Sie sind hier: Home » Markt » Tipps & Hinweise

Bessere Methoden für IAM und PAM

IT-Sicherheitsexperten bekunden mangelndes Vertrauen in Privileged Access Management: Was tun?
Identity und Access Management – oder im Licht der Studienergebnisse betrachtet – wohl eher Missmanagement – kann in Kombination mit nicht ausreichenden Sicherheitspraktiken zu schwerwiegenden Unterbrechungen der Geschäftsabläufe und Datenschutzvorfällen gleichzeitig führen

Von Martin Grauel, One Identity

Cybersicherheit als solche und insbesondere der Schutz von vertraulichen Daten waren vielleicht nie wichtiger als gerade jetzt. Die allgemeine Aufmerksamkeit richtet sich inzwischen sehr viel stärker auf das Thema. Das gilt gleichermaßen für Regierungen und Aufsichtsbehörden. Die Risiken sind höher denn je. Kein Unternehmen, keine Organisation kann sich mehr hinter einer magischen "BlackBox" verschanzen, die im Hintergrund sämtliche Sicherheitsvorkehrungen übernimmt. Ohne konzertierte Aktion wird es nicht gehen, und die betrifft Menschen, Prozesse und Technologien zu gleichen Teilen.

Tatsächlich haben Identity und Access Management sowie das Privileged Access Management (abgekürzt IAM und PAM) einen großen Anteil an den Sicherheitsbemühungen eines Unternehmens. Das hat einen Grund. Privilegierte Konten betreffen die wichtigsten Daten einer Firma, Benutzer dieser Konten können auf höchst vertrauliche Informationen zugreifen. Es ist also entscheidend, dass wirklich nur die Nutzer auf genau die Daten zugreifen, die sie brauchen, um die mit ihrem Job verbundenen Aufgaben zu erledigen. Und nur auf diese Daten und nicht etwa auf sämtliche sensiblen Informationen eines Unternehmens. Erst das Zusammenspiel von übergreifender Governance, dementsprechenden Praktiken und Richtlinien, gewährleistet überhaupt mit Cyberangriffen Schritt halten zu können.

Eine erst kürzlich durchgeführte Befragung von über 1.000 mittelständischen und großen Unternehmen liefert allerdings eher alarmierende Befunde. Beinahe ein Drittel der befragten Organisationen verlässt sich beispielsweise bei der Passwortverwaltung auf inzwischen völlig überholte manuelle Ansätze wie etwa Excel-Tabellen. Weitere 75 Prozent der IT-Sicherheitsexperten räumen ein, Passwörter zumindest ab und zu mit Kollegen zu teilen, und ein Viertel der Befragten tut dies üblicherweise oder sogar immer. Und auch was das Vergeben und Entziehen von Zugriffberechtigungen angeht, stimmen die Studienergebnisse nicht gerade optimistisch. Firmen brauchen für die komplette Provisionierung beziehungsweise Deprovisionierung eines Benutzers Zeiträume von mehreren Tagen (44 Prozent) bis in einigen Fällen hin zu mehreren Wochen (32 Prozent).

Die erschreckende Zahl von 77 Prozent von IT-Sicherheitsexperten gab zu, dass es für sie vergleichsweise einfach wäre sensible Daten zu stehlen, sollten sie die Firma verlassen. Vor dem Hintergrund dieser Ergebnisse betrachtet überrascht es dann schon weit weniger, dass stolze 87 Prozent der im Rahmen der Studie Befragten den PAM-Programmen ihres eigenen Unternehmens nicht vollständig vertrauen.

