Hintergrund
Der Tresor löst die Aufbewahrung, nicht die Verantwortung
Eine PAM-Lösung wird meist angeschafft, um die privilegierten Konten in den Griff zu bekommen. Kennwörter werden sicher aufbewahrt, automatisch rotiert und über eine kontrollierte Sitzung herausgegeben. Verglichen mit einer Tabelle oder einem geteilten Kennwortspeicher ist das ein großer Schritt.
Ein Tresor beantwortet, wie ein Kennwort aufbewahrt wird. Er beantwortet nicht, wer ein privilegiertes Konto haben darf, warum es angelegt wurde und wer es schließt, wenn die Person die Rolle wechselt oder das Unternehmen verlässt. In den meisten Installationen wird der Tresor manuell von denen gefüllt, die den Zugriff brauchen, und von niemandem geleert.
Ohne Prozess
Vier Dinge, die langsam genug passieren, dass sie niemand bemerkt
Eine fehlende Stilllegung meldet sich nie mit einem Knall. Sie zeigt sich als langsames Auseinanderdriften von Tresorinhalt und Wirklichkeit im Unternehmen.
- Der Tresor wächst: Konten aus abgeschlossenen Projekten, von ausgeschiedenen Mitarbeitenden und von stillgelegten Servern bleiben liegen, weil das Anlegen leicht war und das Entfernen die Zusatzarbeit von jemandem ist.
- Die Revision kommt zurück: Sie haben den Tresor angeschafft, um Kontrolle über privilegierten Zugriff nachzuweisen. Können Sie nicht zeigen, wann ein Zugriff entfernt wurde, stehen Sie schlechter da als vorher, weil die Erwartung nun höher ist.
- Die Rezertifizierung wird zur Unterschrift: Wenn niemand sagen kann, warum ein Konto angelegt wurde, wird es erneut genehmigt. Die Kontrolle steht auf dem Papier und wirkt nicht in der Praxis.
- Die Angriffsfläche verschiebt sich: Ein vergessenes Konto im Tresor trägt weiterhin seine Rechte, und es liegt jetzt an einer Stelle zusammen mit allen anderen.
Die Lösung
Die Bestellung gehört in IGA
Ein privilegiertes Konto ist ein Zugriff wie jeder andere. Es muss bestellt, genehmigt, mit Eigentümer und Zweck versehen, in festen Abständen geprüft und geschlossen werden, sobald die Grundlage entfällt. Genau diesen Lebenszyklus beherrscht eine IGA-Plattform bereits für die gewöhnlichen Zugriffe.
Deshalb steuert IGA sinnvollerweise den Lebenszyklus und PAM verwahrt das Kennwort. IGA weiß, wer beschäftigt ist, in welcher Rolle und bis wann. PAM weiß, wie ein Kennwort gespeichert, rotiert und herausgegeben wird. Werden beide gekoppelt, entsteht kein privilegiertes Konto mehr ohne eine Entscheidung dahinter.
In der Praxis
Vier Muster, die funktionieren
Die folgenden Muster sind bei mehreren dänischen Organisationen gebaut worden. Im Prinzip ähneln sie sich, sie unterscheiden sich darin, was die Anlage auslöst.
- Das persönliche Administratorkonto: Mitarbeitende bestellen es in IGA, Führungskraft und Systemeigentümer genehmigen, und das Konto wird automatisch angelegt und direkt in den Tresor gelegt. Genutzt wird es über PAM, ohne dass das Kennwort je bekannt wird.
- Das Servicekonto: derselbe Ablauf, aber mit benanntem Eigentümer, Zweck und Ablaufdatum. Endet das Projekt, läuft das Konto von selbst ab, sofern es niemand aktiv verlängert.
- Der Lebenszyklus des Servers: Wird ein neuer Server angelegt, entsteht automatisch ein Safe mit den gemeinsamen Konten, die der Server braucht, zusammen mit den Konten, die andere Systeme benötigen, etwa jenes, mit dem Ihre CMDB die Angaben zum Server pflegt.
- Die Stilllegung: derselbe Ablauf rückwärts. Verlassen Mitarbeitende das Unternehmen, läuft ein Servicekonto aus oder wird ein Server stillgelegt, verschwinden sowohl die Zuweisung in IGA als auch die Konten im Tresor, ohne dass jemand daran denken muss.
Voraussetzungen
Was zuerst stehen muss
Die Kopplung ruht auf drei Dingen. Einer verlässlichen Quelle dafür, wer beschäftigt ist und in welcher Rolle, in der Regel das HR-System. Einem Rollenmodell, das auch die privilegierten Rollen umfasst, damit eine Bestellung nach einer Regel genehmigt wird und nicht jedes Mal nach Ermessen. Und der Entscheidung, dass PAM als Zielsystem behandelt wird wie jedes andere, in das IGA provisioniert.
Das Letzte ist oft das Schwerste, weil der Tresor meist der Sicherheitsabteilung gehört und IGA der IT oder HR. Klären Sie die Zuständigkeiten, bevor die Technik gebaut wird, und halten Sie die Absprache schriftlich fest.
Wissen Sie, wer bei Ihnen das Konto schließt?
Wir erfassen die privilegierten Konten, beschreiben ihren Lebenszyklus und legen einen Etappenplan vor, der mit dem größten Sicherheitsgewinn bei geringstem Aufwand beginnt.
