Das Problem
Zugriffe, die niemals schlafen
Ein stehendes Recht ist ein privilegierter Zugriff, der immer aktiv ist: der Domänenadministrator, der alles im Active Directory kann, der Datenbankadministrator mit Zugriff auf alle Kundendaten, der globale Administrator in Microsoft 365. Das Konto wurde angelegt, weil jemand es für eine Aufgabe brauchte – aber die Rechte wurden nicht entfernt, als die Aufgabe erledigt war.
Administratoren brauchen selbstverständlich hohe Rechte. Das Problem ist, dass die Rechte 24 Stunden am Tag aktiv sind, während sie vielleicht eine Stunde pro Woche genutzt werden. In den übrigen 167 Stunden nützen sie nur einer Gruppe: denen, die einzubrechen versuchen.
Das Risiko
Darum haben Angreifer es auf sie abgesehen
- Immer offen: ein gestohlenes Admin-Konto funktioniert sofort – der Angreifer muss auf nichts warten und nichts beantragen.
- Mehr, als Sie glauben: Bestandsaufnahmen finden typischerweise weit mehr Konten mit hohen Rechten, als die Organisation selbst annimmt – einschließlich alter Test- und Beraterkonten.
- Geteilt und wiederverwendet: gemeinsame Admin-Konten mit Passwörtern, die im Team geteilt und nie geändert werden, machen es unmöglich, nachzuvollziehen, wer tatsächlich was getan hat.
- Überleben alles: Rechte sammeln sich über Jobwechsel und Projekte an und werden selten wieder entzogen.
- Das ganze Königreich: mit einem Domänenadministrator kann ein Angreifer Sicherheitswerkzeuge abschalten, Spuren löschen und alles verschlüsseln – so eskalieren Ransomware-Angriffe.
Just-in-Time: Zugriff, wenn er gebraucht wird – und nur dann
Das Prinzip von Just-in-Time-Zugriff (JIT) ist einfach: Niemand hat stehende privilegierte Rechte. Muss ein Administrator eine Aufgabe erledigen, beantragt er das Recht, erhält es für einen begrenzten Zeitraum – typischerweise einige Stunden – und verliert es automatisch wieder. Die Genehmigung kann für Routineaufgaben automatisch erfolgen und für die kritischsten Systeme einen zusätzlichen Genehmiger erfordern.
Eine PAM-Lösung führt das zusammen: Passwörter privilegierter Konten liegen in einem zentralen Tresor und werden nach jeder Nutzung rotiert, Sitzungen können aufgezeichnet werden, und jede Handlung lässt sich auf eine benannte Person zurückführen. Das Ziel ist das, was oft Zero Standing Privileges genannt wird: In dem Moment, in dem niemand arbeitet, gibt es keine aktiven Admin-Rechte, die man stehlen könnte.
Der Nutzen ist messbar. Ein Angreifer, der in Ihrer Umgebung landet, findet keine Konten, über die er seine Rechte sofort ausweiten kann – und ein Rechteantrag mitten in der Nacht von einem ungewöhnlichen Standort aus ist ein Alarmsignal, keine Routine.
Wo sollten Sie anfangen?
Bei der Bestandsaufnahme der privilegierten Konten, die Sie heute haben: wer sie besitzt, wann sie zuletzt genutzt wurden und welche geteilt sind. Die Erfahrung zeigt, dass ein großer Teil sofort deaktiviert oder herabgestuft werden kann, ohne dass es jemand bemerkt.
Führen Sie JIT anschließend zuerst für die kritischsten Systeme ein – Domänencontroller, zentrale Datenbanken und Cloud-Administration – und weiten Sie es schrittweise aus. Kombiniert mit individuellen Konten und Protokollierung haben Sie die Lücke geschlossen, die die meisten schweren Angriffe ausnutzen.
Wie viele stehende Admin-Rechte haben Sie in diesem Moment?
Ein IAM Healthcheck erfasst Ihre privilegierten Konten und Zugriffe und liefert Ihnen einen priorisierten Plan, um die stehenden Rechte zu beseitigen. Ergebnisse auf Englisch, Dialog auf Deutsch.
