Vorgehen für privilegierte Zugriffsverwaltung
PAM Ready
Finden Sie heraus, was in Ihrer Umgebung wirklich Macht hat – und wer es wieder abschaltet.
Die meisten Organisationen können die Liste derer, die privilegierten Zugriff haben, nicht erzeugen, und noch weniger können sagen, wer ein privilegiertes Konto schließt, wenn es nicht mehr gebraucht wird. PAM Ready erfasst die privilegierten Konten und Zugriffe, beschreibt, wie sie angelegt, genutzt und stillgelegt werden, und liefert einen Etappenplan, der mit dem größten Sicherheitsgewinn bei geringstem Aufwand beginnt.
Die Herausforderung
Niemand kennt die Liste, und niemand verantwortet das Aufräumen
Privilegierter Zugriff ist das, worauf Angreifer zuerst zielen, und das, wonach Aufsicht und Revision zuerst fragen. Trotzdem können die wenigsten sagen, wie viele Konten heute erhöhte Rechte haben und wer sie wieder entfernt.
- Dauerhafte Rechte: Zugriffe, die vor drei Jahren für eine Aufgabe erteilt wurden und immer noch bestehen.
- Konten ohne Eigentümer: lokale Administratoren, Servicekonten mit erhöhten Rechten und alte Testkonten, die niemand anzufassen wagt.
- Zugriffe außerhalb des Katalogs: Hypervisoren, Netzwerkgeräte, Datenbanken und SaaS-Konsolen, die nie in die IGA-Lösung aufgenommen wurden.
- Lieferanten: Externe, die mit erhöhten Rechten arbeiten, oft über Konten, die Sie nicht selbst angelegt haben.
- Notfallzugriff: Break-Glass-Konten, an einer Stelle dokumentiert und an einer anderen erprobt, falls sie überhaupt erprobt wurden.
- Kein Prozess: Konten werden manuell von denen angelegt, die sie brauchen, und von niemandem stillgelegt.
Der Unterschied zwischen IGA und PAM
PAM verändert den Alltag derer, die unter Druck stehen
Ein IGA-Projekt verändert, wie Zugriffe bestellt und genehmigt werden. Ein PAM-Projekt verändert, wie Ihre Administratoren arbeiten, jeden Tag, auch um drei Uhr nachts während eines Vorfalls. Ist der Weg durch die PAM-Lösung langsamer als der Vorfall, gehen die Leute daran vorbei, und Sie stehen mit einem teuren Produkt und denselben dauerhaften Rechten da.
Deshalb widmet PAM Ready dem Arbeitsablauf genauso viel Zeit wie der Technik. Wir sprechen mit denen, die die privilegierten Konten tatsächlich nutzen, und bauen ein Modell, mit dem sie leben können, bevor ein Produkt gewählt wird.
Das klären wir mit dem Betrieb
- Geschwindigkeit: wie schnell eine Erhöhung stehen muss und wer sie außerhalb der Arbeitszeit genehmigen kann.
- Notfallzugriff: wie Break-Glass aussieht, wo es aufbewahrt wird und wann es zuletzt erprobt wurde.
- Ausnahmen: die Systeme, die sich nicht hinter eine PAM-Lösung stellen lassen, und was Sie stattdessen tun.
- Widerstand: wo in der Organisation er entsteht und was nötig ist, um ihm zuvorzukommen.
Unsere größte Stärke
Die PAM-Lösung gehört unter die Steuerung von IGA, nicht daneben
Eine PAM-Lösung löst die Aufbewahrung. Sie sagt nichts darüber, wer ein privilegiertes Konto bekommen darf, warum es angelegt wurde und wer es schließt, wenn die Person die Rolle wechselt oder geht. Ohne Prozess wird sie selbst zu dem unübersichtlichen Katalog, den sie aufräumen sollte.
Wir koppeln IGA und PAM, sodass das privilegierte Konto denselben Lebenszyklus erhält wie alles andere: bestellt, genehmigt, angelegt, genutzt und stillgelegt nach einem Prozess, der sich dokumentieren lässt. Das haben wir für mehrere dänische Organisationen aus Finanzwesen, kritischer Infrastruktur und gemeinsamem IT-Betrieb gebaut, und darin sind wir im PAM-Bereich am stärksten.
Unser Beitrag zur Lebenszyklusverwaltung privilegierter Konten erläutert den Gedanken ausführlich.
Unsere IGA-LösungenDas bauen wir
- Persönliches Administratorkonto: in IGA bestellt und genehmigt, automatisch angelegt und direkt in die PAM-Lösung gelegt. Genutzt wird es, ohne dass das Kennwort je bekannt wird.
