Was ist Privileged Access Management (PAM)?

Benutzer mit privilegiertem Zugang zu den Systemen und Netzwerken einer Organisation stellen eine besondere Bedrohung dar. Externe Bedrohungsakteure zielen oft auf Privileged Accounts ab, indem sie Phishing-Schemata und Social-Engineering-Techniken verwenden, da die Kontrolle über diese Anmeldeinformationen es ihnen ermöglicht, sich freier im Netzwerk zu bewegen. Darüber hinaus missbrauchen manchmal Personen ihre eigenen Privileged Accounts; diese Art von Cyberangriff dauert am längsten zu entdecken, laut dem Verizon Data Breach Investigation Report.

Privileged Access Management (PAM) Tools helfen Netzwerkadministratoren dabei, privilegierten Zugriff zu kontrollieren, um das Risiko eines unbeabsichtigten oder absichtlichen Missbrauchs dieser mächtigen Konten zu reduzieren.

Was ist Privileged Access?

Privilegierter Zugriff ist eine höhere Ebene des IT-Zugangs, die bestimmten Benutzern gewährt wird, wie IT-Profis, die administrative Aufgaben ausführen müssen, oder Benutzern, die sensible Daten lesen oder bearbeiten müssen. Privilegierte Konten können auch von Diensten verwendet werden, die Zugang zu sensiblen Systemen oder Daten benötigen, wie Kundendaten, die in Datenbanken gespeichert sind.

Kurz gesagt, haben privilegierte Benutzerkonten mehr Berechtigungen, um auf Systeme, Dienste, Endpunkte und Daten zuzugreifen als reguläre Benutzerkonten. Beispiele für privilegierte Konten umfassen Folgendes:

• IT-Admin-Konto — Ermöglicht IT-Profis Funktionen wie:
  • Hardware oder Software installieren
  • Zurücksetzen von Passwörtern für Standard-Benutzerkonten
  • Anmeldung an jedem Rechner in einer bestimmten Umgebung
  • Änderungen an der IT-Infrastruktur vornehmen
• Domain-Administratorkonto — Gewährt administrativen Zugriff auf alle Workstations und Server innerhalb der Domäne
• Service accounts — Used by an application or service to access data and other resources
• Anwendungskonten — Werden von Anwendungen genutzt, um auf Datenbanken zuzugreifen, Batch-Jobs oder Skripte auszuführen oder anderen Anwendungen Zugang zu gewähren
• Geschäftsprivilegierte Benutzerkonten — Zugewiesen an Personen wie Datenbankoperatoren oder Manager, die mit sensiblen Informationen wie Personal- oder Finanzaufzeichnungen arbeiten
• Notfallkonten — Werden Benutzern zur Verfügung gestellt, die herangezogen werden, um Katastrophen oder andere Störungen zu bewältigen, die die Verfügbarkeit von Unternehmensnetzwerken und -systemen beeinträchtigen?

Warum Privileged Accounts besonderen Schutz benötigen

Privileged Access stellt ein erhebliches Sicherheitsrisiko für jede Organisation dar. Allgemein gesprochen gibt es drei Hauptgründe für das Management von Privileged Access:

• Privilegierte Konten sind Hauptziele für Angreifer. Wenn es einem Angreifer gelingt, ein privilegiertes Konto zu kompromittieren, könnte er Zugang zu sensiblen Systemen und Daten erhalten – und in der Lage sein, seine Spuren über lange Zeit zu verwischen, während er weiterhin Zugang hat.
• Privileged Accounts können von ihren Besitzern missbraucht werden. Admins könnten versehentlich oder absichtlich Sicherheitskontrollen deaktivieren, Group Policy, sensible Daten stehlen oder Schäden an der Infrastruktur verursachen.
• Die Kontrolle über Privileged Accounts ist eine Anforderung aller wichtigen Compliance-Regelungen. Prüfer achten besonders auf diese Anforderung, und Lücken in der Privileged Access Management können zu hohen Bußgeldern führen.

