Anzeige

Zugriffskontrolle

Privilegierte Zugriffsrechte besitzen nicht nur IT-Administratoren oder Super-User, sie finden sich auch in Applikationen, Tools und Systemen. Diese nicht-menschlichen privilegierten Zugriffsrechte stellen eine erhebliche Gefahr für Unternehmensanwendungen und -daten dar.

Viele Unternehmen beachten die nicht-menschlichen Zugriffsrechte nicht oder nur unzureichend. Es geht dabei vor allem um Application Accounts oder technische Accounts, das heißt um die in Anwendungen, Skripten oder Konfigurationsdateien gespeicherten Zugangsdaten und Passwörter. Sie werden für den automatischen, authentifizierten Zugriff auf Backend-Systeme benötigt, etwa bei der Verbindung einer Anwendung zu einer Datenbank.

Die privilegierten Zugangsdaten sind in den Applikationen statisch hinterlegt und werden in der Regel nie geändert. Außerdem liegen sie meistens im Klartext oder in einer einfachen Verschlüsselung vor. Gelangt ein externer Angreifer oder auch böswilliger Insider in ihren Besitz, kann er unter Umständen die vollständige Kontrolle über die gesamte IT-Infrastruktur eines Unternehmens übernehmen.

Um dieses Sicherheitsrisiko zu beseitigen, müssen Unternehmen die in Skripten oder Konfigurationsdateien eingebetteten statischen Zugangsdaten eliminieren. Alle Anmeldeinformationen und vertraulichen Zugangsdaten sollten zentral gesichert, automatisch verwaltet und rotiert sowie dynamisch zur Laufzeit zur Verfügung gestellt werden. Damit wird die Sicherheit entscheidend erhöht.

Bei der Vermeidung beziehungsweise Beseitigung von dauerhaft hinterlegten Anmeldeinformationen sind verschiedene Vorgehensweisen möglich beziehungsweise erforderlich.

Erstens muss ein Unternehmen natürlich bei Neuentwicklungen konsequent auf eine hartkodierte Programmierung von Zugangsdaten verzichten. 

Zweitens können für klassische Applikationen wie SAP, Standardsysteme wie ServiceNow, Rapid7 oder Tenable und Application Server fertige Integrationslösungen genutzt werden; solche Lösungen stellt etwa CyberArk gemeinsam mit den Applikationsherstellern bereit. 

Drittens sollte ein Unternehmen bei selbstentwickelten Applikationen mit eigenständiger Logik die gegebenenfalls aufwendigeren Veränderungen in Abhängigkeit von einer Kritikalitäts- und Risikobewertung sukzessive in Angriff nehmen. Hier besteht oft die Möglichkeit, selbstgebaute Skripte mit klassischen Suchen-und-Ersetzen-Verfahren zügig zu überarbeiten. Allerdings sind vereinzelt durchaus auch umfangreiche Source-Code-Veränderungen erforderlich.

Konkret sollte ein Unternehmen bei der Beseitigung eingebetteter Anmeldeinformationen und konsistenten Verwaltung und Überwachung privilegierter Zugriffe drei verschiedene Ebenen berücksichtigen:

1. Applikationsebene

Auf der Applikationsebene sind die Applikation-zu-Applikation-Verbindungen zu beachten. Alle technischen Verknüpfungen zwischen Teilen einer Applikationslandschaft erfordern einen privilegierten Zugang für den Datenzugriff, auch wenn es nur um Lese- und nicht um Änderungsrechte geht. Solche Verbindungen bestehen etwa zwischen Applikation und Datenbank, zwischen Applikation und Middleware-Produkten oder auch direkt zwischen Anwendungen.

2. Toolebene

Auf Toolebene ist vor allem die Automation zu beachten, die in immer stärkerem Maße an Bedeutung gewinnt. Hier geht es um Lösungen wie Jenkins, Puppet, Chef, OpenShift oder auch RPA. Darüber hinaus gibt es weitere Tools, die über privilegierte Rechte bis hin zum Domain-Admin-Level verfügen: ein klassisches Beispiel sind Schwachstellen-Scanner.

3. Systemebene

Auf der technologischen Systemebene geht es um System-zu-System-Verbindungen, also um die in vielen Systemen vorhandenen Service-Accounts. Windows etwa verfügt über eine große Anzahl solcher Accounts, um Services im richtigen Kontext zu starten und zu stoppen und um eine Automation auf einem granularen Level zuzulassen.

Aus Sicherheitssicht führt an einer Verwaltung und Überwachung aller Anmeldeinformationen und vertraulichen Zugangsdaten, die von nicht-menschlichen Benutzern verwendet werden, kein Weg vorbei“, so Kleist. „Die Beseitigung fest programmierter Anmeldeinformationen und ihre Rotation gemäß definierter Richtlinien ist eine wesentliche Komponente eines stringenten Secrets-Management und damit für die Erhöhung der Unternehmenssicherheit von erheblicher Bedeutung.

Michael Kleist, Regional Director DACH
Michael Kleist
Regional Director DACH, CyberArk

Artikel zu diesem Thema

DDoS
Feb 23, 2021

Wenn die DoS-Attacke von innen kommt

Verteilte Architekturen für Web-Applikationen (µService-Architekturen) sind gefragt.…
Chatbot
Feb 22, 2021

RPA-Lösungen im Support

Robotic Process Automation (RPA) hat viele Anwendungsbereiche. Der b4 Bot von AmdoSoft…
Compliance
Feb 12, 2021

Management von Datenbank-Sicherheit und Compliance

Die nahezu flächendeckende Digitalisierung von Wirtschaft und Gesellschaft und nicht…

Weitere Artikel

Fingerabdruck

Biometrische Sicherheitsmethoden sind gefragt

Eine neue Studie von Software Advice, der Online-Plattform für die Auswahl von Unternehmenssoftware, untersucht die Akzeptanz und Nutzung von biometrischen Authentifizierungsmethoden in Deutschland.
Digital Identity

Zahl digitaler Identitäten steigt

One Identity, ein Unternehmen im Bereich einheitlicher Identitätssicherheit, hat die Ergebnisse seiner Umfrage veröffentlicht. Sie zeigen, dass die Zahl digitaler Identitäten auf globaler Ebene erheblich zunimmt.
Login

Passwortlose PC-Anmeldung ist oft nur Augenwischerei

Microsoft verzichtet künftig auf Passwörter – so lautet eine aktuelle Schlagzeile. Schön und gut, aber das wird für die meisten Anwender wohl ein reines Marketingversprechen bleiben, meint Jochen Koehler, Leiter der Region Zentraleuropa bei HYPR.

Anzeige

Jetzt die smarten News aus der IT-Welt abonnieren! 💌

Mit Klick auf den Button "Zum Newsletter anmelden" stimme ich der Datenschutzerklärung zu.