungssoftware verwaltet, konfiguriert oder gesteuert wird.
- Service-Konto: Ein Konto, das von einer Anwendung oder einem Dienst für die Interaktion mit dem Betriebssystem genutzt wird. Dienste nutzen solche Konten, um auf das Betriebssystem oder eine Konfiguration zuzugreifen und Änderungen daran vorzunehmen.
- SSH-Schlüssel: (Wie oben erwähnt.) SSH-Schlüssel werden auch von automatisieren Prozessen genutzt.
- Secret: Ein Sammelbegriff, den das Entwicklungs- und Betriebsteam (DevOps) oft für SSH-Schlüssel, API-Schlüssel und andere Anmeldedaten für privilegierten Zugriff verwendet.
Privilegierte Konten, Anmeldedaten und Secrets kommen überall vor: Schätzungen zufolge ist ihre Zahl meist drei- bis viermal so hoch wie die der Mitarbeiter. In modernen Geschäftsumgebungen nimmt die privilegienbedingte Angriffsfläche rasch zu, da Systeme, Anwendungen, Maschine-zu-Maschine-Konten, Cloud– und Hybridumgebungen, DevOps, robotergesteuerte Prozessautomatisierung und IoT-Geräte immer stärker miteinander vernetzt werden. Angreifer wissen das und haben es deshalb auf privilegierte Accounts abgesehen. Fast 100 Prozent der komplexen Angriffe basieren heute auf der Ausnutzung privilegierter Anmeldedaten, da diese Zugang zu besonders sensiblen Daten, Anwendungen und Infrastrukturen ermöglichen. In den falschen Händen können solche Privilegien den Geschäftsbetrieb eines Unternehmens erheblich stören.
Bemerkenswerte Sicherheitsverletzungen mit privilegiertem Zugriff
In den letzten zehn Jahren gab es zahlreiche Sicherheitsverletzungen im Zusammenhang mit dem Missbrauch privilegierter Anmeldedaten. Von Terry Childs, Edward Snowden und Yahoo! über den Datenschutzvorfall im US Office of Personnel Management sowie die Angriffe auf die Zentralbank von Bangladesch und das ukrainische Stromnetz bis hin zu der von der Öffentlichkeit mit großem Interesse verfolgten Datenpanne bei Uber: Bei jedem dieser Vorfälle wurden privilegierte Anmeldedaten zur Planung, Koordination und Durchführung von Cyber-Angriffen missbraucht.
Was ist Privileged Access Management (PAM)?
Unternehmen setzen auf Privileged Access Management (PAM), um sich vor Gefahren im Zusammenhang mit dem Diebstahl von Anmeldedaten und Missbrauch von Privilegien zu schützen. PAM ist eine umfassende Cyber-Sicherheitsstrategie – rund um Mitarbeiter, Prozesse und Technologie – zur Kontrolle, Überwachung, Sicherung und Prüfung aller menschlichen und nicht menschlichen privilegierten Identitäten und Aktivitäten in einer geschäftlichen IT-Umgebung.
Manchmal auch als Privileged Identity Management (PIM) oder Privileged Access Security (PAS) bezeichnet, beruht PAM auf dem Least-Privilege-Prinzip, wonach Benutzer nur die für ihre jeweiligen Aufgaben erforderliche Mindestzugriffsebene erhalten. Das Least-Privilege-Prinzip gilt als Best Practice in der Cyber-Sicherheitsbranche und ist ein wesentlicher Schritt zum Schutz privilegierter Zugriffe auf hochwertige Daten und Ressourcen. Bei konsequenter Durchsetzung des Least-Privilege-Prinzips, können Unternehmen ihre Angriffsfläche verringern und die Gefahr kostspieliger Datenschutzverletzungen durch böswillige Insider oder externe Cyber-Angriffe senken.
Zentrale Herausforderungen beim Privileged Access Management
Unternehmen stehen vor einer Reihe von Herausforderungen rund um den Schutz, die Kontrolle und die Überwachung privilegierter Zugriffe:
- Verwaltung von Anmeldedaten: Viele IT-Unternehmen vertrauen auf aufwändige, fehleranfällige Prozesse für die Rotation und Aktualisierung privilegierter Anmeldedaten. Dies kann ineffizient und letztendlich teuer sein.
