Ein identitätszentrierter Ansatz für PAM
Worauf man bei einer zukunftsfähigen PAM-Lösung achten sollte
Unternehmen sollten einen identitätszentrierten Ansatz verfolgen, um Sicherheit und Governance im gesamten IAM-Spektrum, einschließlich PAM, zu gewährleisten
Von: Alan Radford, One Identity
Bevor es Privileged Access Management (PAM) gab, konnte man leicht den Eindruck gewinnen, dass praktisch jeder die Möglichkeit hatte auf privilegierte Konten zuzugreifen. Dabei wurde kaum darauf geachtet, wer wann auf was zugreift und welche Aktivitäten mit den betreffenden Zugriffsberechtigungen verbunden sind. Mit der steigenden Zahl von Datenschutzverletzungen und hinreichend komplexen Compliance-Vorgaben wurde schnell klar, dass manuelle Prozesse und hausgemachte Ansätze für das Privileged Access Management an ihre Grenzen gekommen sind.
Privileged Access Management der ersten Generation begann mit Lösungen zur Kennwortverwaltung, dem Zuweisen (Delegation) von Berechtigungen und damit, einige Möglichkeiten zur Benutzer- und Passwort Verwaltung von Unix in Active Directory einzubeziehen. Kurze Zeit später kam Sitzungs-Management dazu und schließlich weitere Analysefunktionen. Diese Lösungen funktionierten zwar, aber sie wurden von den verschiedenen Anbietern mit unterschiedlichem Fokus separat entwickelt. Jeder dieser Ansätze ist oft nur auf eine spezielle Problemlösung hin optimiert und lässt andere Betrachtungsweisen außer Acht. Diese Lösungen waren folglich nicht kompatibel und nur schwer in bestehende Umgebungen und Geschäftsprozesse zu integrieren. Zudem berücksichtigte diese erste Generation die Arbeitsabläufe von Administratoren nur unzureichend und behinderte die Produktivität eher als sie zu fördern.
Auch aus geschäftlicher Perspektive betrachtet hat die erste Generation ihre Nachteile. Sie erlaubt keine Antwort auf die Frage, wer hat was, wann, wo und wie in unterschiedlichen Systemen getan. Die Folge: lückenhafte Compliance. Es sollte beispielsweise unmöglich sein, dass ein Anwender, der einen Auftrag genehmigt, gleichzeitig die Rechnung zur Bezahlung anweisen darf. Diese Problematik stellt sich insbesondere bei Administratoren, die erweiterten Zugriff auf ein System benötigen. Eine entsprechende Zugriffsanforderung erlaubt einem Administrator dann auch eine potenzielle Verletzung von Compliance-Auflagen. Denn hier liegt in der Regel kein Kontext zur Überprüfung der Rechtmäßigkeit des Zugriffs vor. Bewilligt wird die Anfrage aber dennoch.
Programm versus Projekt
Lösungen der ersten Generation verfolgen einen eher kurzfristigen, projektbasierten PAM-Ansatz statt einer ganzheitlichen, programmbasierten Sicht. Kein Wunder also, dass man sich mit der nächsten Generation von separaten Punktlösungen unterschiedlicher Anbieter verabschiedet hat und sich darauf konzentriert, so gut wie alle PAM-Anforderungen mit einer einzigen Lösung abzubilden. Heute findet man üblicherweise umfassende PAM-Portfolios eines einzelnen Anbieters. Sie beinhalten Kennwortverwaltung, Sitzungs-Management, Delegation von Berechtigungen in heterogenen Umgebungen, Analyse-Funktionen, Authentifizierung und schließlich Privileged Access Governance, die Königsdisziplin. Jede Komponente ist Teil eines einheitlichen Ganzen, und nicht wie früher eine Ansammlung von isolierten und funktional begrenzten Insellösungen.
PAM-Lösungen der nächsten Generation – praktisch betrachtet
Moderne PAM-Lösungen decken nicht nur einzelne Anforderungen, sondern den gesamten PAM-Prozess ab. Sie sind betriebsbereit und automatisierbar, dadurch einfach zu implementieren und in jede Umgebung und jeden Geschäftsprozess zu integrieren. Sie sollten so konzipiert sein, dass sie Administratoren bei ihrer Arbeit unterstützen. Gleichzeitig schaffen sie ein hohes Maß an Transparenz und reduzieren die Reibungsverluste, die für Lösungen der ersten Generation typisch waren. Sie wachsen mit den steigenden Unternehmensanforderungen, passen sich flexibel an sich verändernde Umgebungen, Geschäftsmodelle und Prozesse an.
Der Missbrauch von kritischen Accounts ist nicht auf die Informationstechnologie im engeren Sinne beschränkt, sondern kann überall auftreten und hat unter Umständen direkte und drastische Auswirkungen auf unser tägliches Leben. Privilegierte Accounts nicht zu schützen, ist schlicht und ergreifend Leichtsinn.
Im Wesentlichen sollten Sie bei PAM der nächsten Generation Ihr Augenmerk auf 5 Punkte richten:
Einfach zu implementieren
PAM-Lösungen der nächsten Generation sollten einfach zu implementieren, auf verschiedenste Art und Weise integrierbar sein und nur minimale Änderungen innerhalb der bestehenden Umgebung erfordern. Sie sollten von Grund auf sicher konzipiert sein und damit die bekannten Probleme der der ersten Generation vermeiden. Abgesicherte physische und virtuelle Appliances ermöglichen es Unternehmen, die Lösung in Betrieb zu nehmen, ohne zusätzliche Sicherungsmaßnahmen an der Lösung selbst durchführen zu müssen. Vergleichbar einer Blackbox im Flugzeug, an der niemand eine Änderung vornehmen kann. Solche Systeme können nicht kompromittiert werden, und die darin gespeicherten Informationen sind in höchstem Maße vertrauenswürdig. Dem Sicherheitspersonal sollte es möglich sein, Sitzungen zu überwachen, aufzuzeichnen und zu analysieren, ohne zusätzlichen Konfigurationsaufwand zu leisten, wie beispielsweise neue Systeme oder Benutzer hinzufügen zu müssen. Zusätzlich eingeführte Kontrollmechanismen sind so unmittelbar aktiv.
