Warum Zero Standing Privileges ein besserer Ansatz für Privileged Access ist

Admin-Rechte sind ein zweischneidiges Schwert: Während IT-Profis erhöhte Rechte benötigen, um ihre Arbeit zu verrichten, können diese Privilegien sowohl von den Administratoren selbst missbraucht werden — als auch von Gegnern, die ihre Konten kompromittiert haben.

Der erste Schritt zur Abwehr dieser Risiken ist ziemlich einfach: Reduzieren Sie die Anzahl der Admin-Konten, indem Sie Geschäftsnutzern lokale Admin-Rechte verweigern. Obwohl Benutzer oft gegen diese Maßnahme Widerstand leisten, benötigen sie tatsächlich in der Regel keine lokalen Admin-Rechte, um ihre Arbeit zu verrichten, und das Entfernen dieser Rechte begrenzt die Macht, die Gegner erlangen würden, indem sie ihr Konto übernehmen. Zum Beispiel werden sie nicht in der Lage sein, Keylogger zu installieren oder Malware auszuführen.

Aber das lässt alle anderen hochprivilegierten Konten in der IT-Umgebung außer Acht, die ein noch größeres Risiko darstellen. Diese Konten gewähren Rechte, die ihre Besitzer tatsächlich benötigen, um ihre zugewiesenen Aufgaben zu erfüllen, wie zum Beispiel die Anpassung von Infrastrukturkonfigurationen, das Erstellen von Konten für neue Mitarbeiter oder das Zurücksetzen von Benutzerpasswörtern. Daher können Organisationen diese erhöhten Rechte nicht einfach auf die gleiche Weise widerrufen, wie sie lokale Adminrechte entfernen; sie benötigen auch einen Mechanismus, um bei Bedarf erhöhte Privilegien bereitzustellen.

Ein effektiver Ansatz, um diese Herausforderung zu lösen, ist Zero Standing Privileges (ZSP). ZSP ersetzt riskante privilegierte Konten durch temporären, Just-in-Time-Zugriff. Dieser Artikel erklärt, wie ZSP funktioniert und wie es die Herausforderungen überwindet, die in traditionellen Ansätzen zum Privileged Access Management (PAM) inhärent sind.

Warum traditionelle Privileged Access Management-Lösungen eine riesige Angriffsfläche hinterlassen

Traditionelle Privileged Access Management Lösungen sind darauf ausgelegt, Organisationen dabei zu helfen, Konten mit erhöhten Zugriffsrechten zu sichern. Organisationen haben typischerweise Dutzende oder sogar Hunderte dieser Konten. Traditionelle PAM-Lösungen speichern oft die Anmeldeinformationen der privilegierten Konten in einem Passworttresor. Autorisierte Personen holen sich dann täglich ihre Anmeldeinformationen, um administrativen Zugang zu den Systemen zu erhalten, die sie verwalten, wie eine bestimmte Datenbank oder Systeme wie Active Directory.

Allerdings führt der Versuch, privilegierten Zugriff mit traditionellen PAM-Techniken wie einem Passworttresor streng zu kontrollieren, zu einem großen Sicherheitsrisiko. Wenn mächtige Konten dauerhaft existieren, sind diese stehenden Privilegien immer gefährdet, von ihren Besitzern missbraucht oder von Angreifern übernommen zu werden.

Darüber hinaus führen selbst bei Vorhandensein starker Zugriffskontrollen diese oft zu einer Ansammlung von weit mehr Rechten, als tatsächlich benötigt werden. Infolgedessen sind sie anfällig für Missbrauch durch ihre Besitzer und Übernahme durch Gegner. Tatsächlich sind Admin-Zugangsdaten ein Hauptziel von bösartigen Akteuren, da sie es ihnen ermöglichen, privilegierten Zugang zu sensiblen Daten, Systemen und anderen kritischen IT-Ressourcen zu erlangen.

Was sind Zero Standing Privileges?

Zero Standing Privileges ist ein moderner Ansatz für Privileged Access Management, der die Schwächen traditioneller Werkzeuge überwindet. Das Ziel ist, die Anzahl der Konten mit erhöhten Privilegien so weit wie möglich zu reduzieren. Stattdessen wird privilegierter Zugang nur dann gewährt, wenn er benötigt wird, genau auf die jeweilige Aufgabe zugeschnitten und unmittelbar danach automatisch entfernt. Als Ergebnis ermöglicht eine ZSP-Strategie, die Angriffsfläche drastisch zu verringern und das Risiko von data breachen und Geschäftsunterbrechungen zu reduzieren. Und indem privilegierter Zugang streng kontrolliert wird, sind ZSP-Werkzeuge eine wertvolle Komponente in einem Zero Trust-Cybersicherheitsmodell.

