Privileged Access Management erweitern Warum Access Management neu gedacht werden muss

Anbieter zum Thema

Delinea

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Sicherheitsverantwortliche stehen vor vielen Herausforderungen, die den Schutz privilegierter Konten erschweren – von hybriden Cloud-Infrastrukturen über SaaS-Anwendungen bis hin zu einer rapide gewachsenen Zahl an Identitäten. Cyberangreifer wissen dies für sich zu nutzen.

Der Großteil der Angriffe auf Unternehmen erfolgt mittlerweile über ein privilegiertes Konto. Wollen Unternehmen ihre Angriffsfläche wieder minimieren, müssen Sie aktive Maßnahmen ergreifen, die der komplexen IT-Landschaft gerecht werden. Die Erweiterung des bestehenden Privileged-Access-Managements (PAM) hin zu einem Extended PAM kann hier ein Wendepunkt sein.

Warum Unternehmen PAM weiterdenken müssen

Traditionelles PAM wurde zu einer Zeit entwickelt, in der der Sicherheitsfokus vor allem auf die Administratoren gerichtet war, die mit der physischen Netz-Infrastruktur gearbeitet haben. Ein diverses IT-Umfeld, das aus hybriden Cloud- und Arbeitsumgebungen sowie einer permanent steigenden Zahl menschlicher und nicht-menschlicher Identitäten besteht – wie es heute die Realität ist – war damals noch kein Thema. Diese neue IT-Komplexität mindert die Transparenz in Bezug auf das Verhalten privilegierter Konten über die nicht miteinander verbundenen Benutzeridentitäten hinweg und macht es immer schwieriger, sich abzeichnende Angriffe zu identifizieren und zu bekämpfen.

Doch nicht nur die unterschiedlichen Cloud-Dienste und ihre entsprechenden Identitätsverwaltungsprozesse sind ein Problem, auch eine immer längere Liste von fragmentierten Sicherheitslösungen stellt die Security-Teams vor Herausforderungen. Denn diesen Lösungen mangelt es nicht selten an Koordination und Konsistenz, was Schwachstellen und Schlupflöcher in der Unternehmenssicherheit nach sich zieht.

Visualisierung eines erweiterten PAMs

Anstatt eines herkömmlichen Zugriffsmanagements brauchen Unternehmen heute ein Extended PAM, das den Anforderungen der hybriden IT-Umgebungen und Cloud-basierten Anwendungen gerecht wird. Dazu gehört, dass Security-Verantwortliche in die Lage versetzt werden, privilegierte Zugriffe über die gesamte Umgebung hinweg besser verstehen, verwalten und visualisieren zu können. Damit dies gelingt, folgt Extended PAM zwingend folgenden Prinzipien und Sicherheitsansätzen:

• Jeder Nutzer ist ein privilegierter Nutzer: Ein wichtiger Schritt, um die durch die hybride Cloud vergrößerte Angriffsfläche zu minimieren, liegt darin, Identitätsschutz gemäß dem Leitspruch „Every User is a Privileged User” auf sämtliche Identitäten im Unternehmen auszuweiten, ganz unabhängig von ihrer Position, das heißt egal, ob es sich um eine Führungskraft, einen Angestellten ohne Leitungsfunktion oder einen externen Partner handelt.

• Die Identität ist der neue Perimeter: Mit der Auflösung der traditionellen Netzwerkgrenzen ist die Identität zum neuen Perimeter geworden. Extended PAM betrachtet die Identität daher stets als roten Faden für die Authentifizierung bzw. Zugriffskontrolle. Werden richtlinienbasierte Berechtigungskontrollen umgesetzt und mit den Identitäten abgeglichen, sind Sicherheitsverantwortliche in der Lage, ein umfassendes Zero-Trust-Prinzip umzusetzen und Abhängigkeiten aufzudecken. So wird die Angriffsfläche maximal eingeschränkt und für Konsistenz und Skalierbarkeit gesorgt.

• Richtlinien müssen so dynamisch sein wie die Unternehmen selbst: Privilegierte Zugriffe sind selten dauerhaft notwendig, vielmehr können sich die Voraussetzungen stündlich ändern. So kann ein Benutzer beispielsweise ein kurzlebiges Cloud-Speicher-Konto einrichten, das dann zu einem potenziellen Zugangspunkt zur Infrastruktur des Unternehmens wird. Extended PAM ermöglicht es den IT-Teams, auf Analysen basierende Richtlinien einzurichten, um veränderte Bedingungen schnell beurteilen und den Zugriff bei Bedarf anpassen zu können. Das spart wertvolle Zeit bei der Verwaltung des Zugriffs und erhöht gleichzeitig die Sicherheit.

