Stellen Sie sicher, dass nur diejenigen Zugriff haben, die ihn benötigen.
Rapid7 Cloud Risk CompleteDas Least-Privilege-Prinzip ist in der Cybersecurity-Community auch als Least Privilege Access (LPA) bekannt. Dieses Konzept aus der Welt der Sicherheit legt im Wesentlichen fest, dass es ein Mindestmaß an Privilegien bzw. Zugriff für jede Entität (menschliche Nutzer oder automatisierte Prozesse, die die Erlaubnis zur Nutzung einer Anwendung benötigen) gibt – und dieses zudem mit den Risikozielen der Organisation in Einklang steht.
Unter „Privilege Creep“ (auch Ausweitung von Privilegien) versteht man den Prozess, bei dem die Kontrolle über die Anzahl der Berechtigungen verloren geht, die ein bestimmter Nutzer für seine Arbeit oder für die Erledigung einer Aufgabe besitzt. Einfach ausgedrückt: Wenn ein Nutzer den Zugriff auf eine bestimmte Anwendung nicht mehr benötigt, um seine Arbeit zu erledigen, dann sollte diese Berechtigung entzogen werden, um eine möglichst sichere Umgebung zu erhalten.
Unter Umständen erhalten bestimmte Nutzer mehr Berechtigungen und höhere Zugriffsebenen, als ihre aktuelle Funktion oder Verantwortung eigentlich rechtfertigt. Das kann passieren, wenn beispielsweise Berechtigungen für den Zugriff auf Ressourcen für einen zeitlich begrenzten Arbeitsauftrag erteilt werden, aber anschließend nach Abschluss des Auftrags nicht wieder entzogen werden.
Ebenso könnte eine Änderung der beruflichen Verantwortlichkeiten zu einer Anhäufung von Privilegien und Berechtigungen führen, welche die Person nicht mehr benötigt. Die Automatisierung von LPA kann dazu beitragen, Herausforderungen wie die Ausweitung von Privilegien zu bewältigen und auch folgende Faktoren zu adressieren:
Das Konzept von Zero Trust basiert in erster Linie auf verschiedenen Verifizierungsmethoden. In diesem Sicherheitsszenario wird es einem Nutzer niemals möglich sein, einfach Zugriff zu erhalten, ohne sich einer Verifizierungsprüfung zu unterziehen. Die gängigste Art von Verifizierungstechnologie ist die Multi-Faktor-Authentifizierung (MFA). Dies geschieht in der Regel durch die Eingabe eines Hardwareschlüssels, den Empfang einer authentifizierenden Textnachricht und/oder die Eingabe eines einmaligen Codes, um Zugriff zu erhalten.
Least Privilege hingegen ist ein Verfahren, bei dem ein Nutzer von Natur aus vertrauenswürdig ist und für die Dauer des Zugriffs auf die Anwendung oder das Programm verifiziert wird – d. h. er muss keine Sicherheitsüberprüfung durchlaufen, um Zugriff zu erhalten.
LPA ist wichtig, weil es dazu beiträgt, ein Netzwerk so sicher wie möglich zu halten. Dies geschieht durch die Begrenzung der Anzahl der Berechtigungen, die Netzwerknutzer für ihre Arbeit benötigen. Auf diese Weise erhält ein bestimmter Nutzer zwar keine übermäßigen Berechtigungen, aber es ist oft verständlich, wie er sie erhalten konnte.
Netzwerkumgebungen, insbesondere in großen Unternehmen, sind oft extrem umfangreich. Somit ist es nicht immer einfach, die genauen Berechtigungen zu kennen, die Nutzer benötigen. Wenn Sie nicht genau wissen, welche Berechtigungen ein neuer Benutzer auf lange Sicht benötigt, kann die Bereitstellung von zusätzlichen Berechtigungen für den Fall, dass er diese in der Zukunft benötigt, sinnvoller sein.
Wenn das System – oder das Endgerätt – eines Benutzers kompromittiert wird, hat ein Angreifer Zugriff auf alle unnötigen eskalierten Berechtigungen des Benutzers. Dies könnte es dem Angreifer ermöglichen, potenziell einen Ransomware-Angriff durchzuführen, indem er gestohlene Berechtigungen nutzt, um von System zu System zu springen, so dass er das Netzwerk leicht durchsuchen und die gewünschten Daten zum Verschlüsseln und Exfiltrieren finden kann.
Jedes Cybersecurity-Team hat mit der Ausweitung von Privilegien zu kämpfen. Dabei scheint es schwierig – wenn nicht gar unmöglich – zu sein, übermäßige Berechtigungen in großem Umfang erfolgreich zu verwalten. Jede Lösung für dieses Problem muss in der Lage sein, eine Baseline für die normale Aktivität zu schaffen. Und das wiederum kann durch die Verfolgung der tatsächlichen Aktivität über einen festgelegten Zeitraum erreicht werden.
Sobald eine Baseline festgelegt wurde, kann diese normale Aktivität mit den einer bestimmten Entität erteilten Berechtigungen korreliert werden. Anschließend können die Berechtigungen automatisch angepasst werden, um den LPA-Richtlinien der Organisation zu entsprechen.
LPA bietet zahlreiche Vorteile. Ein Identity- und Access-Management-Programm (IAM), eine breitere Kategorie für den Zugriff, unter die das Konzept LPA fällt, ist ein wichtiger Bestandteil jedes modernen Sicherheitsprogramms.
Ein entscheidender Vorteil der Einführung des Least-Privilege-Prinzips besteht darin, dass es die Angriffsfläche des Netzwerks einschränkt, ohne dabei die Produktivität wesentlich zu beeinträchtigen. Werfen wir einen Blick auf einige der anderen Vorteile eines Zugriffsmodells nach dem Least-Privilege-Prinzip:
Teams können LPA einrichten und verwalten, indem sie die Mindestprivilegien festlegen, die zur Erreichung der Risikovorgaben des Unternehmens benötigt werden. Darüber hinaus können sie auch Folgendes leisten:
LPA ist ein nie endender Prozess, der eine fortlaufende Bewertung der Berechtigungsstufen anhand der Rollen und Berechtigungen innerhalb der Organisation erfordert. Durch die Erkennung von privilegierten Konten und einige angeleitete Gegenmaßnahmen können CIEM-Tools (Cloud Infrastructure Entitlement Management ) Organisationen zu einer besseren Sicherheitslage verhelfen.