Thought Leadership
Das Zero-Standing-Privileges (ZSP)-Prinzip ist eine wichtige Komponente in der Identitätssicherheit. Rund um ZSP gibt es allerdings viele Missverständnisse und oft werden auch die Möglichkeiten überschätzt.
Letztlich benötigen Unternehmen immer eine umfassende Palette von Kontrollen, um ihre komplexen hybriden und Multi-Cloud-Umgebungen ausreichend zu sichern. CyberArk bringt Licht ins Dunkel.
Bei dem Thema Zero-Standing-Privileges gibt es einige Mythen, die zu beachten sind, und einige Realitäten, die für den Aufbau eines zukunftsweisenden Privileged-Access-Management (PAM)-Programms entscheidend sind. Die Kenntnis dieser Mythen und Realitäten ist für Unternehmen wichtig, um fundierte Entscheidungen treffen und effektive Sicherheitsmaßnahmen implementieren zu können. CyberArk listet drei der häufigsten ZSP-Missverständnisse auf und beleuchtet die dahinterstehenden Wahrheiten näher.
Mythos 1: Ein Zero-Standing-Privileges-Ansatz ersetzt die Notwendigkeit der sicheren Credential-Speicherung und -Rotation
Die Einführung von ZSP verringert das Sicherheitsrisiko, aber privilegierte Konten und Zugangsdaten werden immer notwendig sein – und sie müssen gesichert werden. Sie werden zum Beispiel benötigt, damit Unternehmen ihre internen und externen Services im Falle eines Sicherheitsvorfalles wiederherstellen können. Ohne Notfallkonten können Ausfälle gravierende Auswirkungen haben und hohe Kosten verursachen. Ein sicheres Credential Management ist folglich unverzichtbar.
Auch in Cloud-Umgebungen können einige privilegierte Konten und Credentials niemals ersetzt werden. Ein Beispiel dafür ist der AWS-Root-Account. Unternehmen müssen deshalb solche Root-User-Credentials durch strenge Passwortrichtlinien, Multi-Faktor-Authentifizierung (MFA) oder Genehmigungsprozesse zuverlässig schützen.
Eine weitere Herausforderung stellen die Credentials und Secrets dar, die von Maschinenidentitäten wie Service Accounts, RPA-Bots und Application Accounts verwendet werden. Einige Anbieter wie CyberArk bieten zwar Lösungen für einen Just-in-Time (JIT)-Zugriff und ein dynamische Provisioning von Application Secrets an, doch die meisten Machine-to-Machine-Kommunikationen beruhen nach wie vor auf Anmeldeinformationen wie Passwörtern und SSH-Schlüsseln zur Authentifizierung. Ohne sichere Speicherung und Rotation dieser Secrets besteht für Unternehmen immer die Gefahr, Opfer des Diebstahls von Anmeldedaten zu werden.
Mythos 2: Ein Just-in-Time-Zugang ist gleichbedeutend mit Zero-Standing-Privileges
Die meisten Anbieter von angeblichen ZSP-Features erweitern nur die Benutzerrechte auf bereits bestehende Konten oder Rollen mit privilegiertem Zugriff. Dabei handelt es sich dann um einen JIT-Ansatz für privilegierten Zugriff, bei dem sich ein Benutzer nicht mit einem privilegierten Berechtigungsnachweis anmeldet, sondern stattdessen einen temporären Zugang zur Nutzung eines Accounts oder einer Rolle erhält.
Dieser JIT-Ansatz reduziert zwar das Sicherheitsrisiko, ist aber immer noch mit persistenten Privilegien von Rollen und Accounts verbunden, die im Directory des Unternehmens oder in Identity-and-Access-Management (IAM)-Speichern der Cloud vorhanden sind. Das bedeutet, dass Angreifer einen unbefugten Zugriff erhalten und den JIT-Workflow umgehen können.
Bei einem echten Zero-Standing-Privileges-Ansatz hingegen existieren keine privilegierten Rollen oder Accounts, die ein Angreifer kompromittieren könnte. Stattdessen erstellen Unternehmen neue Berechtigungen und Rollen, wenn ein Endbenutzer Zugriff benötigt – und löschen diese Berechtigungen nach einer zeitlich begrenzten Session.
Mythos 3: Die Einführung von Zero-Standing-Privileges macht Session-Isolierung und PAM-Kontrollen nach der Authentifizierung überflüssig.
JIT-, ZSP- und passwortlose Authentifizierungsansätze können zwar dazu beitragen, das Risiko gestohlener Passwörter und Zugangsdaten zu minimieren, doch PAM-Programme müssen zusätzliche Maßnahmen zum Schutz vor Insider-Bedrohungen und der Verbreitung von Malware und Ransomware enthalten.
Zero Trust basiert auf dem Prinzip „Never trust, always verify“. Aus diesem Grund ist es nicht nur wichtig, privilegierte Zugriffsversuche mit adaptiver MFA zu validieren, sondern auch Defense-in-Depth-Kontrollen nach dem Login zu implementieren, etwa eine Session-Isolierung, die die Verbreitung von Malware verhindert, oder eine Befehlsfilterung in privilegierten Sitzungen, um Insider-Bedrohungen zu reduzieren.
„ZSP ist ein wichtiger Bestandteil von Identity-Security-Programmen, aber alleine nicht ausreichend. Unternehmen benötigen umfassende, differenzierte Berechtigungskontrollen für alle Anwendungsfälle in ihren zunehmend komplexeren IT-Umgebungen. Letztlich gewährleistet nur eine vollständig integrierte Identity-Security- und Zero-Trust-Strategie eine zuverlässige Gefahrenabwehr, und zwar auch in einer ZSP-Welt“, betont Fabian Hotarek, Solutions Engineering Manager bei CyberArk.
(pd/CyberArk)