Die Rolle eines Kassierers in einem Einzelhandelsunternehmen bietet eine nützliche Analogie. Die meiste Zeit bleibt die Kasse verschlossen. Sie öffnet sich nur, wenn eine Transaktion den Zugriff des Kassierers darauf erfordert. Sobald die Transaktion abgeschlossen ist, verriegelt sich die Schublade automatisch wieder. Wie bei ZSP gibt es keinen ständig verfügbaren Knopf, den der Kassierer nach Belieben drücken kann, um sie zu öffnen.

ZSP Beispiel

Um zu sehen, wie ZSP funktioniert, verfolgen wir, was passiert, wenn ein Administrator namens Alex privilegierten Zugang zu einer sensiblen IT-Ressource benötigt, um eine zugewiesene Aufgabe auszuführen:

1. Alex reicht eine Anfrage ein, die die Aufgabe und die erforderlichen Privilegien zu deren Durchführung detailliert beschreibt.
2. Wenn die Anfrage genehmigt wird, erstellt die ZSP-Lösung eine temporäre Identität mit gerade genug Berechtigungen, um die Aufgabe auszuführen.
3. Die Aufgabe wird entweder interaktiv von Alex durchgeführt (z.B. durch die Verwendung von RDP zu einem Server) oder vom System in seinem Namen (z.B. durch das Neustarten eines Servers).
4. Wenn die Aufgabe abgeschlossen ist, wird die temporäre Identität automatisch gelöscht.

Wesentliche Elemente von ZSP

Wie das Beispiel zeigt, basiert das ZSP-Modell darauf, für einen begrenzten Zeitraum einen eingeschränkten Zugang zu gewähren. Dementsprechend müssen ZSP-Tools sowohl Just-in-Time (JIT)-Zugang als auch genau ausreichende Berechtigungen (Least Privilege) bereitstellen.

• JIT-Zugriff — Benutzer haben keine dauerhaften privilegierten Konten. Stattdessen wird ihnen der erweiterte Zugriff genau dann gewährt, wenn sie ihn benötigen, und nur für die Zeit, die erforderlich ist, um ihre spezifische Aufgabe zu erledigen.
• Just-enough privilege — Das Prinzip der minimalen Rechtevergabe besagt, dass jedem Konto nur die Zugriffsrechte gewährt werden sollen, die für seine zugewiesenen Aufgaben erforderlich sind. ZSP-Lösungen müssen dieses Prinzip bei der JIT-Bereitstellung von Privilegien beachten und dem Benutzer nur die Zugriffsrechte gewähren, die er für spezifische Anwendungen, Systeme oder andere IT-Ressourcen benötigt, die für die anstehende Aufgabe erforderlich sind.

Zusätzliche wertvolle ZSP-Funktionen

Fortgeschrittene ZSP-Lösungen bieten zusätzliche wertvolle Funktionen, wie zum Beispiel:

• Anforderungs- und Genehmigungsworkflows — In den meisten Fällen muss eine Anforderung für eine Privileged Session von entsprechendem Personal überprüft werden, das sie genehmigen oder ablehnen kann. Automatisierte Workflows vereinfachen diesen Prozess und können daher für die Akzeptanz und Übernahme der Lösung entscheidend sein.
• Echtzeit-Sitzungsüberwachung — Die kontinuierliche Überwachung privilegierter Aktivitäten ist entscheidend für die Echtzeiterkennung und Minderung verdächtigen Verhaltens, Fehlern und anderer potenziell schädlicher Handlungen.
• Sitzungsaufzeichnung und -wiedergabe — Die Möglichkeit, Sitzungsaufzeichnungen zu überprüfen, ist für Untersuchungen und individuelle Verantwortlichkeit von unschätzbarem Wert. Und das Vorhandensein einer umfassenden Prüfspur privilegierter Aktivitäten kann bei Compliance-Audits erforderlich sein.

Wie Netwrix helfen kann

Die Netwrix Privileged Access Management (PAM) Lösung befähigt Sie dazu, PAM Best Practices umzusetzen und die Risiken, die mit privilegiertem Zugang verbunden sind, zu mindern. Diese führende PAM-Lösung wird stehende Privilegien identifizieren und sie durch zeitgerechten, genau abgestimmten Zugang ersetzen. Sie bietet auch automatisierte Anforderungs-/Genehmigungsworkflows und ermöglicht es Ihnen, privilegierte Sitzungen zu überwachen, zu protokollieren und wiederzugeben, sodass Sie Bedrohungen abfangen können, bevor sie eskalieren. Darüber hinaus ist ihre umfassende Suite von modernsten Funktionen ein wertvoller Teil einer breiteren Zero Trust Strategie.