Kategorien
Allgemein

Zentrales Identitäts- und Zugangs-Management mit Zero Trust

Jede IT-Infrastruktur hat Sicherheitslücken

Die notwendige Erweiterung Ihrer vorhandenen IT-Prozesse um neue Service, die nicht Ihrem IT-Standard entsprechen, führt zu mehr Unübersichtlichkeit in der IT-Infrastruktur. Werden z.B. Security-Systeme Ihres eigenen Rechenzentrums (inhouse) und Ihrer Cloud-Anwendungen nicht als ganzheitliches Konstrukt behandelt, sind Sicherheitslücken wahrscheinlich.

Die davon betroffenen Datenbanken sind Ihre Schutzzonen für Informationen. Sie sollten diese zwar verfügbar machen, aber gegen unbefugten Zugriff sichern. Um die Integrität und Vertraulichkeit Ihrer Informationen zu erhalten, sollten nur berechtigte Benutzer Zugang haben und die Anmeldungen auf für sie bestimmte Service beschränkt sein. Auf Betriebssystemebene sollten analoge Regeln gelten, gleiches gilt für die Host- und Anwendungs-Administration.

Berechtigungswirrwarr

Angestellte müssen ohne Einschränkungen auch von zu Hause ihrer Arbeit nachgehen können. Ihre Mitarbeitenden werden Wege finden, die Authentifizierung zu umgehen, wenn Anmeldeprozesse zu komplex sind. Werden ihre Berechtigungen beim On- &  Offboarding innerhalb des Unternehmens nicht genau nachvollzogen, kann es passieren, daß dem Nutzer neue Zugriffsrechte zugewiesen, die alten jedoch nicht entzogen werden. Langjährige Mitarbeitende, mit vielen, oft überflüssigen Berechtigungen, sind ein verlockendes Ziel für Social Engineering. Weiteres Chaos entsteht, wenn sich Benutzerrollen ändern und das System die nicht mehr notwendigen Berechtigungen bestehen lässt.

Zero-Trust

Ich empfehle Ihnen deswegen eine Zero-Trust-Architektur. Das ist ein geeigneter Ansatz für niedrigschwellige Systemzugänge. Er ermöglicht sicheren Zugang zu Ihren Mikroservice, ohne das gesamte Netzwerk zu exponieren. Diesen erreichen Sie, indem Sie Ihre statische, netzwerkbasierte Verteidigung zum Schutz von Benutzern, Assets und Clients hin verbessern. Bevor Sie einem User oder Gerät vertrauen, muss klar sein, wer der Benutzer oder das Device ist und ob die Zugriffsanfrage berechtigt ist. Für diese Kontrolle empfehle ich eine Cloud-basierte Sicherheitsplattform. Über diese überprüft Ihre IT mit End-to-End-Ansatz alle Datenströme zwischen Single-Sign-On und Ihreren Datenbanken. Diese Plattform sollte folgende Anforderungen einhalten:

  1. Ihre Datenquellen und Service sind schutzbedürftige Ressourcen
  2. Zugang zum Service wird, unabhängig vom Netzstandort oder der Route, über die eine Verbindung erfolgt, geschützt;
  3. der Zugriff wird nur für einzelne Clients oder Assets pro Session gewährt
  4. der Zugriff auf Ihre Services erfolgt nur über dynamische Standards
  5. die Integrität, Verfügbarkeit und Vertraulichkeit aller eigenen und zugehörigen Clients und Assets wird 24/7 überwacht
  6. alle Authentifizierungen und Autorisierungen werden streng und dynamisch überwacht und aufgezeichnet, bevor der Zugriff ge- oder verwehrt wird
  7. so viele Informationen wie möglich werden über den aktuellen Zustand der Netzwerkinfrastruktur gesammelt und diese genutzt, um die Sicherheitslage zu verbessern
  8. Zugriff auf Ihre Daten erfolgt ausschließlich über ein zentrales Zugangs- und Identitätsmanagement IAM

Angesichts der Entwicklungen hin zu neuen Arbeitsformen, die auf hybriden oder komplett cloudbasierten Softwareumgebungen beruhen, benötigen Sie ein IAM, um ein Zero-Trust-Network erfolgreich zu integrieren. Viele neue Identitätstypen und projektbasierte Organisationsstrukturen erfordern weitere Methoden, um Zugriffe zu kontrollieren und Berechtigungen zu verwalten.

Rollen & Berechtigungen

Eine IAM-Lösung sollte flexibel genug sein, um möglichst viele Zero-Trust-Grundsätze zu unterstützen. Sie fangen bei Rollen- und Berechtigungsstrukturen an, leiten daraus eine Berechtigungsmatrix ab und beginnen erst dann die technische Umsetzung. Rollenbasierte Zugriffskontrolle beruht weitgehend auf manuellem Rolle Mining und Modeling. Je nach Unternehmensgröße kann das zu übermäßigen Zugriffsrechten, verwaisten Konten, Unübersichtlichkeit und zu Usern mit Super-Berechtigungen führen. Sie sollten sich für einen einfachen und universellen Service für alle Accounts entscheiden, in den Rollen und Berechtigungen übersichtliche und klare Strukturen sind, die den Vorgaben Ihrer IT-Standards entsprechen.

Ihr erster Schritt wäre, ein unternehmensweites Berechtigungskonzept inklusive notwendiger Prozesse und Kontrollen zu erarbeiten. Dessen Identitäten und Rollen werden in der Regel auf der Grundlage von Mitarbeiterdatensätzen des Personalmanagements HRM oder anderen autorisierenden Systemen erarbeitet. HRM-Datensätze werden anfänglich im IAM-System inventarisiert und einer Benutzerrolle zugeordnet.

