Was ist Privileged Identity Management (PIM)?

Privileged Identity Management ist eine Sicherheitslösung, mit der die Zugriffsrechte privilegierter Identitäten auf wichtige Ressourcen innerhalb einer Organisation gesteuert, verwaltet, überwacht und geprüft werden. Privileged Identity Management-Lösungen wurden speziell entwickelt, um IT-Teams bei der Durchsetzung detaillierter Kontrollen und strenger Governance zu unterstützen. Sie dienen dazu, die mit erhöhten Zugriffsrechten verbundenen Sicherheitsrisiken zu minimieren.

Mit Privileged Identity Management können privilegierte Identitäten und Konten gefunden und nachverfolgt werden. In einer Unternehmensumgebung umfassen privilegierte Identitäten Dienstkonten, Datenbankkonten, Passwörter, SSH-Schlüssel und digitale Signaturen.

Privileged Identity Management bietet Sicherheitsvorkehrungen, die es Superuser-Konten, die bislang einem schlechten Monitoring und Management unterlagen, ermöglichen, ihre Zugriffsprivilegien sicher und effektiv zu nutzen. IT-Administratoren erhalten einen sicheren, kontrollierten Zugriff auf wichtige IT-Ressourcen, um Sicherheitsinitiativen mit Identity- und Access-Management-Lösungen (IAM) abzustimmen. Darüber hinaus ermöglicht Privileged Identity Management die Sicherung des Superuser-Zugriffs ohne manuelle Prozesse.

Warum Privileged Identity Management?

Die Gründe für den Einsatz von Privileged Identity Management variieren je nach Organisation. Nachfolgend finden Sie einige häufig genannte Gründe für die Einbindung von PIM in das Sicherheitsökosystem.

• Ermöglicht privilegierten Just-in-Time-Zugriff auf Ressourcen.
• Prüft die Berechtigung zur Mitgliedschaft oder zum Besitz von Gruppen.
• Zentralisiert die Bereitstellung und Speicherung privilegierter Konten.
• Dämmt Cyberangriffe ein.
• Erkennt alle privilegierten Konten in einer Organisation auf allen Plattformen, Systemen, Geräten und Anwendungen.
• Fördert die Durchsetzung des Prinzips der geringsten Privilegien.
• Ermöglicht die temporäre Zuweisung und den Entzug von Privilegien, wenn diese nicht mehr benötigt werden.
• Erzwingt rollenbasierte, detaillierte Autorisierungsrichtlinien für privilegierte Konten.
• Erleichtert Zugriffsüberprüfungen, um sicherzustellen, dass Benutzer Rollen weiterhin benötigen.
• Erzwingt die Verwendung starker Passwortrichtlinien.
• Ermöglicht die Bereitstellung eines zeitlich begrenzten Zugriffs auf Ressourcen mit Start- und Enddatum.
• Bietet einen Download-Audit-Verlauf für interne und externe Audits.
• Schützt Cloud- und Containersysteme.
• Bietet Berichterstattung und Audits zu sicherheitskritischen Ereignissen (z. B. Zugriffsanfragen, Änderungen an Berechtigungen und Konfigurationen sowie An- und Abmeldevorgänge).
• Erfüllt sich ständig ändernde gesetzliche Anforderungen.
• Sendet Benachrichtigungen, wenn privilegierte Rollen aktiviert werden.
• Unterstützt Zugriffs-Governance-Beschränkungen.
• Verfolgt und überwacht alle Aktivitäten im Zusammenhang mit privilegierten Konten (z. B. wer auf sie zugegriffen hat, wann der Zugriff erfolgte und was während des Zugriffs getan wurde).

So funktioniert Privileged Identity Management

Privilegiertes Identitätsmanagement wird je nach Anforderungen der Organisation unterschiedlich eingesetzt. Die meisten Organisationen verwenden jedoch fünf grundlegende Schritte. Diese Schritte veranschaulichen, wie Privileged Identity Management funktioniert.