Identity und Access Management – oder im Licht der Studienergebnisse betrachtet – wohl eher Missmanagement – kann in Kombination mit nicht ausreichenden Sicherheitspraktiken zu schwerwiegenden Unterbrechungen der Geschäftsabläufe und Datenschutzvorfällen gleichzeitig führen. Kein Unternehmen kann sich heutzutage Sicherheitsschwachstellen leisten. Ebenso wenig wie einen Serviceausfall. Effektive IAM- und PAM-Programme sind eine wichtige Komponente, wenn man Cyberrisiken minimieren will. Genauso tragen IAM und PAM dazu bei, die Sicherheitsbelange anderer Unternehmen zu verbessern. Die Studienergebnisse enthüllen, dass etliche Unternehmen weltweit aber genau daran scheitern. Selbst wenn es um grundlegende Best Practices und Sicherheitsmaßnahmen sowohl beim Identity und Access Management als auch bei der Verwaltung privilegierter Konten geht.

Bessere Methoden für IAM und PAM
Anmeldeinformationen zu stehlen ist für böswillige Akteure einer der simpelsten Wege sich Zugang zu einem Unternehmensnetzwerk zu verschaffen. Am begehrtesten ist der Zugriff auf privilegierte (administrative) Konten. Diese Konten verschaffen einem Eindringling nahezu unbegrenzten Zugriff auf die Infrastruktur eines Unternehmens, eingeschlossen die wichtigsten und vertraulichsten Systeme und Daten. Je mehr Konten für einen Angreifer verfügbar sind, desto größer der potenzielle Schaden. Dazu gehören Datenschutzverletzungen und das Offenlegen von Daten, der Verstoß gegen Compliance-Richtlinien, Strafen sowie Vertrauensverlust des Unternehmens bei seinen Kunden und Rufschädigung. Wirksame IAM- und PAM-Programme sind einer der wichtigsten Bausteine für die Sicherheitsstrategie eines jeden Unternehmens.

Unternehmen sollten die folgenden grundlegenden Empfehlungen deshalb dringend beherzigen:

>> Passwörter für privilegierte Konten nach jedem Kontozugriff zurücksetzen: Damit begrenzenSiedas gemeinschaftliche Nutzen von administrativen Anmeldeinformationen. So sind vertrauliche Unternehmensdaten um sein Vielfaches besser geschützt als über statische und wieder verwendbare Passwörter.

>> Nicht mehr aktive Benutzerkonten sofort deprovisionieren: Mitarbeiter wechseln die Firma, werden entlassen oder Stellen anderweitig besetzt – als ganz natürlicher Teil unternehmerischer Lebenszyklen. Es sollte ein ebenso natürlicher Bestandteil dieser Lebenszyklen sein, nicht mehr gültige Zugriffsberechtigungen auf das Firmennetzwerk unverzüglich zurückzurufen. Selbst, wenn Mitarbeitende sich im Guten von ihrer Firma getrennt haben, ist es das Risiko nicht wert schlummernde Konten über einen langen Zeitraum hinweg beizubehalten. Nicht zuletzt können sich auch Hacker solcher nicht mehr aktiv genutzter Konten bemächtigen.

>> Benutzerpasswörter schnell zurücksetzen: Sicherheitsmaßnahmen, die für die Benutzer sperrig und komplex in der Anwendung sind, führen schnell zu Frustration. Der unerwünschte Nebeneffekt: Sicherheitsmaßnahmen werden als Zeitverschwendung betrachtet. Probleme mit dem Vergeben und Verwalten von Passwörtern zu lösen ist ein unternehmerischer Imperativ. Einerseits, um zu gewährleisten, dass Mitarbeitende produktiv arbeiten, andererseits, um zu verhindern, dass sie selbst Mittel und Wege finden, Sicherheitsmaßnahmen zu umgehen (etwa in dem sie Passwörter teilen).

>> Sämtliche Aktivitäten rund um eine Identität überwachen und protokollieren: Bei vertraulichen Informationen ist es wichtig zu wissen, wer auf welche Dateien zugreifen kann. Insbesondere dann, wenn die Daten gefährdet sind. Für Auditoren sind die diesbezüglichen Protokolldaten ausnehmend wichtig. Sie helfen bei der Ursachenforschung und Analyse sollte es bereits zum Schlimmsten gekommen sein. Sie fungieren aber auch als Frühwarnsystem und weisen auf potenziell schädliche Aktivitäten eines Benutzers hin.

