Best Practices für Privileged Access Management

Privileged Access Management (PAM)

Best Practices für Privileged Access Management (PAM) haben sich im Laufe der Zeit weiterentwickelt, um die Sicherheit zu erhöhen. Traditionell unterhielten Organisationen Dutzende oder sogar Hunderte von privilegierten Konten, um Administratoren die Durchführung wesentlicher Aufgaben zu ermöglichen. Diese privilegierten Anmeldeinformationen stellen ein ernsthaftes Sicherheitsrisiko dar, da sie von ihren Besitzern missbraucht oder von Angreifern übernommen werden können.

Um das Risiko zu verringern, konzentrierten sich PAM-Tools zunächst darauf, diese Konten mit Techniken wie Credential Vaults abzusichern, was zu komplexen und endlosen Verwaltungskämpfen führte. Modernes Privileged Access Management verfolgt einen völlig anderen Ansatz: Ständige Berechtigungen werden durch Just-in-Time-Berechtigungen ersetzt, die nur so viel Zugang gewähren, wie zur Durchführung einer bestimmten Aufgabe erforderlich ist, und das auch nur so lange wie nötig. Diese Strategie reduziert Sicherheitsrisiken und Verwaltungsaufwand gleichzeitig.

Best Practices für traditionelles Privileged Access Management

Organisationen, die den traditionellen Ansatz für Privileged Access Management verfolgen, müssen viele Best Practices umsetzen, um zu versuchen, ihre zahlreichen privilegierten Konten zu sichern, einschließlich der folgenden:

• Führen Sie ein Inventar aller Privileged Accounts. Das Inventar sollte den Eigentümer jedes Privileged Accounts, dessen Kontaktdaten und dessen Hauptstandorte im Büro identifizieren, sowie alle Zugriffsrechte, die das Konto besitzt. Stellen Sie sicher, dass Sie alle folgenden Arten von Konten einschließen:
  • Alle Mitglieder mächtiger Active Directory-Gruppen wie Domain Admins und Enterprise Admins
  • Alle Root-Konten für "*nix"-Server
  • Alle Systemadministratoren für Ihre Mainframe-Systeme, Datenbanken und Schlüsselanwendungen
  • Alle Systemadministratoren für Ihre Netzwerkgeräte wie Firewalls, Router und Telefonschalter
  • Alle Dienstkonten, die erweiterten Zugriff auf Daten, Ressourcen und Infrastruktur haben
  • Privilegierte Konten jenseits Ihrer Firewall, einschließlich derer, die mit sozialen Medien, SaaS-Anwendungen, Partnern, Auftragnehmern und Kunden verbunden sind
  • Cloud-basierte Privileged Accounts, wie jene für das Management von Microsoft Entra (ehemals Azure Active Directory)
• Überprüfen Sie regelmäßig die Privileged Access Rights.Halten Sie Ihr Inventar an privilegierten Konten aktuell, indem Sie es mindestens einmal im Monat überprüfen. Entfernen Sie umgehend alle nicht benötigten privilegierten Konten und alle nicht benötigten Berechtigungen für verbleibende Konten und dokumentieren Sie alle Änderungen detailliert.
• Erlauben Sie es Administratoren nicht, Konten zu teilen. Diese Best Practice für das Management von privilegierten Konten hält Administratoren für ihre Handlungen verantwortlich, indem jedem Einzelnen ein separates privilegiertes Konto zugewiesen wird. Verwenden Sie das Standard-Administrator-, Root- und ähnliche Konten nur, wenn es unbedingt notwendig ist; es ist besser, sie umzubenennen oder zu deaktivieren.
• Minimieren Sie die Anzahl der Privileged Accounts. Idealerweise sollte jeder Administrator nur einen Privileged Account für alle Systeme haben.
• Erstellen Sie eine Passwortrichtlinie und setzen Sie diese strikt durch.Befolgen Sie die besten Praktiken für Passwörter, einschließlich der folgenden:
  • Ändern Sie das Passwort auf jedem Gerät, damit Sie kein Standard- oder temporäres Passwort verwenden.
  • Vermeiden Sie die Verwendung von fest programmierten Passwörtern in Anwendungen und Geräten.
  • Erfordern Sie, dass Passwörter für privilegierte Konten regelmäßig geändert werden, um das Risiko zu verringern, dass ausscheidende Mitarbeiter Ihre Systeme gefährden.
• Erfordern Sie Multifaktor-Authentifizierung (MFA) für Privileged Accounts. Zu den Optionen gehören Hard Tokens, Soft Tokens, Push-to-Authenticate/Approve, Near-Field Communication Bluetooth Beacons, GPS/Standortinformationen und Fingerabdrücke. Ein Passwort allein reicht nicht aus.
• Begrenzen Sie die Berechtigungen für jedes Privileged Account. Nur wenige Privileged Accounts sollten vollen Zugriff auf alles haben. Um das Risiko zu minimieren, sollten Sie beide der folgenden Schlüsselprinzipien durchsetzen:
  • Trennung der Aufgaben: Kein Mitarbeiter kann alle privilegierten Aktionen für ein bestimmtes System oder eine Anwendung ausführen. Dies stellt sicher, dass keine einzelne Person alle Befugnisse hat.
  • Least privilege: Jeder Benutzer erhält nur die absolut notwendigen Privilegien, die zur Ausführung seiner Arbeit erforderlich sind. Dies begrenzt den Schaden, den ein Benutzer absichtlich oder versehentlich anrichten kann, sowie die Macht, die ein Angreifer durch Kompromittierung des Kontos erlangen würde.