1. Bereitstellen von Rollen: Erstellen Sie privilegierte Rollen, die mit bestimmten Berechtigungssätzen verknüpft sind. Ein Beispiel für eine im Rahmen der Bereitstellung erstellte Rolle ist ein Datenbankadministrator, dem erweiterte Zugriffsprivilegien für bestimmte Datenbanken oder einen Datenbankpool gewährt werden.
2. Aktivieren von Benutzern in Rollen:
   Sobald Rollen mithilfe von Privileged Identity Management erstellt wurden, können Identitäten autorisiert werden, eine Rolle zu übernehmen oder eine Autorisierung zur Übernahme einer Rolle anzufordern. Mit PIM kann definiert werden, welche Identitäten autorisiert sind, privilegierte Rollen zu übernehmen. Zuweisungen oder Zuweisungsanfragen können automatisch anhand vordefinierter Genehmigungsworkflows geprüft werden.
3. Genehmigen oder Ablehnen von Zugriffsanforderungen: Anhand vordefinierter Workflows prüft das Privileged Identity Management Zugriffsanforderungen, um sicherzustellen, dass der Benutzer über die erforderlichen Berechtigungen für die privilegierte Rolle verfügt. Sind die Voraussetzungen erfüllt, werden die Anmeldedaten des Benutzers in die Benutzersitzung eingefügt und ihm wird der Zugriff gewährt. Schlägt der Genehmigungsworkflow fehl, wird die Anfrage abgelehnt und in den Protokolldateien wird ein Sicherheitsvorfall als Prüfdatensatz dokumentiert.
4. Widerruf oder Verlängerung von Privilegien:
   Wenn die autorisierte Sitzungsdauer endet, kann Privileged Identity Management zeitlich begrenzte Privilegien automatisch widerrufen. Die Sitzung wird automatisch am Ende der Dauer oder bei der Abmeldung des Benutzers beendet, je nachdem, was zuerst eintritt. Wenn eine Sitzung mehr Zeit benötigt, kann der Benutzer eine entsprechende Anfrage stellen.
5. Monitoring und Audits:
   Die meisten Privileged Identity Management-Lösungen bieten Funktionen zur Sitzungswiedergabe, für Monitoring und Audits. So können autorisierte IT-Administratoren die Nutzung privilegierter Benutzer verfolgen, um eine ordnungsgemäße Nutzung sicherzustellen und ungewöhnliches Verhalten zu erkennen, das auf Cyberkriminalität hinweisen könnte. Die Sitzungswiedergabefunktionen erleichtern Untersuchungen, die eingehende Überprüfungen erfordern.

Zu den weiteren Privileged Identity Management-Features und -Funktionen zählen:

• Zugriffskontrolle für Benutzer und Superuser
• Beschränkung des Zugriffs auf ein Mindestmaß
• Reduzierung der potenziellen Angriffsfläche
• Erhöhung der Sichtbarkeit der Benutzer
• Erfassung der Rechte privilegierter Benutzer und deren Begründung für die Inanspruchnahme
• Verhinderung von verwaisten Konten
• Monitoring von Sitzungen und Bereitstellung relevanter Warnmeldungen im Zusammenhang mit Upgrades, Änderungen und anderen Veränderungen an der IT-Infrastruktur sowie allen Datenübertragungen
• Verhinderung der unkontrollierten Ausführung von Schadsoftware
• Stärkung der Authentifizierung durch die Durchsetzung von Richtlinien

Fünf Hauptphasen zur Implementierung des privilegierten Identitätsmanagements:

1. Erstellen Sie Richtlinien, die für privilegierte Konten gelten. Diese sollten festlegen:
   • Wie Konten mit hohen Privilegien kontrolliert werden.
   • Welche Rechte und Einschränkungen für die Benutzer dieser Konten gelten.
2. Entwickeln Sie ein Management-Modell, das:
   • Prozesse zur Richtliniendurchsetzung festlegt.
   • Bestimmt, wer für die Einhaltung der Richtlinien zuständig ist.
3. Dokumentieren Sie alle privilegierten Nutzeraccounts and erstellen Sie ein Inventar, das folgende Details enthält:
   • Wer oder was der Benutzer ist.
   • Wann der privilegierte Zugriff gewährt wurde.
   • Die Bedingungen für den privilegierten Zugriff – worauf und für wie lange.
4. Etablieren Sie Prozesse für die Verwaltung privilegierter Accounts, die unter anderem folgendes regeln:
   • Bereitstellung
   • Aufhebung
   • Widerruf des Zugriffs
   • Monitoring der Nutzung

Priviledged Identity Management-Rollen

Mit Privileged Identity Management können zwei Arten von Rollen zugewiesen werden: aktive und berechtigte. Eine aktive Identität hat basierend auf Autorisierungen dauerhaften Zugriff.

Berechtigte Identitäten können den Zugriff aktivieren und beenden, je nachdem, wann sie ihn zur Ausführung privilegierter Funktionen benötigen. Für aktive und berechtigte Rollen ermöglicht das Privileged Identity Management die Anwendung von Start- und Endzeiten des Zugriffs auf die Rollenzuweisung. Läuft eine Rolle ab, kann sie von einem autorisierten Administrator (z. B. einem Superuser) erneuert werden.