Dies sind neben vielen weiteren mehr grundlegende Best Practices beim Identity und Access Management, respektive dem Privileged Access Management, die dazu beitragen, das Risiko von Datenschutzverletzungen zu senken. Aber auch Risiken, die mit nicht erlaubten Aktivitäten eines Benutzers zusammenhängen, einzugrenzen. Natürlich haben Technologien einen nicht ganz unerheblichen Anteil daran, hier Hilfestellung zu leisten. Etwa indem sie Prozesse automatisieren sowie Lücken bei der Verwaltung privilegierter Konten aufdecken und zu schließen. Je größer die Zahl schlecht verwalteter Benutzerkonten und privilegierter Konten ist, desto größer der potenzielle Schaden. Er reicht von Datenschutzverletzungen und Datendiebstahl, über mangelnde Compliance und Strafen bis zum Vertrauensverlust bei Kunden und schwerwiegenden Schäden an Marke und Ruf. Es bleibt also zu hoffen, dass Unternehmen in den kommenden Jahren etwas mehr Vertrauen in ihre Prozesse zum Identity und Access Management und das Management privilegierter Konten haben. Weil Firmen die dazu notwendigen Maßnahmen ergreifen. (One Identity: ra)

eingetragen: 26.11.18
Newsletterlauf: 21.12.18

One Identity: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Tipps & Hinweise