- Servicekonten: dasselbe Muster, mit benanntem Eigentümer, Zweck und Ablaufdatum, damit sie das Projekt nicht überleben, für das sie entstanden sind.
- Lebenszyklus des Servers: Wird ein neuer Server angelegt, entsteht automatisch ein Safe mit den gemeinsamen Konten des Servers und den Konten, die andere Systeme brauchen, etwa Ihre CMDB.
- Stilllegung: Offboarding von Menschen, Servicekonten und Servern. Die Rolle verschwindet in IGA, das Konto verschwindet in der PAM-Lösung, ohne dass jemand daran denken muss.
Ohne Prozess
Wer schließt das privilegierte Konto?
Die Frage klingt klein und entscheidet, ob die PAM-Investition trägt. Gibt es keinen Prozess für die Stilllegung, passieren vier Dinge, und sie passieren langsam genug, dass sie unterwegs niemand bemerkt.
- Die Zahl wächst: Konten aus abgeschlossenen Projekten, von ausgeschiedenen Mitarbeitenden und von stillgelegten Servern bleiben liegen, weil das Anlegen leicht war und das Entfernen die Zusatzarbeit von jemandem ist.
- Die Revision kommt zurück: Sie haben die Lösung gekauft, um Kontrolle über privilegierten Zugriff nachzuweisen. Können Sie nicht zeigen, wann ein Zugriff entfernt wurde, stehen Sie schlechter da als vorher, weil die Erwartung nun höher ist.
- Die Rezertifizierung wird zur Unterschrift: Wenn niemand sagen kann, warum ein Konto angelegt wurde, wird es erneut genehmigt, weil das der sichere Ausweg ist.
- Die Angriffsfläche verschiebt sich: Ein vergessenes Konto trägt weiterhin seine Rechte, und es liegt jetzt an einer Stelle zusammen mit allen anderen.
So funktioniert es
Vier Phasen, eine Entscheidungsgrundlage
Das Vorgehen enthält keine Marktevaluierung. Dafür geht es tief in die technische Umgebung und in die Prozesse darum herum. Der Umfang wird vereinbart, bevor wir beginnen, damit Sie den Rahmen kennen.
- Erfassung
Wir finden die privilegierten Konten und Zugriffe über Domäne, Clients, Server, Cloud, Netzwerk, Datenbanken und die SaaS-Konsolen mit eigenen Administratoren hinweg. Haben Sie bereits eine PAM-Lösung, erfassen wir auch diese.
- Risikobewertung
Jeder Zugriff wird danach bewertet, was er erreichen kann, wie viele ihn haben und wie lange er offen steht. Das Ergebnis ist eine geordnete Liste statt eines Alarms.
- Lebenszyklus und Zielbild
Wie privilegierte Konten künftig angelegt, genehmigt, genutzt und stillgelegt werden, wer jeden Schritt verantwortet und was sich aus IGA automatisieren lässt.
- Etappenplan
Was Sie in den ersten drei Monaten ohne Anschaffung tun, was ein Produkt erfordert und was der Weg ans Ziel kostet.
Die Ergebnisse
Was Sie danach in der Hand haben
Die Kontenübersicht
Ein dokumentiertes Bild der privilegierten Konten und Zugriffe mit Eigentümer, Zweck und letzter Nutzung, in einem Format, mit dem die Revision arbeiten kann.
Das Lebenszyklusmodell
Wie ein privilegiertes Konto entsteht und wieder verschwindet, wer genehmigt und was sich aus Ihrer IGA-Lösung automatisieren lässt.
Der Etappenplan
Eine priorisierte Reihenfolge mit den frühen Gewinnen zuerst und eine Grundlage für die Entscheidung, ob jetzt ein Produkt gekauft werden soll.
Ohne Anschaffung
Vieles lässt sich schließen, bevor überhaupt ein Produkt gewählt wird
Für eine Microsoft-lastige Organisation sind die ersten Schritte selten eine neue Plattform. Lokale Administratorrechte auf den Clients zu entfernen, Windows LAPS einzuführen und Entra ID PIM für die wichtigsten Rollen einzurichten, schließt einen großen Teil des Risikos mit dem, wofür Sie ohnehin zahlen.
Wir sagen das im Etappenplan deutlich. Wird eine eigentliche PAM-Lösung später nötig, ruht die Entscheidung auf einer Grundlage, die Sie selbst erklären können, und Sie haben vorher aufgeräumt, statt Unordnung zu systematisieren.
Unsere Microsoft-LösungTypische frühe Gewinne
- Lokale Rechte: Administratorrechte auf den Clients entfernt.
- Rotation: Kennwörter lokaler Administratoren automatisch rotiert.
- Zeitliche Begrenzung: die kritischsten Rollen in Entra ID nur dann zugewiesen, wenn sie gebraucht werden.
