So implementieren Sie das Prinzip der geringsten Rechte in der Cloud

Das Prinzip der geringsten Rechte (PoLP) besagt, dass Benutzern die geringsten Rechte gewährt werden sollten, die sie zur Ausübung ihrer Rolle benötigen, und ist wohl eines der wichtigsten Prinzipien der Datensicherheit.

PoLP trägt dazu bei, die Angriffsfläche zu minimieren - es begrenzt den Schaden, der verursacht werden kann, wenn ein Angreifer Zugriff auf eine Reihe von Anmeldeinformationen erhält. Ebenso trägt PoLP zum Schutz vor fahrlässigen und böswilligen Insidern bei.

Da Regierungen auf der ganzen Welt ihre eigenen strengen Datenschutzbestimmungen einführen, könnte eine unzureichende Einschränkung des Zugriffs auf personenbezogene Daten zu kostspieligen Klagen und Geldstrafen führen.

Was ist das Prinzip des geringsten Privilegs?

Theoretisch ist PoLP sehr einfach. Allen Identitäten - sowohl menschlichen als auch nichtmenschlichen - müssen die geringsten Privilegien gewährt werden, die sie benötigen, und das für die kürzestmögliche Zeitspanne. Allerdings gibt es einen großen Unterschied zwischen Theorie und Praxis.

Der Versuch, herauszufinden, welche Privilegien jeder Benutzer (oder jede Benutzergruppe) in einem zentralisierten, selbstgehosteten Netzwerk haben sollte, ist eine Herausforderung für sich. Da IT-Umgebungen immer komplexer, verteilter und dynamischer werden, wird die Herausforderung immer größer.

Heutzutage sind viele IT-Umgebungen auf mehrere Cloud-Plattformen verteilt, von denen jede über eigene Zugriffskontrollmechanismen, Ereignisprotokolle und Prüffunktionen verfügt. Dies führt dazu, dass Sicherheitsteams häufig nicht wissen, welche Daten sie haben, wo sie sich befinden, wer wie lange Zugriff darauf haben sollte.

Die Beschränkung von Zugriffsrechten muss mit einem hohen Maß an Präzision erfolgen, nicht nur um sensible Daten zu schützen, sondern auch um sicherzustellen, dass Mitarbeiter ihre Aufgaben ohne unnötige Einschränkungen angemessen wahrnehmen können. Man kann mit Fug und Recht sagen, dass Ihre Mitarbeiter nicht allzu beeindruckt sein werden, wenn sie die IT-Abteilung ständig um den Zugriff auf die benötigten Daten belästigen müssen, und es wird der IT-Abteilung auch keinen großen Spaß machen.

Tipps zur Implementierung von Least Privilege in der Cloud

Die Zuweisung der entsprechenden Zugriffskontrollen erfordert einige anfängliche Verwaltungsarbeiten, zu denen das Auffinden Ihrer kritischen Vermögenswerte und das Entfernen aller überflüssigen Daten und Konten gehört. Wenn Sie das Prinzip der geringsten Rechte in der Cloud implementieren, sollten Sie idealerweise eine einzige IAM-Lösung (Identify Access Management) und eine einzige Lösung zur Überwachung von Berechtigungen verwenden. Die von Ihnen gewählte Auditing-Lösung sollte in der Lage sein, Ereignisprotokolle von mehreren Cloud-Plattformen sowie Hybridumgebungen zu aggregieren und zu korrelieren.

1. Entdecken und klassifizieren Sie Ihre sensiblen Daten

Der beste Ausgangspunkt wäre vielleicht, sicherzustellen, dass wir genau wissen, welche sensiblen Daten wir haben und wo sie sich befinden. Die meisten gängigen Cloud-Plattformen bieten sofort einsatzbereite Datenklassifizierungsfunktionen, darunter AWS, Azure und Google Cloud. Für Multi-Cloud- oder Hybridumgebungen gibt es jedoch Lösungen von Drittanbietern, die Ihre lokalen und Remote-Repositorys scannen und sensible Daten automatisch erkennen und klassifizieren, sobald sie gefunden werden. Einige Lösungen können sensible Daten auch bereits bei der Erstellung klassifizieren. Es empfiehlt sich immer, sicherzustellen, dass alle redundanten Daten entfernt werden, bevor Sie versuchen, PoLP zu implementieren. Der Aufbau eines umfassenden Verständnisses darüber, über welche Daten Sie verfügen, erleichtert die Vergabe von Zugriffsrechten erheblich.

2. Rollenbasierte Zugriffskontrolle (RBAC) implementieren

Eine gängige Technik zur Vereinfachung des PoLP-Einrichtungsprozesses ist die rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC). Anstatt zu versuchen, bestimmten Personen Zugriffsrechte zuzuweisen, können Sie einen umfassenden Satz von Rollen mit jeweils ihren jeweiligen Berechtigungen definieren und Benutzer diesen Rollen auf Ad-hoc-Basis zuweisen. Während RBAC wohl weniger granular ist als die Zuweisung von Zugriffsrechten auf Benutzerbasis, ist es im Allgemeinen sicherer, da es weniger fehleranfällig ist. Die meisten gängigen Cloud-Plattformen bieten eine rollenbasierte Zugriffskontrolle, darunter AWS, Azure und Google Cloud.

