Was ist das Prinzip der geringsten Privilegien?

Das Prinzip der geringsten Privilegien (POLP), ein wichtiges Konzept der Computersicherheit, ist die Praxis, die Zugriffsrechte für Benutzer, Konten und Computerprozesse auf diejenigen zu beschränken, die für die jeweilige Aufgabe erforderlich sind.

Privilegien beziehen sich auf die Autorisierung, bestimmte Sicherheitseinschränkungen zu umgehen. Angewendet auf Personen bedeutet minimales Privileg, dass das Mindestmaß an Benutzerrechten durchgesetzt wird, das es dem Benutzer weiterhin ermöglicht, seine berufliche Funktion auszuführen. Wenn es auf Prozesse, Anwendungen, Systeme und Geräte angewendet wird, bezieht es sich darauf, dass nur Berechtigungen vorhanden sind, die zum Ausführen autorisierter Aktivitäten erforderlich sind.

Unabhängig davon, wie fachlich kompetent oder vertrauenswürdig ein Benutzer ist, kann das Prinzip der geringsten Autorität das Cybersicherheitsrisiko verringern und Datenschutzverletzungen verhindern. Tatsächlich schätzt Forrester Researcher, dass 80 % der Datenschutzverletzungen privilegierte Anmeldeinformationen betreffen. Und da die Kosten einer Datenschutzverletzung 3,92 Millionen US-Dollar erreichen, kann das Prinzip der geringsten Privilegien Ihr Unternehmen vor Reputationsschäden, behördlichen und finanziellen Schäden bewahren.

Wie funktioniert das Prinzip der geringsten Privilegien?

Das Prinzip der geringsten Rechte beschränkt ein Benutzerkonto oder Systemfunktionen auf die Anzahl der Berechtigungen, die für die Ausführung der beabsichtigten Funktion unerlässlich sind. Indem Sie den Zugriff auf kritische Systeme streng einschränken, verringern Sie das Risiko von absichtlichen Datenschutzverletzungen und unbeabsichtigten Datenlecks. Sie verringern auch das Risiko von Malware-Infektionen wie Ransomware oder Computerwürmern, da der Benutzer oder sein Betriebssystem keine Berechtigung zur Installation hat.

Beispielsweise muss ein Dienstkonto, das ausschließlich dazu dient, vertrauliche Daten (wie personenbezogene Daten, geschützte Gesundheitsinformationen, PHI) oder biometrische Daten) zu sichern, nicht in der Lage sein, Software zu installieren.

Nach dem Prinzip der geringsten Rechte verfügt dieses Konto nur über die Rechte zum Ausführen von Sicherungsanwendungen. Alle anderen Zugriffsrechte werden blockiert.

Was ist der Unterschied zwischen einem privilegierten und einem nicht privilegierten Konto?

Das Prinzip der geringsten Rechte beruht auf der Einrichtung von vier verschiedenen Arten von Benutzerkonten:

Standardkonten: Ein Benutzerkonto mit eingeschränktem Zugriff, das nur für die Ausführung normaler Aufgaben erforderlich ist. Wird auch als Benutzerkonto mit den geringsten Rechten (LUA) bezeichnet.
Privilegierte Konten: Ein Benutzerkonto mit erhöhten Rechten. Zum Beispiel benötigen Softwareentwickler Zugriff auf Github, ein Vertriebsmitarbeiter jedoch nicht. Die andere Art von privilegierten Konten sind Administratorkonten, wie z. B. der Root-Benutzer in den Betriebssystemen Unix und Linux oder das Konto, das DNS und DNSSEC verwaltet, was bei einer Kompromittierung zu Domain-Hijacking führen kann. Im Allgemeinen sollten Administratoren über ein Benutzerkonto und ein Berechtigungskonto verfügen und das Superuser-Konto nur zum Ausführen bestimmter Aufgaben verwenden.
Freigegebene Konten: Ein Benutzerkonto, das von Einzelpersonen gemeinsam genutzt wird. Im Allgemeinen werden einzelne Konten gegenüber gemeinsam genutzten Konten bevorzugt, aber in einigen Situationen ist es akzeptabel, Konten zu haben, die von einer Gruppe von Benutzern gemeinsam genutzt werden. Zum Beispiel können Gastkonten ein absolutes Minimum an Privilegien für Freiberufler haben, um grundlegende Aufgaben auszuführen.
Dienstkonten: Ein Benutzerkonto, das nicht von Menschen verwendet wird, aber privilegierten Zugriff erfordert. Möglicherweise verfügen Sie über ein Netzwerk-Intrusion-Detection-System, das für die Netzwerksicherheit verwendet wird und Zugriff auf Ihre internen Netzwerke erfordert, um zu funktionieren.

