"Die IT würde so wunderbar funktionieren, wenn da nicht die lästigen User wären." Diesen Spruch haben Sie vom einen oder anderen PC-Supporter sicher auch schon gehört. Ich wage es nun nicht, den Wahrheitsgehalt dieser Aussage zu qualifizieren, aber was sicher jeder IT-Security-Spezialist bestätigen kann, ist: Die IT wäre ein wunderbarer Ort ohne die lästigen User-Accounts.
Das Problem aus Sicht der IT-Security sind also nicht unbedingt die Benutzer selbst, sondern die Accounts, mit denen sie sich innerhalb der Firma bei Systemen anmelden. Im Idealfall hat jeder User genau einen individuellen Account – primär aus Nachverfolgbarkeitsgründen. Denn meldet sich jeder Administrator mit dem gleichen "administrator" oder "root" User Account bei einem System an, kann im Nachhinein nicht mehr rekonstruiert werden, wer was wann am System geändert hat. Oft besteht auch das Konzept des privilegierten Accounts – also Benutzer mit erweiterten Rechten in IT-Systemen. So haben beispielsweise Administratoren zwei Accounts: Einen, um die "normale" Büroarbeit zu erledigen, und einen, um privilegierte Aufgaben, wie Konfigurationsänderungen an einem System, vorzunehmen. Aber auch hier gilt die Nachverfolgbarkeit als einer der wichtigsten Parameter, der berücksichtigt werden muss.
Daraus resultiert, dass privilegierte Accounts immer Ziel Nummer eins bei Hacker- und Malware-Attacken sind. Ein Hacker installiert meistens zuerst Malware auf einem Rechner einer beliebigen Person innerhalb der Firma. Hat er erst einmal einen Account und somit den Zugriff ins Unternehmensnetzwerk erbeutet, macht er sich daran seine Rechte zu erweitern. Das gelingt ihm nur, wenn er einen privilegierten Account übernehmen kann. Leider existieren mittlerweile genügend frei zugängliche Werkzeuge (z.B. Mimikatz) im Internet, mit denen er sich den Zugriff mit hoher Wahrscheinlichkeit verschaffen kann. Insofern ist es aus IT-Security-Sicht wichtig, genau diese Accounts besonders zu schützen.
Eine PAM-Lösung ist, vereinfacht gesagt, ein Hochsicherheitstresor für Passwörter, der ähnlich wie ein Proxy Server funktioniert und zudem einen sicheren privilegierten Zugriff auf besonders sensible Systeme bietet. Das bedeutet, der Account-Inhaber verbindet sich nicht direkt mit dem System, das er administrieren möchte. Zuerst authentifiziert und verbindet er sich mit dem PAM, das einen sicheren Zugriff inkl. sicherer Authentifizierung auf das zu administrierende System herstellt. Dieses Konzept bietet aus Security Sicht einige erhebliche Vorteile:
Für Unternehmen mit vielen Server-Systemen und vor allem vielen privilegierten Accounts ist Privileged Access Management früher oder später unumgänglich. Der deutliche Mehrwert in Bezug auf Security und die Verringerung des Risikos für das Unternehmen machen, meiner Ansicht nach, die initiale Investition mehr als wett. Auch die vereinfachte Administration der privilegierten Accounts durch ein PAM ist nicht zu vernachlässigen, denn wo viel Komplexität herrscht, werden mehr Fehler gemacht.
Wenn Sie sich für unser Angebot interessieren, freuen wir uns über Ihre Kontaktaufnahme. Unsere T-Systems Security Spezialisten unterstützen Sie gerne auf dem Weg zu Ihrem Privileged Access Management.
