So erkennen Sie den Missbrauch privilegierter Konten

Im Laufe des letzten Jahrzehnts sind sich Unternehmen der Tatsache bewusst geworden, dass die meisten Sicherheitsbedrohungen ihren Ursprung in ihrem Unternehmen haben. Das bedeutet nicht, dass viele ihrer Mitarbeiter böswillig handeln, sondern vielmehr, dass sie Fehler machen, die dazu führen können, dass die Systeme und Daten des Unternehmens einem unbefugten Zugriff ausgesetzt sind.

Dies gilt insbesondere für privilegierte Benutzer. Daher ist es von entscheidender Bedeutung, dass Unternehmen wissen, was privilegierte Benutzer mit ihren Daten tun, und verdächtige Benutzeraktivitäten präzise und zeitnah erkennen können. Um den Missbrauch privilegierter Konten zu verhindern, ist jedoch mehr erforderlich als nur die Überwachung des Benutzerverhaltens.

Organisationen sollten außerdem Echtzeitwarnungen erhalten, wenn gegen Sicherheitsrichtlinien verstoßen wird oder wenn die Benutzeraktivität zu weit von den typischen Nutzungsmustern abweicht. Sie müssen außerdem in der Lage sein, eine Untersuchung aller Benutzeraktivitäten durchzuführen, bei denen es um sensible Daten geht. Wenn beispielsweise auf vertrauliche Daten zugegriffen, sie gelesen, kopiert, geändert oder gelöscht werden, die nicht der typischen Routine eines Benutzers entsprechen, muss eine Warnung an den Administrator gesendet werden, der die Änderungen überprüft, um ihre Legitimität festzustellen.

Die Anzeichen für den Missbrauch privilegierter Konten

Nachfolgend finden Sie einige Beispiele für Aktivitäten, auf die Sie achten müssen, um den Missbrauch privilegierter Konten zu erkennen:

• Sensible Daten werden auf ein persönliches Gerät kopiert, was einen Verstoß gegen Sicherheitsrichtlinien darstellt.
• Ein Benutzer greift außerhalb der normalen Arbeitszeit auf sensible Daten zu.
• Ein Benutzer versucht, auf ein System zuzugreifen, auf das er keinen Zugriff benötigt und/oder für den er keine Zugriffsberechtigung hat.
• Entweder versucht ein Benutzer, sich von mehreren Endpunkten gleichzeitig anzumelden, oder mehrere Benutzer versuchen, sich von demselben Endpunkt aus anzumelden.
• An einem Dokument oder Laufwerk, das sensible Daten enthält, wurden in der Regel viele Änderungen vorgenommen.
• Konten, die zuvor inaktiv waren, werden wieder aktiv.

Man sollte bedenken, dass Angreifer immer nach Möglichkeiten suchen, ihr bösartiges Verhalten zu verschleiern. Sie werden so weit wie möglich versuchen, sich Zeit zu nehmen und an einer unauffälligen Routine festzuhalten, um keinen Alarm auszulösen.

Eine weitere Ursache für den Missbrauch privilegierter Konten liegt darin, dass Unternehmen es versäumen, den „geringsten Privilegien“-Zugriff auf allen Konten angemessen durchzusetzen. Benutzern sollten die geringsten Berechtigungen gewährt werden, die sie zur Ausübung ihrer Rolle benötigen, und Berechtigungen sollten widerrufen werden, wenn sie nicht mehr benötigt werden. Schließlich kommt es häufig vor, dass Unternehmen vergessen, die Berechtigungen eines Mitarbeiters zu widerrufen, selbst nachdem dieser das Unternehmen verlassen hat. Ebenso werden Auftragnehmern, Lieferanten und anderen Dritten, die Zugriff auf ihr Netzwerk haben, oft mehr Privilegien eingeräumt, als sie benötigen, und diese Berechtigungen werden nicht widerrufen, wenn die Geschäftsbeziehung endet.

So verhindern Sie übermäßige Berechtigungen

Nachfolgend finden Sie eine einfache Checkliste, die Sie befolgen sollten, um zu verhindern, dass aktuelle oder ehemalige Mitarbeiter und Dritte zu viel Zugriff auf sensible Daten haben:

• Erstellen Sie eine Bestandsaufnahme aller Benutzerkonten.
• Bestimmen Sie, welche Konten privilegierten Zugriff haben.
• Stellen Sie fest, ob eines dieser Konten über übermäßige Berechtigungen verfügt.
• Bestimmen Sie, welche Daten ggf. überbelichtet sind.
• Legen Sie ein Verfahren fest, das befolgt werden soll, wenn die Rolle eines Benutzers geändert wird.
• Legen Sie ein Verfahren fest, das es einem Benutzer ermöglicht, Zugriff auf sensible Daten anzufordern.
• Legen Sie ein Verfahren für die Autorisierung von Anfragen fest.
• Legen Sie ein Verfahren zur Dokumentation von Änderungen an Zugriffsberechtigungen fest.
• Entdecken und deaktivieren Sie alle inaktiven Benutzerkonten.

Worauf Sie bei einer Privileged Account Management-Lösung achten sollten

Es stehen viele Privileged Account Management (PAM)-Lösungen zur Verfügung, die es Unternehmen erleichtern, den Missbrauch privilegierter Konten zu verhindern, zu erkennen und darauf zu reagieren. Um die richtige Lösung auszuwählen, müssen Sie auf bestimmte Dinge achten, darunter:

• Die Fähigkeit, einen Angriff oder einen Verstoß gegen Sicherheitsrichtlinien umgehend zu erkennen, bevor er sich auf den Geschäftsbetrieb auswirkt.
• Die Möglichkeit, eine unveränderliche Aufzeichnung von Warnungen zu führen, die über ein einziges Dashboard überprüft werden können.
• Die Möglichkeit, eine Bewertung jedes Benutzers zu führen, um Trends zu überwachen und böswillige Aktivitäten vorherzusagen, bevor sie auftreten.
• Die Möglichkeit, inaktive Benutzerkonten zu erkennen und zu verwalten.
• Die Fähigkeit, Ereignisse zu erkennen und darauf zu reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen, z. B. wenn eine große Anzahl von Dateien verschlüsselt ist oder wenn mehrere Anmeldeversuche innerhalb eines bestimmten Zeitraums fehlschlagen.

Der Missbrauch privilegierter Konten ist sehr schwer zu verhindern, da vorbeugende Maßnahmen nur so lange wirksam sind, bis der Angreifer Zugriff auf ein privilegiertes Konto erhält. Handelt es sich bei dem Bedrohungsakteur ebenfalls um einen böswilligen oder fahrlässigen Mitarbeiter, hat er möglicherweise bereits legitimen Zugriff auf ein privilegiertes Konto. In diesem Fall müssen Sie sich mehr auf die Erkennung als auf die Prävention konzentrieren. Um den Missbrauch privilegierter Konten zu erkennen, müssen Sie zunächst eine Grundlage für das typische Benutzerverhalten erstellen. Beispielsweise arbeiten Mitarbeiter in der Regel jeden Tag auf die gleiche Weise. Sie greifen zu bestimmten Tageszeiten, von einem bestimmten Standort aus, mit einem bestimmten Gerät usw. auf dieselben Systeme zu. Durch die Erstellung eines Benutzerprofils durch die Aufzeichnung dieser Aktivitäten können Sie Muster erkennen, anhand derer Sie potenziell schädliche Aktivitäten erkennen können.