Wege zur Ausnutzung eines Privileged Account

Hier sind einige Beispiele dafür, wie ein privilegiertes Konto missbraucht werden könnte:

• Benutzer überschreiten Sicherheitsgrenzen. Best Practices empfehlen, dass jedem Administrator nicht nur ein Privileged User Account, sondern auch ein reguläres Benutzerkonto gegeben wird, das sie für alltägliche Aktivitäten verwenden sollten, die keine speziellen Zugriffsrechte erfordern. Die Nichteinhaltung dieser Best Practice kann zu Sicherheitsvorfällen führen. Wenn beispielsweise ein Administrator sein Privileged Account verwendet, um sich an einem Arbeitsplatz anzumelden, können seine Anmeldeinformationen lokal gespeichert werden, und ein Angreifer, der einen Zugang zu dieser Maschine erhält, kann sie stehlen.
• Privileged Accounts werden geteilt. Wenn mehrere Administratoren Zugang zu einem Privileged Account haben, ist es schwierig, die einzelnen Personen für ihre Handlungen zur Verantwortung zu ziehen, was die Möglichkeit erhöht, dass einer von ihnen ihn auf nicht autorisierte Weise verwenden könnte.
• Vergrößerte Angriffsfläche durch dauerhafte Privilegien. Normalerweise sind privilegierte Konten dauerhafte Konten — das Konto steht jederzeit zur Verfügung. Daher kann ein Angreifer, der ein Admin-Konto kompromittiert, es frei verwenden, um sich seitlich durch Ihre Umgebung zu bewegen und nach Möglichkeiten zu suchen, seine Privilegien zu eskalieren. Dies erhöht dramatisch das Risiko, dass es ihnen gelingt, ihr ultimatives Ziel zu erreichen, Daten zu stehlen oder anderen Schaden in Ihrer Organisation anzurichten.

Was ist Privileged Access Management?

Privileged Access Management (PAM) ist eine umfassende Sicherheitsstrategie für die Verwaltung von Konten mit erweiterten Berechtigungen für kritische Unternehmensressourcen und die Kontrolle der Nutzung dieser Konten. PAM fällt unter den Bereich Identity and Access Management (IAM).

Gründe für die Investition in Privileged Access Management (PAM) umfassen:

• Schutz gegen den Diebstahl von Privileged Access Management-Anmeldeinformationen
• Risikominimierung von Berechtigungsnachweismissbrauch
• Individuelle Verantwortlichkeit sicherstellen
• Das Risiko von Ausfallzeiten für Datenbanken, Server und andere kritische Infrastrukturen durch vorsätzlichen oder unbeabsichtigten Missbrauch von Privileged Accounts zu reduzieren
• Sicherstellung der Einhaltung des Least Privilege-Prinzips
• Den Anforderungen von Sicherheitsframeworks und Compliance-Regelungen gerecht werden

Funktionen und Fähigkeiten von Privileged Access Management (PAM)

Im Folgenden finden Sie eine Liste der Kernbereiche, die mit der Unterstützung der Sicherheit von privilegierten Konten zusammenhängen:

• Privileged Access Management — Verwaltet den Prozess des Speicherns und Abrufens von Passwörtern für privilegierte Benutzerkonten, um das Risiko des Diebstahls von Anmeldeinformationen zu verringern. Administratoren können bei Bedarf Anmeldeinformationen von einem zentralen Ort aus erstellen und widerrufen.
• Just-in-time (JIT) Privileged Access Management (PAM)-Methoden — Stellen sicher, dass Konten nur dann privilegierten Zugriff erhalten, wenn es notwendig ist, und nur für die Zeit, die benötigt wird, um eine Geschäftsaufgabe zu erledigen. Dies verhindert, dass Benutzerkonten länger als nötig erhöhte Zugriffsrechte behalten und so vor Ausnutzung durch interne Benutzer oder externe Bedrohungen geschützt sind.
• Entdeckung und Integration privilegierter Konten — Hilft dabei, zu erkennen, wo innerhalb einer Organisation privilegierte Konten existieren, damit diese in den Geltungsbereich von Privileged Access Management einbezogen werden können.
• Tracking der Aktivitäten privilegierter Benutzer — Hilft dabei zu verfolgen, wie Benutzer ihre Privileged Access Management-Anmeldeinformationen nutzen, sodass Unternehmen die unbefugte Verwendung eines privilegierten Kontos schneller erkennen können.
• Protokollierung und Berichterstattung — Ermöglicht es Organisationen, die Nutzung von privilegierten Konten aufzuzeichnen und darüber Berichte zu erstellen.
• Multi-Faktor-Authentifizierung — Zwingt Benutzer dazu, ihre Identität auf mehreren Wegen zu bestätigen, bevor ihnen der Zugang zu Unternehmensanwendungen und -systemen gewährt wird.
• Privileged Access Management von Sitzungen — Ermöglicht Sicherheitsadministratoren die Kontrolle über die Arbeitssitzungen von Benutzern mit privilegiertem Zugang. Zum Beispiel können sie den Zugang zu kritischen Ressourcen blockieren, wenn sie verdächtige Aktivitäten eines privilegierten Benutzerkontos feststellen.
• Privilege Elevation und Delegation — Ermöglicht Administratoren eine feinere Kontrolle über die Rechte, die privilegierten Benutzerkonten gewährt werden, im Gegensatz zu einem Alles-oder-Nichts-Ansatz.
• Automatisierung privilegierter Aufgaben — Ermöglicht Administratoren das Einrichten von automatisierten Abläufen, die wiederkehrende Privileged Access Management-Aufgaben bewältigen.

Wie funktionieren Privileged Access Management-Lösungen?

1. Ein Benutzer, der eine Aufgabe ausführen muss, die erweiterte Berechtigungen erfordert, kann Zugang zu einem Privileged User Account anfordern. Der Benutzer muss eine geschäftliche Begründung dafür angeben, warum er Privileged Access benötigt.
2. Die Privileged Access Management-Lösung genehmigt oder lehnt die Anfrage ab und protokolliert die Entscheidung. Die meisten Privileged Access Management-Lösungen können so eingerichtet werden, dass sie für bestimmte Anfragen die Genehmigung eines Managers anfordern.
3. Wenn die Genehmigung erteilt wird, erhält der Benutzer vorübergehend den erforderlichen Privileged Access, um die angegebene Aufgabe zu erledigen. Typischerweise erhalten sie Zugang über das Privileged Access Management (PAM), anstatt das Passwort für das privilegierte Konto zu erfahren.

Was sind die Hauptherausforderungen von Privileged Access Management (PAM)?

Traditionelle Ansätze für Privileged Access Management (PAM) beinhalten alle ernsthafte Herausforderungen, einschließlich der folgenden:

Manuelle Prozesse

Organisationen könnten sich dafür entscheiden, privilegierte Anmeldeinformationen in Tabellenkalkulationen zu speichern und sie manuell zu rotieren. Dies ist arbeitsintensiv und fehleranfällig. Am problematischsten ist, dass es nicht sicher ist und Türen sowohl für Angreifer als auch für internen Missbrauch öffnet.

Kostenlose Tools

Diese sind sicherer als gar nichts zu tun, hinterlassen aber immer noch mehrere Lücken, wie zum Beispiel im Workflow, bei der Rotation nach der Sitzung oder bei der Unfähigkeit zu überprüfen, wer darauf zugreift.

Traditionelle Privileged Access Management-Lösungen

Ältere Privileged Access Management-Lösungen haben zwei Hauptprobleme. Erstens macht ihre Komplexität sie teuer in der Implementierung. Zusätzlich zur Privileged Access Management-Infrastruktur und Lizenzierung müssen Organisationen viele Stunden in Konfiguration, Rollout und laufende Wartung investieren. Außerdem erfordern viele Privileged Access Management-Lösungen zusätzliche Lizenzen für den Betrieb, wie zum Beispiel Drittanbieter-CALs, Datenbankinfrastruktur und Add-on-Komponenten.