- Lieferantenzugriffe: an einer Stelle gesammelt, mit benanntem Eigentümer.
- Notfallzugriff: dokumentiert und erprobt.
Unsere Haltung
Das gefährlichste Konto in Ihrer Umgebung ist das, an dessen Eigentümer sich niemand erinnert.
Privilegierte Konten entstehen selten aus Versehen. Sie werden vergessen und bleiben bestehen, lange nachdem die Aufgabe erledigt ist.
Bevor Sie Sitzungen aufzeichnen
Die Überwachung privilegierter Arbeit ist eine Angelegenheit des Arbeitsverhältnisses
Sitzungsaufzeichnung ist eines der stärksten Werkzeuge in PAM und zugleich das, was ein Projekt am häufigsten spät zum Kippen bringt. Der Bildschirm einer Administratorin oder eines Administrators aufzuzeichnen, ist eine Verarbeitung personenbezogener Daten und muss entsprechend behandelt werden.
- Sachlicher Zweck: Es braucht eine Begründung, die sich aufschreiben lässt und trägt, und der Umfang muss dem Zweck entsprechen.
- Informationspflicht: Die Mitarbeitenden müssen wissen, was aufgezeichnet wird, warum und wer es einsehen kann.
- Mitbestimmung: In vielen Unternehmen führt der Weg über den Betriebsrat, und dafür sollten Sie von Anfang an Zeit einplanen.
- Aufbewahrung: Wie lange Aufzeichnungen gespeichert werden und wer Zugriff darauf hat, entscheiden andere als die, die das System betreiben.
Warum IAM Group
Wir kommen von der Governance-Seite des Themas
- Wir koppeln PAM an IGA. Die Lebenszyklusverwaltung privilegierter Konten haben wir bei mehreren Kunden gebaut, und genau dieser Teil fehlt den meisten PAM-Projekten.
- Produktunabhängig im Vorgehen. Der Etappenplan folgt Ihrem Risiko, nicht dem, was wir am liebsten liefern würden.
- Wir sagen es, wenn Sie noch nichts kaufen sollten. Liegt in dem, was Sie schon haben, etwas Naheliegendes, steht es zuerst im Plan.
- Ergebnisse, die für sich stehen. Die Kontenübersicht hat Wert für Ihre nächste Revision, ob ein Projekt folgt oder nicht.
FAQ
Häufig gestellte Fragen
Wie lange dauert ein Vorgehen?
Das schwankt stark damit, wie viele Systeme erfasst werden müssen und wie verfügbar die Daten sind. Genau deshalb vereinbaren wir zuerst den Umfang und geben ein konkretes Angebot, bevor Sie zusagen.
Brauchen wir bereits eine PAM-Lösung?
Nein. Das Vorgehen ist sowohl für die gedacht, die keine haben, als auch für die, deren Lösung nur einen Teil der Umgebung abdeckt.
Wir haben bereits eine PAM-Lösung. Was bringt uns das?
Oft am meisten. Ist sie ohne Prozess für Anlage und Stilllegung eingerichtet, liegen dort meist Konten, die niemand erklären kann, und es fehlt die Verbindung zu Ihrer IGA-Lösung.
Endet es damit, dass Sie ein bestimmtes Produkt empfehlen?
Nein. Es endet mit einem Etappenplan und einer Entscheidungsgrundlage. Weist diese auf ein Produkt hin, unterstützen wir gern bei der Auswahl.
Was erfordert es von uns?
Zugang zu einer Systemadministration, jemandem aus der Sicherheit und jemandem aus dem Betrieb sowie die Möglichkeit, Daten aus den erfassten Systemen zu ziehen.
Können Sie auch die Implementierung liefern?
Wir bauen die Lebenszyklusverwaltung zwischen IGA und PAM, und wir implementieren One Identity Safeguard mit zertifizierten Spezialisten. Auf anderen Plattformen arbeiten wir mit Ihrem eigenen Lieferanten zusammen.
Wie passt das zu einem IGA-Projekt?
Eng. Die privilegierten Konten gehören in dieselbe Governance wie alles andere, und ihre Bestellung erfolgt am besten in IGA. Läuft bereits ein IGA-Vorhaben, wird die Kontenübersicht direkt weiterverwendet.
Was kostet es?
Die Abrechnung erfolgt nach Aufwand. Wir geben ein konkretes Angebot nach einem ersten Gespräch, damit Sie den Rahmen kennen, bevor Sie beginnen.
Wissen Sie, was in Ihrer Umgebung Macht hat?
Ein unverbindliches Gespräch ist der schnellste Weg, um herauszufinden, wie groß die Erfassung wird und was sich sofort schließen lässt.