Nützliche Strategien zur Begrenzung von Berechtigungen umfassen das Delegieren von Berechtigungen in Active Directory und das Einrichten von rollenbasierte Zugriffskontrolle (RBAC) für jedes System, das Sie verwenden.

• Befolgen Sie die Best Practices für die Privilegienerhöhung. Wenn Benutzer zusätzliche Zugriffsrechte benötigen, sollten sie einem dokumentierten Anforderungs- und Genehmigungsprozess folgen, entweder auf Papier oder durch Verwendung eines Tickets in einem Privileged Access Management-System. Nach Genehmigung sollten die Privilegien des Benutzers nur für den Zeitraum erhöht werden, der erforderlich ist, um die angegebene Aufgabe auszuführen. Ebenso sollte ein IT-Administrator sein privilegiertes Konto nur dann verwenden, wenn er die erweiterten Berechtigungen für eine bestimmte Aufgabe benötigt; andernfalls sollte er sein reguläres Konto verwenden.
• Protokollieren Sie alle privilegierten Aktivitäten. Um das Risiko kostspieliger Datenverletzungen und Ausfallzeiten zu reduzieren, seien Sie wachsam bezüglich der Aktionen, die privilegierte Benutzer durchführen, indem Sie eine Vielzahl von Protokollierungs- und Überwachungstechniken verwenden. Aktivieren Sie die Protokollierung für Firewalls, Netzwerkzugangskontrollwerkzeuge und andere Systeme, die den Zugang zu Systemen einschränken – insbesondere kritische Systeme wie Ihr Intrusion Detection System (IDS) und Identity and Access Management (IAM)-Lösung. Sie sollten auch die Systemprotokollierung für Anmelde-/Abmeldeereignisse und andere Aktionen, die privilegierte Benutzer durchführen, aktivieren.
• Implementieren Sie die Überwachung privilegierter Aktivitäten und Benachrichtigungen. Sie benötigen auch eine Echtzeitüberwachung der Aktivitäten privilegierter Benutzer und die Fähigkeit, geeignete Mitarbeiter über kritische Aktionen zu alarmieren. Das Erstellen dieser Benachrichtigungen erfordert, dass die Informationen in den Protokollen klar und verständlich sind; dies ist für viele Computerplattformen nicht nativ verfügbar, aber Sie können diese Informationen von Drittanbieter-IT-Audit-Software erhalten.
• Analysieren Sie das Risiko jedes privilegierten Benutzers.Bewerten Sie regelmäßig das Risiko, das jeder privilegierte Benutzer darstellt, und konzentrieren Sie sich zuerst auf die Untersuchung und Sicherung der riskantesten Konten.
• Bilden Sie Benutzer.Jeder — nicht nur Administratoren, sondern alle Benutzer — sollte wissen, wie man privilegierte Anmeldeinformationen richtig verwaltet und verwendet. Geben Sie Ihrem Personal die Informationen, die es zum Erfolg braucht, und stellen Sie sicher, dass sie über relevante Richtlinien und Verfahren informiert werden, wann immer sich ihre Verantwortlichkeiten ändern.
• Dokumentieren Sie Ihre Richtlinien und Praktiken zum Account-Management.Zuletzt, aber ebenso wichtig, stellen Sie sicher, dass Ihre Regeln und Prozesse ausdrücklich schriftlich festgehalten und vom Managementteam unterschrieben sind, damit alles klar und durchsetzbar ist. Dies ist besonders wichtig, wenn es um Compliance geht.