• Laterale Angriffsbewegungen sind eine der größten Gefahren: Um zu verhindern, dass sich Angreifer nach erstmaligem Zugang lateral in einem Netzwerk ausbreiten und ihre Privilegien unautorisiert erweitern, ermöglicht Extended PAM die Umsetzung datengestützter Richtlinien und Kontrollen. Kommen diese flächendeckend zum Einsatz, können Hacker etwa davon abgehalten werden, sich über die Workstation eines Benutzers Zugriff auf ein E-Mail-Konto zu verschaffen und diese Informationen dazu zu verwenden, um auf andere eingeschränkte Bereiche wie Cloud-Dienste und Datenbanken zuzugreifen.

Schlüsselkomponenten von Extended PAM

Doch damit Sicherheitskonzepte wie Zero Trust und „Identity is the new Perimter“ sowie die erforderliche Dynamik von Kontrollen überhaupt wirksam umgesetzt werden können, brauchen Unternehmen eine Infrastruktur, die diese Konzepte unterstützt. Tatsache ist, dass erweitertes PAM hochgradig vernetzt und abhängig von verschiedenen grundlegenden Technologien und Komponenten ist. Dazu gehören unter anderem:

• Erhöhte Automatisierung: Je mehr Identitäten in einem Unternehmen existieren, desto schwieriger ist es, privilegierte Zugriffe manuell zu kontrollieren und verdächtiges Verhalten zu identifizieren. Extended PAM braucht daher einen hohen Grad an Automatisierung, damit Privilegien effizient verwaltet und potenziell schädliche Aktivitäten sofort gestoppt werden können. Dies sorgt für eine strengere Überwachung der Sicherheit und entlastet gleichzeitig die Sicherheitsteams, die sich dann auf andere wichtige Aufgaben konzentrieren können.

• Nahtloser Datenaustausch über alle Sicherheitstools hinweg: Da die meisten Sicherheitsanwendungen nicht ohne Probleme miteinander kommunizieren oder Erkenntnisse austauschen können, geht der Einsatz unterschiedlicher Tools oft mit unerwünschten Datensilos einher. Erschwerend kommt hinzu, dass es oft eine Herausforderung ist, Daten von den Quellen zu den Zielorten zu übertragen. Das führt dazu, dass wertvolle Informationen verloren gehen und die wichtigsten Sicherheitsereignisse möglicherweise nicht identifiziert werden können. Angesichts dessen ist der nahtlose Datenaustausch eine entscheidende Komponente für ein erweitertes PAM. Vor allem APIs und native Integrationen ermöglichen einen Echtzeit-Datenfluss zwischen den Sicherheitstools und unterstützen damit eine umfassende Analyse und schnelleres Handeln.

• Eine zentralisierte und intuitive Benutzeroberfläche: Nicht wenige Security-Teams müssen mit vielen Plattformen interagieren und wechseln den ganzen Tag über zwischen Programmen und Schnittstellen hin und her. Das kostet nicht nur Zeit, sondern führt auch zu einem fragmentierten Reporting. Zudem mindert das ständige Wechseln der Arbeitsumgebung die Produktivität der Teams. Extended PAM erfordert daher eine einzige, einheitliche Sicherheitsschnittstelle, die einfach zu navigieren und zudem leicht verständlich ist. Durch die Zentralisierung des Zugriffsmanagements auf einer einzigen Konsole wird es einfacher, Risiken zu messen, Fortschritte zu verfolgen und Erkenntnisse mit allen Beteiligten auszutauschen.

Fazit

Um die neue Ära der hybriden IT-Umgebungen und Cloud-basierten Anwendungen nachhaltig abzusichern, braucht es ein erweitertes Zugriffsmanagement, das die Identitäten in den Mittelpunkt der Cybersicherheit stellt und basierend auf Automatisierung und einem nahtlosen Datenaustausch effektiv das Zero-Trust-Paradigma umsetzt.

Über den Autor: Andreas Müller ist Vice President DACH bei Delinea.

(ID:49671964)