Identitätsausbreitung

Was ist Identitätsausbreitung?

Identitätsausbreitung ist die Ansammlung von Benutzerkonten, Dienstkonten, privilegierten Identitäten und nicht-menschlichen Identitäten über mehrere Systeme hinweg ohne konsistente Governance. Dies tritt häufig auf, wenn Organisationen neue SaaS-Anwendungen, Cloud-Plattformen und Verzeichnisse schneller übernehmen, als sie alte zurückziehen oder sie unter einer einzigen Identitätsstrategie ausrichten.

Jedes System erstellt seine eigenen Identitäten, Rollen und Berechtigungen. Im Laufe der Zeit führt dies zu doppelten Konten, veraltetem Zugriff, inkonsistenter Durchsetzung des Minimalprivilegs und eingeschränkter Sichtbarkeit darüber, wer auf was zugreifen kann und warum.

Warum ist Identitätsausbreitung ein Sicherheitsrisiko?

Die Identitätsausbreitung erweitert die Angriffsfläche, indem sie mehr Anmeldeinformationen, Berechtigungen und Vertrauensbeziehungen schafft, als Sicherheits-Teams vernünftigerweise verwalten können. Zu den häufigen Risiken gehören verwaiste Konten, die nach dem Ausscheiden von Mitarbeitern zurückbleiben, überprivilegierte Benutzer mit Zugriff, der weit über die Anforderungen des Jobs hinausgeht, und Dienstkonten mit langfristigen Anmeldeinformationen, die selten überprüft werden.

Diese Bedingungen erleichtern es Angreifern, Privilegien zu eskalieren, lateral zu bewegen und auf sensible Daten zuzugreifen, ohne Warnungen auszulösen. Aus Sicht der Compliance untergräbt die Identitätsausbreitung auch die Bereitschaft zur Prüfung, da es schwierig ist, effektive Zugriffskontrollen nachzuweisen.

Wie entwickelt sich die Identitätsverbreitung?

Die Identitätsexpansion wächst typischerweise aus einer Kombination von dezentralen IT-Entscheidungen und manuellen Prozessen. Die Cloud-Nutzung, Fusionen und Übernahmen, Shadow-IT und die schnelle Einarbeitung von SaaS-Tools tragen alle dazu bei. Wenn Provisionierung und Deprovisionierung in jedem System separat behandelt werden, bestehen Identitäten länger als beabsichtigt und Berechtigungen sammeln sich im Laufe der Zeit an.

Ein Mangel an Verantwortung ist ein weiterer Faktor. Wenn kein einzelnes Team für die Identitätsverwaltung in verschiedenen Umgebungen verantwortlich ist, werden Inkonsistenzen und Lücken unvermeidlich.

Use cases

• Gesundheitswesen: Doppelte Identitäten in klinischen Systemen und Drittanbieterplattformen erhöhen das Risiko eines veralteten Zugriffs auf PHI und die Exposition gegenüber HIPAA.
• Finanzdienstleistungen: Fragmentierte Identitäten über Legacy- und Cloud-Systeme schwächen die Trennung der Aufgaben und komplizieren die Prüfkontrollen.
• Fertigung: Gemischte IT/OT-Umgebungen und der Zugang von Auftragnehmern schaffen nicht verwaltete Identitäten mit geringer Sichtbarkeit in Produktionssysteme und geistiges Eigentum.

Wie man die Identitätsverbreitung reduziert

Die Reduzierung der Identitätsverbreitung beginnt mit Sichtbarkeit. Organisationen benötigen eine zentrale Ansicht aller Identitäten, menschlicher und nicht-menschlicher Art, über Verzeichnisse, Cloud-Plattformen und Anwendungen hinweg.

Wichtige Praktiken umfassen die Automatisierung des Identitätslebenszyklusmanagements, sodass der Zugriff basierend auf Rollenänderungen bereitgestellt, angepasst und entfernt wird; die Durchsetzung des Prinzips der minimalen Berechtigung durch rollenbasierte Zugriffsmodelle; und die Durchführung regelmäßiger Zugriffszertifizierungen zur Entfernung unnötiger Berechtigungen. Die Konsolidierung von Identitätsquellen und die Standardisierung von Richtlinien über Umgebungen hinweg begrenzt zudem die Ausbreitung im Laufe der Zeit.

Wie Netwrix helfen kann

Netwrix hilft Organisationen, die Identitätsverbreitung zu reduzieren, indem es die Identitätsverwaltung in hybriden und Cloud-Umgebungen zentralisiert.

Netwrix Identity Manager bietet eine einheitliche Sicht auf menschliche und nicht-menschliche Identitäten über Verzeichnisse, Cloud-Plattformen und Anwendungen. Durch die Konsolidierung von Identitätsdaten in einer einzigen Governance-Ebene wird klar, wer auf was zugreifen kann, warum er Zugriff hat und ob dieser Zugriff weiterhin erforderlich ist.

Automatisierte Workflows für das Hinzufügen, Bewegen und Entfernen von Benutzern stellen sicher, dass der Zugriff basierend auf realen Rollenänderungen bereitgestellt, angepasst und entfernt wird, nicht durch manuelle Prozesse. Rollenbasierte Zugriffsmodelle und richtliniengesteuerte Durchsetzung helfen, Privilegien zu verhindern und das Mindestprivileg aufrechtzuerhalten, während sich die Umgebungen entwickeln.

Integrierte Zugangs-Zertifizierungen und -Bestätigungen erleichtern die regelmäßige Überprüfung des Zugangs und die Beseitigung von verwaisten Konten, veralteten Berechtigungen und übermäßigen Rechten. Jede Zugangsentscheidung wird verfolgt und dokumentiert, um die Bereitschaft für Audits und die Einhaltung von Vorschriften zu unterstützen.

Für die operationale Durchsetzung auf Verzeichnisebene, Netwrix Directory Manager automatisiert die Gruppen- und Benutzerverwaltung in Active Directory und Entra ID und stellt sicher, dass die Mitgliedschaften genau bleiben und Identitäten deaktiviert werden, wenn sie nicht mehr benötigt werden.

Zusammen geben diese Fähigkeiten den Organisationen eine dauerhafte Kontrolle über Identitäten und reduzieren die Ausbreitung an der Quelle, anstatt auf deren Folgen zu reagieren.