Sicherheitsmaßnahmen gegenüber Bedrohungen
Steigende Compliance-Anforderungen und europäische Richtlinien wie die DSGVO oder die NIS-Richtlinie für kritische Infrastrukturen haben die Umsetzung von Cybersecurity-Maßnahmen in Unternehmen bereits wesentlich vorangetrieben. Jedoch erfüllen Unternehmen häufig lediglich die Mindestanforderungen - während Angreifer über umfassende und ausgefeilte Möglichkeiten verfügen, sich Zugang zu Unternehmensnetzwerken zu verschaffen. Mittelständische Unternehmen, beispielsweise in der produzierenden Industrie oder im Gesundheitswesen, stehen im Fokus von Hackern: Mittels Ransomware-Angriffen können Cyber-Akteure ganze Produktionsstraßen lahm legen oder Krankenhäuser vom Netz nehmen. Insbesondere in diesen Branchen ist der Schaden nach einer Attacke besonders groß, da sie enorme wirtschaftliche Auswirkungen zur Folge haben und eine Vielzahl von Menschen betreffen. Für Hacker sind zudem vor allem mittelständische Unternehmen interessant, die wirtschaftlich erfolgreich sind, aber gleichzeitig nicht über die gleichen umfassenden Sicherheitsmaßnahmen verfügen wie große, börsennotierte Konzerne.
Nahezu kein Expertenwissen mehr benötigt
Cyberkriminelle greifen mit gefälschten Rechnungen vermehrt Unternehmen des produzierenden Gewerbes in Deutschland an. Das hat Proofpoint herausgefunden. Die Angreifer versenden dabei gefälschte Rechnungen, die als Köder verwendet werden oder aber die E-Mail beinhaltet einen Link zu einer Website, auf der das gefälschte Dokument zum Download zur Verfügung steht. Die Dokumente sind mit dem Remote Access Trojaner NanoCore infiziert. Laut Proofpoint enthalten Anhänge eine komprimierte ausführbare Datei (mit der Erweiterung ".Z"), während bösartige Links den Empfänger veranlassen, die auf onedrive.live.com gehostete Malware herunterzuladen.
Fünf Sofortmaßnahmen zur Systemhärtung
Guardicore gibt Sicherheitsempfehlungen für das Support-Ende von Windows Server R2, Windows Server 2008 und Windows 7. Ab 14. Januar 2020 werden Nutzer dieser Microsoft-Betriebssysteme keine kostenlosen Sicherheitsupdates und Online-Aktualisierungen mehr erhalten. Ohne sicherheitsrelevante Updates sind die betroffenen IT-Systeme gegen neu entdeckte Schwachstellen nicht mehr geschützt. Zwar sind die genannten Betriebssysteme teilweise bereits über ein Jahrzehnt alt, aber Schätzungen zufolge ist allein Windows Server 2008/2008 R2 immer noch auf fast jedem dritten Server weltweit im Betrieb. Viele Organisationen können nicht auf aktuelle Betriebssystemversionen wechseln, weil sie komplizierten Gesetzes- und Zertifizierungsanforderungen unterliegen, oder einfach nicht das erforderliche Budget zur Verfügung haben. Gefragt sind deshalb Überbrückungslösungen - auch um zeitaufwendige Migrationsprozesse begleiten zu können.
Abfangen und Manipulieren von E-Mails
Die E-Mail ist das Kommunikationsmittel Nummer eins. Unternehmen sind in der Pflicht, sich mit der E-Mail-Sicherheit zu beschäftigen, kommunizieren sie doch sowohl intern als auch extern. Nahezu täglich ist von Datenpannen und Datendiebstählen zu hören: Fremde verschaffen sich - zum Teil leider kinderleicht - Zugang zum internen Unternehmenssystem und greifen Daten ab oder manipulieren diese. Einfache, unverschlüsselte E-Mails stellen deshalb grundsätzlich eine Gefahr dar: Sie ähneln einer Postkarte, deren Inhalt jeder lesen kann. "Denn gehen E-Mails weder digital signiert noch verschlüsselt auf die Reise, können die Inhalte nicht nur ausspioniert, sondern auch manipuliert werden. Da Angriffe dieser Art in aller Regel nicht sicht- und nachweisbar sind, wird die E-Mail-Sicherheit leider nach wie vor oft stiefmütterlich behandelt. Wie oft und von wem E-Mails gelesen werden, kann ihnen niemand ansehen", warnt Patrycja Tulinska, Geschäftsführerin der PSW Group.
Neuer Standort und neue BC/DR-Strategie?
Die Entfernung zwischen georedundanten Rechenzentren soll mindestens 200km betragen. So empfiehlt es das BSI seit diesem Jahr. Dies stellt viele Unternehmen vor Probleme, betrug die bisher empfohlene Distanz in der Vergangenheit doch gerade einmal fünf Kilometer. Diese geringe Distanz erlaubte es den Betreibern bisher, ihre Rechenzentren über HA-Systeme synchron zu spiegeln. Dies ist bei einem Abstand von 200km jedoch nicht mehr möglich: Die Latenz zwischen den Standorten ist einfach zu hoch, um Organisationen mit traditionellen Hochverfügbarkeits- und Backup-Lösungen gegen Systemausfälle zu schützen. Was können Unternehmen nun tun, um ihre IT etwa gegen logische Fehler oder Ransomware-Attacken abzusichern, um minimalen Datenverlust und kurze Ausfallzeiten zu garantieren? Der neue Mindestabstand, den das BSI (Bundesamt für Sicherheit in der Informationstechnik) seit Dezember 2018 zwischen sich Georedundanz gebenden Rechenzentren empfiehlt, stellt in vieler Hinsicht eine Zäsur dar. Er stellt die Nutzung synchroner Spiegelung grundsätzlich infrage und hat damit einen direkten Einfluss darauf, wie Rechenzentren hierzulande betrieben werden. Wer eine "kritische Infrastruktur" betreibt, wird vom Gesetzgeber sogar dazu gezwungen der Empfehlung zu folgen. Und wer das Pech hat Teil eines Branchenverbandes zu sein, der den Empfehlungen des BSI folgt, wie etwa Mitglieder der Bankenbranche Bafin, haben ebenfalls keine Wahl. All diese Organisationen müssen auf die Entscheidung reagieren und den Abstand ihrer Rechenzentren auf mindestens 200km bringen.

Schutz vor Man-in-the-Middle-Angriffen Patientenschutz vor IT-Sicherheit