Modernes Privileged Access Management

Streng alle diese Best Practices für Dutzende oder Hunderte von Privileged Accounts zu befolgen, ist eine enorme Herausforderung. Darüber hinaus, selbst wenn es Ihnen gelingt, dieses Ziel zu erreichen, bleibt immer noch eine große Angriffsfläche bestehen, da jedes existierende Privileged Account das Risiko birgt, von einem Angreifer übernommen oder vom Eigentümer missbraucht zu werden.

Betreten Sie das dritte Generation von Privileged Access Management. Dieser moderne Ansatz beinhaltet die folgenden Praktiken:

• Durchsetzung von Zero Standing Privilege (ZSP).Wo immer möglich, ersetzen Sie dauerhafte Privilegien durch Just-in-Time Privilegien, um genau den notwendigen Zugang für die anstehende Aufgabe zu gewähren und die Privilegien unmittelbar danach zu entfernen. ZSP minimiert das Risiko, dass privilegierte Anmeldeinformationen von Insidern missbraucht oder von Angreifern kompromittiert werden.
• Implementieren Sie Genehmigungen für Privileged Session-Anfragen. Für die meisten kritischen Aufgaben sollte es einen Genehmigungsworkflow geben, bei dem die Privileged Session-Anfrage von entsprechendem Personal genehmigt oder abgelehnt werden muss. Mit der richtigen Privileged Access Management-Lösung können Sie einfach einen Workflow einrichten, der sowohl effektiv als auch bequem ist.
• Halten Sie eine Überwachungsspur und Aufzeichnungen für alle privilegierten Sitzungen aufrecht.Organisationen müssen alle Aktionen verfolgen, die Administratoren durchführen. Einige moderne Privileged Access Management-Lösungen bieten sowohl Echtzeitüberwachung der Aktivitäten privilegierter Benutzer als auch Sitzungsaufzeichnungs- und Wiedergabefunktionen.

Nächster Schritt: Reduzieren Sie Ihre Angriffsfläche mit der Netwrix Privileged Access Management Lösung

Die Privileged Access Management-Lösung von Netwrix hilft Ihnen dabei, Ihre sensiblen Daten und kritischen Systeme zu schützen und die Einhaltung von Branchen- und Regierungsvorschriften zu gewährleisten. Sie ermöglicht es Ihnen, Ihre riskanten dauerhaften Berechtigungen einfach durch zeitgerechte Berechtigungen zu ersetzen, die genau den für die Aufgabe erforderlichen Zugang bieten — ohne die Produktivität der Administratoren zu beeinträchtigen. Sie können schnell Anforderungs-/Genehmigungsworkflows einrichten, die das Erreichen von Zero Standing Privilege einfach und bequem machen. Darüber hinaus führt die Netwrix PAM-Lösung ein detailliertes Audit-Protokoll aller Aktivitäten von privilegierten Konten, alarmiert Sie sofort über verdächtiges Verhalten, damit Sie schnell reagieren können, und ermöglicht die einfache Wiedergabe aufgezeichneter privilegierter Sitzungen, um Untersuchungen zu erleichtern und Verantwortlichkeit durchzusetzen. 

Im Allgemeinen ist die Netwrix PAM-Lösung einfach zu implementieren und zu verwenden, mit einer benutzerfreundlichen Oberfläche und anpassbaren Dashboards. Und sie ist skalierbar, um den Anforderungen Ihrer Organisation heute und in der Zukunft gerecht zu werden, was den Weg für eine strenge Sicherheit ebnet.