- Verfolgung privilegierter Aktivitäten: Viele Unternehmen können privilegierte Sessions nicht zentral überwachen und steuern, wodurch das Unternehmen Cyber-Sicherheitsbedrohungen und Compliance-Verstößen ausgesetzt ist.
- Überwachung und Analyse von Bedrohungen: Viele Unternehmen verfügen nicht über geeignete Gefahrenanalysetools und sind nicht in der Lage, verdächtige Aktivitäten proaktiv zu erkennen und angemessen zu reagieren.
- Steuerung und Kontrolle privilegierter Benutzerzugriffe: Oft haben Unternehmen Schwierigkeiten, privilegierte Benutzerzugriffe auf Cloud-Plattformen (Infrastructure-as-a-Service und Platform-as-a-Service), Software-as-a-Service(SaaS)-Anwendungen, Social Media usw. wirksam zu kontrollieren, was zu Compliance-Risiken führt und den Betrieb komplexer macht.
- Schutz von Windows-Domänencontrollern: Cyber-Angreifer können Schwachstellen im Kerberos-Authentifizierungsprotokoll ausnutzen, um sich als autorisierte Benutzer auszugeben und so Zugang zu kritischen IT-Ressourcen und vertraulichen Daten zu erhalten.
Warum ist Privileged Access Management (PAM) wichtig für Ihr Unternehmen?
- Menschen sind das schwächste Glied in der Kette. Von internen privilegierten Benutzern, die ihre Zugriffsebene missbrauchen, bis hin zu externen Cyber-Angreifern, die Privilegien von Benutzern stehlen, um sich unerkannt als „privilegierte Insider“ durch das Netzwerk zu bewegen, sind Menschen immer das schwächste Glied in der Cyber-Sicherheitskette. Mithilfe von Privileged Access Management können Unternehmen dafür sorgen, dass Mitarbeiter nur die für ihre Arbeit notwendigen Zugriffsebenen erhalten. Zudem können Sicherheitsteams mit PAM böswillige Aktivitäten im Zusammenhang mit Privilegienmissbrauch erkennen und zeitnah Maßnahmen zur Risikobeseitigung ergreifen.
- Im digitalen Geschäftsleben sind Privilegien allgegenwärtig. Systeme müssen aufeinander zugreifen und miteinander kommunizieren, damit sie effektiv zusammenarbeiten können. Während Unternehmen zunehmend auf Clouds, DevOps, robotergesteuerte Prozessautomatisierung, IoT und mehr setzen, steigt die Zahl der auf privilegierten Zugriff angewiesenen Rechner und Anwendungen, wodurch die Angriffsfläche immer weiter zunimmt. Diese nicht menschlichen Akteure sind den Menschen in einem typischen Unternehmen zahlenmäßig deutlich überlegen und damit schwieriger zu überwachen und zu verwalten – oder überhaupt zu identifizieren. Handelsübliche Standardanwendungen erfordern in der Regel Zugriff auf verschiedene Bereiche des Netzwerks, der von Angreifern ausgenutzt werden kann. Eine solide Privileged-Access-Management-Strategie berücksichtigt Privilegien unabhängig davon, wo sie standardmäßig vorkommen (On-Premise, in der Cloud oder in Hybridumgebungen), und erkennt dabei auftretende Anomalien.
- Cyber-Angreifer haben es vor allem auf Endpunkte und Workstations abgesehen. In einem Unternehmen beinhaltet jeder Endpunkt (Notebook, Smartphone, Tablet, Computer, Server usw.) standardmäßig gewisse Privilegien. Vorkonfigurierte Administratorkonten ermöglichen IT-Teams die lokale Behebung von Problemen, bergen aber auch große Risiken. Angreifer können Administratorkonten ausnutzen, von einer Workstation zur nächsten springen, zusätzliche Anmeldedaten stehlen, Privilegien ausweiten und sich lateral durch das Netzwerk bewegen, bis sie ihr Ziel erreicht haben. Ein proaktives PAM-Programm sollte die umfassende Entfernung lokaler administrativer Rechte auf Workstations beinhalten, um das Risiko zu verringern.