Permanente Rollen

• Dauerhaft aktiv
• Dauerhaft berechtigt

Zeitlich beschränkte Rollen

• Zeitlich beschränkt aktiv, mit festgelegtem Start- und Enddatum für den Auftrag
• Zeitlich beschränkt berechtigt, mit festgelegten Start- und Enddaten für den Auftrag

Funktionen, die Privileged Identity Management Administratoren bietet

Zu den wichtigsten Funktionen, die Privileged Identity Management bietet, um privilegierten Benutzern die Kontrolle, das Management und das Monitoring ihres Zugriffs auf wichtige Ressourcen innerhalb einer Organisation zu ermöglichen, gehören die Folgenden.

Erweiterter Zugriffs auf Ressourcen für zeitlich beschränkte Benutzer.
Autorisierte IT-Administratoren verwenden diese Funktion häufig, um die Zugriffsanforderungen von Kurzzeitmitarbeitern oder Auftragnehmern zu unterstützen. Mit dieser Funktion können autorisierte IT-Administratoren Zugriff für die Dauer ihrer Beschäftigung im Unternehmen (z. B. sechs Monate oder ein Jahr) gewähren.

Nach Ablauf der Frist wird die Identität deaktiviert und der Zugriff gesperrt. Bei einer Vertrags- oder Beschäftigungsverlängerung kann ein autorisierter IT-Administrator die Zugriffsdauer entsprechend anpassen. Privileged Identity Management kann auch verwendet werden, um Nicht-Menschen (z. B. Geräten und Anwendungen des Internet of Things (IoT)) eingeschränkten Zugriff zu gewähren.

Berichte zu privilegiertem Zugriff erstellen
Mit Privileged Identity Management können autorisierte IT-Administratoren problemlos Berichte zu privilegiertem Zugriff erstellen. Dies ist eine Voraussetzung für die meisten Compliance-Audits, beispielsweise für den California Consumer Privacy Act (CCPA) und die Datenschutz-Grundverordnung (DSGVO), sowie für interne Sicherheitsaudits.

Just-in-Time-Zugriff bereitstellen
Wenn ein Benutzer (z. B. Benutzer, Anwendungen, Geräte oder Systeme) einmaligen oder kurzfristigen privilegierten Zugriff benötigt, ermöglicht Privileged Identity Management diesen Just-in-Time-Zugriff. Dies ist für verschiedene Anwendungsfälle hilfreich, darunter Audits, Fehlerbehebung und forensische Analysen.

Zugriffsprivilegienverlauf anzeigen
Privileged Identity Management protokolliert alle Aktivitäten privilegierter Benutzer. So lässt sich schnell zurückverfolgen, was welcher Benutzer wann genau getan hat. Dies ist insbesondere für Sicherheitsforensik-Teams hilfreich, wenn sie die Quelle eines Cyberangriffs oder eines Datenlecks ermitteln möchten.

Durch Privileged Identity Management können autorisierte IT-Administratoren feststellen, welche Berechtigungen welchen Benutzern wann gewährt wurden. Auf dieser Grundlage können Optimierungs- und Minderungsmaßnahmen ergriffen werden, um zukünftige Probleme zu vermeiden.

Wichtige Begriffe

Die folgende Terminologie bezieht sich auf Privileged Identity Management; die bereitgestellten Definitionen beziehen sich auf die IT-Nomenklatur.

Privileg

Privilegien bedeuten die Berechtigung, auf vertrauliche Informationen zuzugreifen oder Netzwerk- oder Computerkonfigurationen zu ändern. Sie können menschlichen und nicht-menschlichen Benutzern zugewiesen werden. Berechtigungsstufen können je nach Bedarf und Autorisierung skaliert werden.

Privilegiert

„Privilegiert“ ist das Adjektiv, das verwendet wird, um Personen oder Dinge mit Privilegien zu beschreiben, wie z. B. privilegierte Konten und privilegierte Benutzer. Wenn „privilegiert“ an ein Substantiv angehängt wird, bedeutet dies, dass es über eine höhere Zugriffsebene als der Durchschnitt verfügt. Beispielsweise verfügen IT-Administratoren über privilegierte Konten.

Privilegiertes Konto

Ein privilegiertes Konto kann einem Menschen oder einem Nicht-Menschen zugewiesen werden. Diese Konten dienen in erster Linie dazu, IT-Teams das Management von Anwendungen, Software und Servern zu ermöglichen.

Allerdings werden privilegierte Konten manchmal auch anderen Benutzern gewährt, beispielsweise Anwendungen, die auf vertrauliche Datenbanken zugreifen müssen, oder Finanzteams, die auf vertrauliche Informationen zugreifen müssen. Einige für IT-Administratoren erstellte privilegierte Konten umfassen stark erweiterte Zugriffsrechte, die es ihnen ermöglichen, eine Umgebung oder bestimmte Software oder Hardware zu verwalten. Diese gelten als Superuser-Konten.

