Privileged Identity Management (PIM): Accounts absichern

IT-DIRECTOR: Herr Rohr, welche Arten von privilegierten Accounts gibt es?
S. Rohr: Im Allgemeinen wird zwischen drei Typen von privilegierten Accounts unterschieden:

• Administrative Accounts (Lokal oder Domain Level)
• Application Accounts für die Verbindung, Identifizierung und Authentifizierung einer Applikation bei einer anderen
• Service Accounts (Lokal oder Domain Level) für die Ausführung von geplanten Aufgaben oder Services innerhalb eines definierten Sicherheitskontextes

IT-DIRECTOR: Diese Benutzerkonten werden zunehmend als Einfallstor für Datensabotage oder -diebstahl missbraucht. Welche Maßnahmen gilt es zu ergreifen?
S. Rohr: Bei der Verwaltung von privilegierten Accounts sind hohe Sicherheitsstandards anzuwenden. Dies beinhaltet u.a. die Verwendung von starken kryptografischen Passwörtern, die regelmäßige Änderung dieser Passwörter sowie Aufzeichnungsmethoden um privilegierte Zugriffe aufzeichnen und nachvollziehen zu können. Daher sollte der Zugriff auf Privilegien und Systeme durch eine zentrale Privileged Access Management (PAM) Lösung erfolgen.

IT-DIRECTOR: Welche Funktionalitäten sollte eine Sicherheitslösung im Bereich Privileged Management bieten?
S. Rohr: Eine Sicherheitslösung im Bereich des Privileged Management sollte die folgenden Parameter erfüllen:

• Kontrolle darüber wer wann wie und worauf zugreifen kann und darf
• Eine ausführliche Reporting-Komponente, die ein detailliertes Auditing aller Aktionsresultate ermöglicht
• Eine Monitoring-Komponente, welche auf verschiedene Art und Weise Aktionen der Nutzer auf überwachten Systemen aufzeichnen kann

IT-DIRECTOR: Wie lässt sich sicherstellen, dass Mitarbeiter nur die Rechte erhalten, die für ihren Tätigkeitsbereich erforderlich sind?
S. Rohr: Aktuelle Sicherheitslösungen können durch eine zentrale Nutzerverwaltung automatisch Nutzer importieren und diese in produktinterne Nutzergruppen unterteilen. Durch dieses Vorgehen können Nutzer den Zugriff auf vordefinierte Privilegien beantragen. Der Antrag wird abhängig von den Sicherheitsrichtlinien für die Gruppe automatisch genehmigt oder muss vorher durch entsprechend autorisiertes Personal genehmigt werden. Dieses Vorgehen erlaubt es Unternehmen exakt zu bestimmen, für welchen Mitarbeiter welche Systeme sichtbar sind und für welche Privilegien auf dem Systeme Zugriff beantragt werden kann.

IT-DIRECTOR: Welche Auswirkungen haben Cloud-Services auf die sichere Verwaltung privilegierter Accounts?
S. Rohr: Cloud-Services operieren eine hohe Anzahl an (typischerweise virtuellen) Servern. Daher müssen Zugriffe auf privilegierte Accounts auf den Host Servern, innerhalb der VMs, auf Applikations- und Datenbankservern sowie auf Netzwerkgeräten verwaltet werden. 

IT-DIRECTOR: Geben Sie drei Tipps, die Großunternehmen im Zusammenhang mit Privileged Identity Management (PIM) bzw. Privileged Account Management (PAM) berücksichtigen sollten.
S. Rohr:

1. Sicher stellen, dass die Passwörter aller privilegierten Accounts regelmäßig (mindestens pro Woche) geändert werden. Für nicht-änderbare Passwörter (z.B. des Standard Domain Administrator Account) sollten entsprechende Sicherheitsrichtlinien und hohe Zugriffs-Barrieren existieren.
2. Sicher stellen, dass jederzeit Informationen über den Zugriff auf privilegierte Accounts abgerufen werden können.
3. Sicher stellen, dass die Passwörter aller privilegierter Accounts strikten Security Policies unterworfen sind. Wird mit einer PIM-Lösung gearbeitet, sollte diese Lösung die Eingabe von Passwörtern durch die Administratoren möglichst vermieden werden.