Darüber hinaus sollte man PAM-Lösungen der nächsten Generation auf Cloud-Plattformen wie AWS und Azure betreiben können.
Transparent und nahtlos integriert
PAM-Lösungen dieser Generation sollten unauffällig und intuitiv arbeiten, das sorgt für gesteigerte Akzeptanz beim Benutzer. Im Idealfall verwenden die Benutzer die gleichen Werkzeuge und Prozesse, wie vorher auch, ohne neue Anwendungen und Verfahrensweisen erlernen zu müssen. Auch die Integration in andere Prozesse, z.B. Genehmigungen für Zugriffe, erfolgt reibungslos über Mobiltelefone und Tablets, Ticketing-Systeme oder andere existierende Mechanismen. Zusätzliche Analysen liefern dem Unternehmen detaillierte Hintergrundinformationen zu Risiken und Bedrohungen, die sich zur Verbesserung des internen Sicherheitsmanagements (SIEM) verwenden lassen. Das hilft, potentielle Gefahren früher aufzudecken und zu vermeiden.
Betriebsbereitschaft und Automatisierbarkeit
Ein moderner PAM-Ansatz erlaubt es den Anwendern und Unternehmen, die bisherige Arbeitsweise beizubehalten. PAM lässt sich hierfür in DevOps-, IGA- (Identity Governance and Administration), IT Servicemanagement (ITSM) und RPA- (Robotic Process Automation)-Verfahren integrieren. Idealerweise sollte eine entsprechende Lösung über eine umfassende API verfügen, die eine Integration von Werkzeugen, Erweiterung von Prozessen und die Zusammenarbeit im Rahmen eines Privileged Access Management-Systems unterstützt. Ein marktgängiger Standard ist eine REST-API, die ebenfalls frei verfügbar als Open Source inklusive eines entsprechenden SDKs bereitgestellt wird.
Skalieren und transformieren – in Einklang mit den geschäftlichen Anforderungen
PAM der nächsten Generation sollte die weit verbreiteten hybriden Umgebungen sowie Cloud-Initiativen unterstützen. Dabei geht es nicht nur darum, aktuelle Probleme zu lösen, sondern gleichzeitig die Grundlage für die Lösung zukünftiger Herausforderungen zu schaffen. Moderne Lösungen wachsen mit den Bedürfnissen des Unternehmens. Sie sind erweiterbar, ohne betriebliche Prozesse oder die Infrastruktur zu beeinträchtigen. Generell unabhängig von On-Prem-, Hybrid- oder Cloud-Umgebungen ausgelegt, sind sie skalierbar und bieten zusätzlich SaaS-Dienste, Multifaktor-Authentifizierung, SaaS-App-Konnektivität und Governance.
Ein identitätszentrierter Ansatz für PAM
Unternehmen sollten einen identitätszentrierten Ansatz verfolgen, um Sicherheit und Governance im gesamten IAM-Spektrum, einschließlich PAM, zu gewährleisten. In vielen Unternehmen hat jeder Mitarbeiter einen Account in Active Directory. Für eine einheitliche Verwaltung erschient es sinnvoll, auch die privilegierten Accounts in Active Directory aufzunehmen. Da Accounts auch in anderen Systemen, z.B. UNIX, beheimatet sein können, müssen diese Accounts durch geeignete Lösungen, wie Active Directory Bridging, integriert werden. So lässt sich das Management von Standard-Accounts wie das von privilegierten Accounts über verschiedenste Systeme und Infrastrukturen hinweg vereinheitlichen. Alle Ressourcen sind unter einer Verwaltung zusammengefasst und die Accounts an dedizierte Identitäten gebunden. Damit wird die Vergabe von sogenannten Just-in-Time-Privilegien erst ermöglicht, was ein wichtiger Baustein auf dem Weg zu einem echten identitätsbasierten Privileged Access Management ist. Durch die Konsolidierung der Identitäten können die Berechtigungen für alle Ressourcen und sämtliche Accounts, einschließlich privilegierter Accounts, lückenlos beantragt, genehmigt und auditiert werden.
Fazit
Wer heute eine PAM-Lösung der nächsten Generation einführen will, sollte einen Anbieter wählen, der einen identitätszentrierten Sicherheitsansatz verfolgt, der ausreichend technologische Flexibilität bietet und der ohne tiefgreifende Änderungen an bestehenden Systemen und Prozessen auskommt. Mit dieser Empfehlung gewährleisten Unternehmen Sicherheit für sich, ihre Mitarbeiter und Kunden, und fördern gleichzeitig Geschäftsprozesse und Compliance und damit eine gesteigerte Produktivität bei geringeren Kosten.
Der Autor Alan Radford hat über zehn Jahren Erfahrung im Bereich Identity Access Management und ein erfahrener Experte für die beiden Bereiche Privileged Access Management und Governance. Radford hat mit Unternehmen weltweit zusammengearbeitet, um innovative und erfolgreiche IAM-Strategien voranzutreiben. (One Identity: ra)
eingetragen: 03.09.20
Newsletterlauf: 19.11.20
One Identity: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