Ein wirklicher Mehrwert ergibt sich, wenn fachliche und technische Verantwortliche frühzeitig zur Zusammenarbeit motiviert werden. Dabei ist die Einbindung der Fachbereiche als Informationseigentümer entscheidend für den nachhaltigen Erfolg, da diese notwendige Prozesse und ihr Controlling kennen. Organisatorische Abläufe mitsamt den betrieblichen Besonderheiten sollten Sie in das Konzept einfließen lassen. Für diese pragmatische Umsetzung helfen Softwarepakete mit fachlichen und technischen Templates, sowie Vorgehensmodellen, die auf Erfahrungswerten beruhen.

Standardprozesse

IAM ist plattformübergreifendes Management, das die Security-Systeme Ihres eigenen Rechenzentrums, das Netzwerk und dessen Ränder und die Cloud-Anwendungen umfasst. Da eine heterogene Systemlandschaft die Komplexität erhöht, sollten Sie auf weitgehende Standardisierung achten. Dies wirkt einer Verkomplizierung Ihrer Infrastruktur durch die Ergänzung mit dem IAM entgegen, ermöglicht eine risikobewußte Vorgehensweise bei der Anbindung der Quell- und Zielsysteme und erhöht die Interoperabilität der Schnittstellen und Konnektoren Ihrer Mikroservice. Dafür sollten Sie bei Ihrer IT auf eine horizontale Struktur achten; keine Monolithen: stattdessen viele autonome Dienste, die sich jederzeit und flexibel auswechseln lassen und transparente (echte) Schnittstellen zueinander besitzen, die eine offene Zusammenarbeit unterstützen.

Technische Umsetzung

Der Zugriff durch die Mitarbeitenden erfordert es, kleinliche Zugangsregeln durchzusetzen. Zudem fallen während des automatisierten Betriebs kontinuierlich Authentifizierungs- und Autorisierungsentscheidungen an. Egal ob ein neuer Mitarbeiter in das Unternehmen eintritt, der Mitarbeitende die Abteilung wechselt oder das Unternehmen verlässt, in jedem dieser Fälle sollte sich die Berechtigung ändern. Also selbst mit Multi-Faktor-Authentifizierung tritt nach einer gewissen Zeit eine Unsicherheit ein und es muss überprüft werden, ob der User, seine Rolle oder sein Gerät noch der-, die- oder dasjenige ist, das er, sie oder es zum Berechtigungszeitpunkt war. Ihr IAM-System sollte deshalb in der Lage sein, alle Mitarbeitenden und Geschäftspartner, aber auch Geräten und Mikroservice kontinuierlich zu identifizieren und ihnen eine aktualisierte Identität zuzuweisen.

Das IAM sollte dafür Beziehungen zwischen menschlichen und digitalen Identitäten herstellen. Darüber hinaus sollte es in der Lage sein, Informationen von weiteren Diensten (SOAR oder ITAM) zu berücksichtigen und den Zugang für manipulierte Geräten zu sperren. Aktuelle User werden anhand eines zuverlässigen Identitätsspeichers – einer Kombination aus etwas, daß sie wissen und sie haben – authentifiziert. Diese Authentifizierung darf kein einmaliges Ereignis sein. Die IAM-Lösung sollte Identitäten immer für einen bestimmten Zweck oder eine bestimmte Zeitspanne autorisieren. Sollten Berechtigungen nicht mehr verwendet werden oder Rollenwechsel vorliegen, dann ist digitales Off- & Onboarding zwingend.

Zugriffsentscheidungen sollten auf der Grundlage kontextbezogener Signale getroffen und dabei starke Authentifizierungstechnologien eingebunden werden, ohne die User zu behindern. Sie sollten Ihre Benutzer vor Identitäts- und Logindatendiebstahl mithilfe von Multi-Faktor-Authentifizierung schützen; deren Geräte, Workloads und Ihre Netzwerke durch risikobasierte Autorisierung. Ein dynamischer Zugriff kann dabei auf Kriterien wie Nutzerverhalten, Tageszeit, Bedrohungslage, Geräteinformationen und Abweichungen von Standards basieren.

Um grundlegende Funktionen wie digitale Identität, Public Key Infrastructure, SOAR,  Sitzungsmanagement, ITAM, dynamische Datenbankrichtlinien, SIEM, Identity Governance und Administration zu integrieren, die für Zero Trust nötig sind, empfehle ich Ihnen IAM-Software zu verwenden. Dadurch wird sichergestellt, daß Nutzer nur die Zugriffsrechte haben, die sie wirklich benötigen, und nicht mehr.

Kontinuierliche Tests zur Identifizierung von Schwachstellen, Transparenz, intensive Aufklärung und Schulung der Mitarbeitenden über entsprechende Bedrohungen sind für Sie ebenfalls wichtige Best Practices. Insbesondere die User-Experience bzgl. Ihres IAM sollten Sie nicht vernachlässigen: Die Mitarbeitenden kennen Wege, vorhandene Authentifizierungswerkzeuge zu umgehen. Ihr langfristiges Ziel muss eine moderne Fehlerkultur sein, mit Mitarbeitenden, die motiviert sind, diese Lecks transparent zu machen, um ein risikobasiertes, stetig verbessertes Zugriffsmanagement für Ihre Informationssysteme zu praktizieren.