Unabhängig von der Art des Kontos empfiehlt es sich, bestimmte Sicherheitsstandards für Passwörter durchzusetzen, siehe unsere Checkliste für die Passwortsicherheit und die Überwachung auf kompromittierte Anmeldeinformationen.

Wenn ein Mitarbeiter das Unternehmen verlässt oder Sie einen Drittanbieter ausgliedern, denken Sie daran, den Benutzerzugriff sofort zu deaktivieren und seine Daten nach einer bestimmten Zeit zu löschen.

Was sind die Vorteile des Prinzips der geringsten Privilegien?

Die Umsetzung des Prinzips der geringsten Privilegien bietet folgende Vorteile:

Datensicherheit: Bei vielen Datenschutzverletzungen erhalten Sie Zugriff auf privilegierte Anmeldeinformationen und nutzen dann den von diesen Anmeldeinformationen gewährten Zugriff, um sich lateral durch eine Organisation zu bewegen, mit dem Endziel, Administratorrechte zu erlangen. Diese Art von Cyberangriffen wird als Privilege Escalation bezeichnet. Durch die Durchsetzung des Prinzips der geringsten Rechte können Sie das Sicherheitsrisiko einer Privilegienausweitung verringern.
Systemstabilität: Wenn Code auf den Umfang der Änderungen beschränkt ist, die er an einem System vornehmen kann, ist es einfacher, einzelne Aktionen und Interaktionen mit anderen Anwendungen zu testen. Beispielsweise hat eine Anwendung, die mit eingeschränkten Rechten ausgeführt wird, keinen Zugriff auf Vorgänge, die einen Computer zum Absturz bringen oder sich negativ auf andere Anwendungen auswirken könnten.
Systemsicherheit: Wenn Anwendungen nur eingeschränkten Zugriff auf systemweite Aktionen haben, können Schwachstellen in einer Anwendung nicht ausgenutzt werden, um Zugriff auf andere Teile des Systems zu erhalten, Malware zu installieren, bösartigen Code einzuschleusen oder Computerwürmer wie den WannaCry-Ransomware-Angriff zu verbreiten.
Einfache Bereitstellung: Im Allgemeinen gilt: Je weniger Berechtigungen eine Anwendung benötigt, desto einfacher ist die Bereitstellung in einer größeren Umgebung.
Reduzierte Angriffsfläche: Die Einschränkung von Privilegien für Einzelpersonen kann das Cybersicherheitsrisiko durch Insider-Bedrohungen und andere Angriffsvektoren verringern, die die Netzwerk-, Datensicherheit-, Informations- oder IT-Sicherheit gefährden könnten. Die Anwendung von POLP kann auch den Schaden verringern, der durch kompromittierte Anmeldeinformationen oder gestohlene Passwörter verursacht wird, da die Zugriffskontrolle den Zugriff auf sensible Daten wie personenbezogene Daten (PII) und geschützte Gesundheitsinformationen (PHI) einschränkt.
Abwehr von Social-Engineering-Angriffen: Viele Social-Engineering-Angriffe, wie Phishing und Spear-Phishing, beruhen darauf, dass ein Benutzer einen infizierten E-Mail-Anhang ausführt oder sich auf einer gefälschten Website anmeldet. Durch die Anwendung des Prinzips der geringsten Rechte können Administratorkonten die Ausführung auf bestimmte Dateitypen beschränken und Passwort-Manager erzwingen, die nicht auf Phishing-Websites hereinfallen.
Verbesserte Informationssicherheit: Die Datenklassifizierung ist das Herzstück der Informationssicherheit, und POLP kann Unternehmen dabei helfen, zu verstehen, welche Daten sie haben, wo sie sich befinden und wer Zugriff darauf hat, dies kann bei der digitalen Forensik und IP-Zuordnung nach einer Datenschutzverletzung oder einem Datenleck helfen.
Bessere Einhaltung gesetzlicher Vorschriften: Durch die Einschränkung der Aktivitäten, die ausgeführt werden können, kann Ihr Unternehmen eine auditfreundlichere Umgebung schaffen. Viele Vorschriften (z. B. HIPAA, PCI DSS, FDDC, Government Connect, SIRMA und SOX) verlangen von Unternehmen, dass sie Sicherheitsrichtlinien mit den geringsten Rechten anwenden, um die Datensicherheit zu verbessern.
Reduziertes Third-Party-Risiko und Fourth-Party-Risiko: Das Prinzip der geringsten Privilegien sollte nicht auf Ihre internen Benutzer beschränkt sein. Ihre Drittanbieter können ein erhebliches Cybersicherheitsrisiko mit sich bringen. Zum Beispiel erhielten Hacker Zugriff auf ~70 Millionen Target-Kundenkonten über einen HLK-Auftragnehmer, der über Berechtigungen zum Hochladen ausführbarer Dateien verfügte. Aus diesem Grund ist das Risikomanagement von Anbietern so wichtig. Entwicklung einer robusten Risikobewertungsmethode, einer Lieferantenmanagementrichtlinie, einer Fragebogenvorlage für die Risikobewertung von Lieferanten und eines Risikobewertungsrahmens von Drittanbietern, um den Bewertungsprozess zu rationalisieren. Fordern Sie den SOC 2-Bericht und die Informationssicherheitsrichtlinie des aktuellen und potenziellen Anbieters an.
Bessere Planung der Incident-Response: POLP hilft Unternehmen zu verstehen, wer wann Zugriff auf was hat, was bei der Reaktion auf Vorfälle hilfreich sein kann.
Vereinfachtes Änderungs- und Konfigurationsmanagement: Jedes Mal, wenn ein Benutzer mit Administratorrechten einen Computer verwendet, besteht die Möglichkeit, dass die Systemkonfiguration absichtlich oder versehentlich unangemessen geändert wird. Die geringsten Rechte minimieren dieses Risiko, indem gesteuert wird, wer Einstellungen oder Konfigurationen ändern kann.