Zweitens nehmen die meisten Privileged Access Management (PAM)-Lösungen einen tresorzentrierten Ansatz: Sie verwalten lediglich die privilegierten Konten und konzentrieren sich ausschließlich auf die Zugriffskontrolle. Dieser Ansatz trägt nichts dazu bei, die Angriffsfläche für laterale Bewegungen, die durch diese Konten entsteht, zu entfernen oder zu begrenzen, dies wird als Standing Privilege bezeichnet. Bedrohungsakteure wie Ransomware können sich in Organisationen ausbreiten, indem sie privilegierte Konten nutzen, selbst wenn diese in Tresoren gesichert sind.

Überwindung der Herausforderungen von Privileged Access Management

Der beste Weg, das Sicherheitsrisiko zu reduzieren, ohne die Geschäftseffizienz zu beeinträchtigen, besteht darin, Privilegien bei Bedarf zu aktivieren. Zero Standing Privilege ist ein Ansatz, bei dem Administratoren nur so viel Privilegien erhalten, wie sie benötigen, um eine bestimmte Aufgabe zu erledigen, und dies auch nur für die Zeit, die benötigt wird, um diese Aufgabe zu vervollständigen. Wenn der Administrator fertig ist, werden die Privilegien entweder vom Konto entfernt oder das Konto wird vollständig gelöscht. Dieser Ansatz der Bereitstellung im richtigen Moment reduziert das Risiko, dass mächtige Konten von internen oder externen Bedrohungen ausgenutzt werden, drastisch.

Best Practices für Privileged Access Management

• Erfassen Sie alle Ihre Privileged Accounts.
• Führen Sie eine Risikobewertung durch, um die ernsthaftesten Bedrohungen für Ihre Privileged Accounts zu verstehen.
• Implementieren Sie ein Zero Standing Privilege-Modell, um Privileged Accounts zu entfernen, wenn sie nicht verwendet werden.
• Richten Sie formelle Richtlinien ein, um den Zugriff auf Privilegien zu steuern.
• Verfolgen Sie die Nutzung von privilegierten Konten, um verdächtiges Verhalten schnell zu erkennen.
• Nutzen Sie Tools, die bei alltäglichen Aktivitäten Privilegien auf Abruf ermöglichen.
• Bereinigen Sie inaktive oder ungenutzte Konten in Active Directory bevor sie missbraucht werden können.
• Wenden Sie die Prinzipien von Zero Trust und des geringstmöglichen Privilegs an.

Just-in-time Privileged Access Management (PAM) bei gleichzeitiger Reduzierung der Angriffsfläche.

Netwrix Privilege Secure for Access Management facilitates secure administrative access using 3rd generation technology that is cost effective, intuitive, and easy to deploy. Netwrix Privilege Secure for Access Management automatically generates ephemeral accounts for each privileged session then dynamically provisions and deprovisions just-in-time permissions that are appropriate for the requested activity. This action removes the “standing privilege” attack surface when accounts are at rest, providing controlled privileged access without the overhead and liability of traditional vault-centric solutions.

FAQ

Was ist in Privileged Access Management enthalten?

Privileged Access Management umfasst die Sicherung und Verwaltung von Benutzern und Prozessen, die innerhalb der IT-Plattformen eines Unternehmens erhöhte Privilegien erhalten. Es etabliert Kontrollen über den Zugriff auf Unternehmensressourcen.

Warum benötige ich Privileged Access Management?

Privileged Access Management hilft Unternehmen dabei sicherzustellen, dass Benutzer keinen unbefugten Zugang zu Unternehmenssystemen erhalten. Es verhindert auch, dass Cyber-Angreifer Zugang zu Anmeldeinformationen von privilegierten Benutzerkonten erlangen.

Was ist Privileged Access Management im Netzwerkbereich?

PAM im Netzwerkbereich bedeutet die Zentralisierung der Passwortkontrolle und die Einschränkung des Zugriffs durch eine PAM-Lösung, die Unternehmen dabei hilft, Angriffe auf ihre Netzwerke zu verhindern.