- PAM ist für die Compliance von wesentlicher Bedeutung. Die Fähigkeit zur Erkennung und Überwachung verdächtiger Ereignisse in einer Umgebung ist sehr wichtig. Aber ohne Klarheit darüber, was das größte Risiko darstellt (nämlich unkontrollierter, nicht überwachter und ungeschützter privilegierter Zugriff), bleibt das Unternehmen weiter gefährdet. Durch die Einführung von PAM als Teil einer umfassenden Sicherheits- und Risikomanagementstrategie können Unternehmen alle Aktivitäten, die sich auf kritische IT-Infrastrukturen und sensible Informationen beziehen, aufzeichnen und protokollieren. Dies wiederum hilft ihnen, ihre Audit- und Compliance-Anforderungen zu vereinfachen.
Wenn Unternehmen PAM-Programmen im Rahmen ihrer breiteren Cyber-Sicherheitsstrategie Vorrang einräumen, profitieren sie von einer Reihe organisatorischer Vorteile, wie geringeren Sicherheitsrisiken und einer kleineren Cyber-Angriffsfläche, niedrigeren Betriebskosten und weniger Komplexität, mehr Transparenz und Situationsbewusstsein im gesamten Unternehmen sowie einer besseren Regelkonformität.
Best Practices rund um Privileged Access Management
Die folgenden Schritte bieten einen Rahmen für den Aufbau grundlegender PAM-Kontrollen zur Stärkung der Sicherheitsposition eines Unternehmens. Mit einem auf diesen Schritten basierenden Programm können Unternehmen in kürzerer Zeit eine umfassendere Risikominderung erzielen, die Reputation ihrer Marke schützen und Sicherheits- sowie regulatorische Anforderungen mit weniger internen Ressourcen erfüllen.
- Irreversible Netzwerkübernahmeangriffe eliminieren. Alle privilegierten Zugriffe auf Domänencontroller und andere Tier0- und Tier1-Ressourcen isolieren und eine Multi-Faktor-Authentifizierung einführen.
- Infrastrukturkonten kontrollieren und sichern. Alle bekannten Infrastruktur-Accounts in einem zentral verwalteten Digital Vault speichern. Passwörter regelmäßig und automatisch nach jeder Verwendung rotieren.
- Laterale Bewegung einschränken. Alle Benutzer von Endpunkten aus der lokalen Administratorgruppe auf Windows-Workstations entfernen, um den Diebstahl von Anmeldedaten zu unterbinden.
- Anmeldedaten für Drittanbieter-Anwendungen schützen. Alle Privileged Accounts, die von Drittanbieter-Anwendungen verwendet werden, mit einem Vault schützen und fest programmierte Anmeldedaten für handelsübliche Anwendungen beseitigen.
- *NIX-SSH-Schlüssel verwalten. Alle SSH-Schlüssel-Paare auf Linux- und Unix-Produktionsservern in einem Vault schützen und regelmäßig rotieren.
- Vertrauliche DevOps-Zugangsdaten (Secrets) in der Cloud und On-Premise schützen. Alle privilegierten Public-Cloud-Accounts, -Schlüssel und API-Schlüssel schützen. Alle Anmeldeinformation und vertraulichen Zugangsdaten (Secrets), die von CI/CD-Tools wie Ansible, Jenkins und Docker verwendet werden, in einem sicheren Vault speichern, über den sie bei Bedarf abgerufen, automatisch rotiert und verwaltet werden können.
- SaaS-Administratoren und privilegierte Geschäftsbenutzer schützen. Alle Zugriffe auf gemeinsam verwendete IDs isolieren und eine Multi-Faktor-Authentifizierung einführen.
- In regelmäßige Red-Team-Übungen investieren, um die Abwehrstrategie zu testen. Die Wirksamkeit im Hinblick auf echte Angriffe überprüfen und verbessern.
Wenn Sie mehr über diese Best Practices erfahren möchten, klicken Sie hier.