Was sind die Grenzen des Prinzips der geringsten Privilegien?

Das Prinzip der geringsten Privilegien ist eine Ebene in einer umfassenden Defense-in-Depth-Strategie. Selbst mit dem Prinzip der geringsten Privilegien werden einige Benutzer wahrscheinlich Zugriff auf sensible Daten benötigen, und sie könnten das Ziel von Spear-Phishing-Angriffen sein, die Informationen über sie sammeln, um die Effektivität zu maximieren.

Aus diesem Grund müssen Schulungen zum Thema Cybersicherheit, OPSEC und Software zur Erkennung von Datenlecks Teil Ihrer Cybersicherheitsstrategie sein.

Ein weiteres häufiges Problem ist der Mangel an Transparenz und Bewusstsein darüber, wer tatsächlich ein privilegiertes Konto hat, Zugriff auf sensible Assets hat oder Anmeldeinformationen offengelegt hat. Organisatorische Trägheit und kulturelle Herausforderungen können es auch schwierig machen, restriktive Zugangskontrollen einzuführen.

POLP reduziert zwar die Anzahl möglicher Angriffsvektoren, mindert aber das Cybersicherheitsrisiko nicht vollständig, insbesondere die Risiken im Zusammenhang mit Drittanbietern. Erwägen Sie die Investition in ein Tool, das das Risikomanagement von Anbietern automatisieren, Sie bei der Planung Ihres Sicherheitsbewertungsprozesses für Lieferanten unterstützen und Abhilfemaßnahmen bei Anbietern mit hohem Risiko anfordern kann.

So implementieren Sie das Prinzip der geringsten Privilegien

Es gibt sechs gängige Methoden, um die Sicherheitsstrategie des Prinzips der geringsten Rechte zu implementieren:

Gruppen- (oder rollenbasiertes) Zugriffsmanagement: Es ist nahezu unmöglich, den Zugriff einzelner Benutzer für Hunderte oder Tausende von Mitarbeitern unter Einhaltung des Prinzips der geringsten Rechte zu verwalten. Aus diesem Grund gibt es IAM-Tools (Identity Access Management). IAM-Tools gewähren Benutzern Zugriff auf der Grundlage von Gruppen oder Jobrollen und verwalten dann Berechtigungen basierend auf Gruppen und nicht auf Einzelpersonen. Stellen Sie sich zum Beispiel vor, Ihr Unternehmen investiert in ein neues Bewertungstool für Cybersicherheit. Anstatt jedem IT-Sicherheitsmitglied einzeln Zugriff auf die Anwendung zu gewähren, setzen Sie einfach der IT-Sicherheitsgruppe entsprechende Berechtigungen. Wenn ein Mitglied das Team verlässt, können Sie einfach seinen Zugriff auf diese Gruppe entfernen, anstatt Dutzende oder Hunderte von Anwendungen und Rechten zu widerrufen.
Arbeitszeitbasierte Zugriffsverwaltung: Für Mitarbeiter, die mit konsistenten Zeitplänen arbeiten, können Sie den Zugriff auf die Arbeitszeiten der Person einschränken. Wenn ein Mitarbeiter beispielsweise nur von Montag bis Freitag von 8:00 bis 17:00 Uhr arbeitet, sollte er seine Schlüsselkarte am Sonntagmorgen um 4:00 Uhr nicht mehr verwenden können.
Standortbasiertes Zugriffsmanagement: Bei kritischen Systemen möchten Sie möglicherweise, dass nur Personen von Ihrem Bürogebäude aus darauf zugreifen.
Maschinenbasierte Zugriffsverwaltung: Wie bei der standortbasierten Zugriffsverwaltung möchten Sie möglicherweise, dass kritische Systeme nur von bestimmten Computern aus zugänglich sind.
Einmalzugriffsverwaltung: Verwenden Sie den Kennwortsafe, bei dem ein Einmalkennwort für privilegierte Konten ausgecheckt wird, bis die Aktion abgeschlossen ist, und dann wieder eingecheckt wird.
Just-in-Time-Zugriffsverwaltung: Erhöhen Sie bei Bedarf Berechtigungen für eine bestimmte Anwendung und kehren Sie nach Abschluss der Aufgabe zu einem Standardkonto zurück.

Allen diesen Methoden ist gemeinsam, dass sie so konfiguriert sind, dass sie nur das tun können, was der Benutzer tun soll, und nichts anderes.

Sobald Sie Ihre gewünschte Zugriffsverwaltungsstrategie (oder eine Mischung aus einer Mischung) eingerichtet haben, müssen Sie regelmäßige Audits durchführen:

Nutzungsüberwachungen: Mit Nutzungsüberwachungen können Sie überwachen, was jede Benutzer-ID tut, auf welche Daten sie zugreifen, diese erstellen und löschen. Es kann Ihnen auch helfen, verdächtige Aktivitäten zu identifizieren.
Berechtigungsprüfungen: Im Laufe der Zeit kann es vorkommen, dass ein Benutzer Berechtigungen erhält, die er nicht mehr benötigt. Dies geschieht häufig, wenn eine Person die Rolle wechselt. Regelmäßige Berechtigungsprüfungen können dabei helfen, Konten mit übermäßigen Berechtigungen oder der Mitgliedschaft in den falschen Gruppen zu erkennen.
Änderungsaudits: Änderungen an Passwörtern, Berechtigungen oder Einstellungen können zu einer Datenschutzverletzung führen, weshalb es hilfreich sein kann, in Konfigurationsmanagement-Tools zu investieren, die über alle Änderungen informieren.

Unternehmen wie Intercontinental Exchange, Taylor Fry, The New York Stock Exchange, IAG, First State Super, Akamai, Morningstar und NASA nutzen UpGuard, um ihre Daten zu schützen, Datenschutzverletzungen zu verhindern, auf Schwachstellen zu überwachen und Malware zu vermeiden.

Wir sind Experten für Datenschutzverletzungen, unsere Forschung zu Datenschutzverletzungen wurde in der New York Times, Bloomberg, Washington Post, Forbes, Reuters und Techcrunch veröffentlicht.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Verwaltung von Beziehungen zu Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und die Sicherheitslage Ihrer Anbieter im Laufe der Zeit kontinuierlich überwacht, während sie mit ihrer Branche verglichen werden.

Jeder Anbieter wird anhand von 50+ Kriterien bewertet, wie z. B. das Vorhandensein von SSL und DNSSEC sowie das Risiko von Domain-Hijacking, Man-in-the-Middle-Angriffen und E-Mail-Spoofing für Phishing.

Jeden Tag bewertet unsere Plattform Ihre Anbieter mit einem Cyber Security Rating von 950. Wir benachrichtigen Sie, wenn ihre Punktzahl sinkt.