So kann beispielsweise ein Superuser-IT-Konto Server, Firewalls und Cloud-Speicher konfigurieren. Andere Superuser erhalten möglicherweise umfassende Berechtigungen für Windows-Server (z. B. Windows-Administratoren) oder die Druckerkonfiguration (z. B. Helpdesk-Mitarbeiter).

Privilegierte Identität

Privilegierte Identitäten beziehen sich auf vorgefertigte Konten mit erweiterten Zugriffsrechten. Diese sind standardmäßig in den meisten Betriebssystemen und Anwendungen enthalten und sollen IT-Administratoren zugewiesen werden, um die Verwaltung zu erleichtern. In anderen Fällen werden privilegierte Identitäten von IT-Teams erstellt und dann Benutzern zugewiesen.

Just-in-Time-Zugriff

Durch Just-in-Time-Zugriff können Berechtigungen erteilt werden, die einem Benutzer je nach Bedarf zeitlich begrenzten Zugriff auf Anwendungen oder Systeme gewähren. So erhalten Benutzer den benötigten Zugriff, ohne die Angriffsfläche zu vergrößern.

Geringste Privilegien

Das Konzept der geringsten Privilegien ist die Beschränkung des Zugriffs auf das für die Ausführung von Aufgaben einer Rolle erforderliche Minimum. Es gilt für alle Benutzer, Menschen und Nicht-Menschen.

Das Prinzip der geringsten Privilegien verhindert eine Überbereitstellung privilegierter Zugriffe, indem der Zugriff auf den tatsächlichen Bedarf und nur so lange wie nötig beschränkt wird.

Anstatt dauerhafte Berechtigungen zu gewähren, wird der Zugriff beim Prinzip der geringsten Berechtigungen auf die erforderliche Mindestzeit beschränkt und dann beendet.

PIM vs. PAM vs. IAM

Risiken nicht verwalteter privilegierter Identitäten

Privileged Identity Management befasst sich mit den Risiken, die mit nicht verwalteten privilegierten Identitäten verbunden sind, darunter:

• Verlassene privilegierte Identitäten
• Zugriffsrechte, die eine Abstraktion ohne Verbindung zum Empfänger darstellen
• Standardkonten für neue Geräte, die nicht inventarisiert oder geschützt sind
• Jedes unbekannte Konto erhöht die Anfälligkeit und bietet die Möglichkeit eines Eindringens
• Unfähigkeit, die Stärke der Passwörter von privilegierten Identitäten zu bestätigen
• Mangelnde Transparenz der Benutzerprivilegien und zugehörigen Rechte
• Eingeschränktes Monitoring der Nutzung privilegierter Identitäten
• Unbekannte privilegierte Identitäten

Vorteile von Privileged Identity Management

Die am häufigsten genannten Vorteile von Privileged Identity Management sind:

• Automatisierung von Prozessen zur Überprüfung privilegierter Zugriffe
• Erkennung und Verhinderung verdächtiger Benutzeraktivitäten und des Missbrauchs privilegierter Konten
• Beseitigung von Dauerprivilegien und Bedrohungen durch nicht betriebsbereite, aktive Konten
• Ermöglichung der vollständigen Kontrolle und Transparenz privilegierter Identitäten
• Gewährleistung der Einhaltung von Branchen- und Behördenstandards und -vorschriften (z. B. Health Insurance Portability and Accountability Act (HIPAA), Payment Card Industry Data Security Standard (PCI DSS), Datenschutz-Grundverordnung (DSGVO), North American Electric Reliability Corporation Critical Infrastructure Protection (NERC CIP), Sarbanes-Oxley Act von 2002 (SOX))
• Leichterer Zugriff auf privilegierte Identitäten
• Minimierung der Angriffsflächen und Bedrohungsvektoren
• Überwachung von privilegierten Zugriffsaktivitäten und Remote-Sitzungen in Echtzeit
• Geringere IT- und Auditkosten
• Unterstützung einer datenbasierten Incident Response

Schutz von Superusern mit PIM

Privileged Identity Management ermöglicht die sichere Zuweisung und Nutzung von Superuser-Konten. Durch die Durchsetzung einer strengeren Kontrolle privilegierter Identitäten, die Bereitstellung von Monitoring und die Ermöglichung von Audits versetzt PIM Unternehmen in die Lage, die betrieblichen Vorteile von Superuser-Konten zu nutzen, ohne das Cybersicherheitsrisiko zu erhöhen oder Angriffsflächen zu vergrößern.