3. Identifizieren und entfernen Sie inaktive Benutzerkonten

Sie müssen sicherstellen, dass alle inaktiven Benutzerkonten identifiziert und entfernt werden, bevor Sie PoLP implementieren. Da inaktive Benutzerkonten selten überwacht werden, greifen Hacker sie häufig ins Visier, da sie so dauerhaften Zugriff auf das Netzwerk erhalten und das Risiko, erwischt zu werden, geringer ist.

4. Überwachen Sie privilegierte Konten in Echtzeit

Sie müssen sicherstellen, dass Sie einen möglichst umfassenden Überblick darüber haben, wer wann bereits auf welche Daten zugreift. Die meisten Echtzeit-Auditing-Lösungen verwenden Techniken des maschinellen Lernens, um das Benutzerverhalten zu überwachen und Nutzungsmuster zu erstellen, anhand derer Tests durchgeführt werden können, um Anomalien zu identifizieren. Sobald Sie die Verhaltensmuster jedes Benutzers verstanden haben, können Sie diese Informationen als Leitfaden verwenden, um zu bestimmen, auf welche Daten jeder Benutzer Zugriff haben sollte.

5. Implementieren Sie dynamische Zugriffskontrollen und Just-In-Time-Zugriff (JIT).

Natürlich kann es vorkommen, dass ein Benutzer Zugriff auf Assets benötigt, auf die er normalerweise keinen Zugriff benötigt. Aus offensichtlichen Gründen können wir einem Benutzer nicht einfach Zugriff gewähren, nur weil er darum bittet. Es muss ein formelles Verfahren zur Feststellung der Legitimität ihres Antrags geben.

Wir müssen auch sicherstellen, dass wir den Personen vertrauen, die die Anfrage genehmigen. In einigen Fällen, insbesondere bei der Implementierung von PoLP, müssen Administratoren möglicherweise ein persönliches Interview mit bestimmten privilegierten Benutzern führen, um einen tieferen Einblick in die Daten zu erhalten, auf die sie Zugriff benötigen und warum.

Alle Zugriffsanfragen müssen zusammen mit ihrem Genehmigungsstatus aufgezeichnet und überwacht werden. Der Datensatz sollte Informationen über den Benutzer enthalten, der die Zugriffsanfrage gestellt hat, sowie über den Benutzer, der die Anfrage genehmigt/ablehnt. Die Aufzeichnung sollte auch Angaben zu Datum und Uhrzeit der Anfrage/Genehmigung, den verwendeten Geräten und anderen relevanten Informationen enthalten.

Beim Just-In-Time-Zugriff (JIT) handelt es sich um den Prozess, der es Organisationen ermöglicht, für einen begrenzten Zeitraum Zugriff auf Ressourcen zu gewähren. Es wäre nicht ratsam, JIT manuell zu implementieren, da Menschen fehleranfällig sind und wahrscheinlich vergessen, den Zugriff zu widerrufen.
Stattdessen sollten Sie eine automatisierte Lösung verwenden, die entweder eine Warnung auslöst, wenn die Zugriffsrechte ablaufen, oder den Zugriff einfach automatisch widerruft. Viele Datensicherheitsplattformen ermöglichen es Unternehmen, Ereignisse zu erkennen und darauf zu reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen, oder Anomalien im Benutzerverhalten und in Trends zu erkennen - auch wenn der Zugriff eines Benutzers widerrufen werden soll. Beispielsweise kann nach einer bestimmten Zeitspanne eine Warnung ausgelöst oder ein Skript ausgeführt werden, das einem bestimmten Benutzer (oder einer bestimmten Rolle) die Berechtigungen entzieht.

Wie Lepide hilft

Zusammenfassend lässt sich sagen, dass die Zuweisung der entsprechenden Zugriffsrechte keine einfache Vorgehensweise ist. Dazu ist zunächst ein tiefgreifendes Verständnis Ihrer Daten erforderlich. Es erfordert sorgfältige Überlegungen zur Struktur Ihres Unternehmens, um Ihnen bei der Definition der Rollengruppen zu helfen, denen Sie Benutzer zuweisen. Es erfordert einen klaren Einblick in die Art und Weise, wie auf Ihre Daten zugegriffen wird, und die Fähigkeit, Nutzungsmuster zu erlernen, um zu verstehen, welche Benutzer typischerweise auf welche Daten zugreifen. Schließlich benötigen Sie Prozesse zur Gewährung temporären Zugriffs und Technologien, die den Prozess des Zugriffsentzugs automatisieren können, wenn dieser nicht mehr benötigt wird.

Wenn Sie sehen möchten, wie Sie mit der Lepide Data Security Platform die geringsten Privilegien durch Datenklassifizierung, Zugriffsverwaltung und Verhaltensanalysen implementieren können, vereinbaren Sie eine Demo mit einem unserer Ingenieure oder starten Sie noch heute Ihre kostenlose Testversion.