Wie verbessert die Privilegientrennung die IT-Sicherheit?

Bei der Privilegientrennung handelt es sich um eine Technik zur Trennung von Teilen einer IT-Umgebung basierend auf ihren Benutzern und deren Rollen. Stellen Sie sich beispielsweise vor, ein Benutzer würde ein Schadprogramm herunterladen, beispielsweise eine Ransomware-Anwendung. Wenn dieser bestimmte Benutzer als Administrator angemeldet wäre, hätte die Ransomware-Anwendung praktisch dieselben Berechtigungen wie dieser Benutzer. Offensichtlich könnte dies katastrophale Folgen haben.

Die Privilegientrennung wird durch die Durchsetzung des „Prinzips der geringsten Privilegien“ erreicht, das auf dem Prinzip basiert, dass Benutzer nur Zugriff auf die Ressourcen haben sollten, die sie benötigen, um ihre Aufgaben angemessen erfüllen zu können. Es ist jedoch auch zu beachten, dass PoLP auch auf Anwendungen, Peripheriegeräte und Systemprozesse angewendet werden kann.

Bevor PoLP durchgesetzt werden kann, müssen wir zunächst ein klares Verständnis darüber entwickeln, welche Daten wir haben und wo sich diese Daten befinden. In den meisten Unternehmen sind die Daten überall verstreut, und das manuelle Durchsuchen langjähriger archivierter Daten wäre eine langsame und umständliche Aufgabe. Ein besserer Ansatz wäre die Verwendung eines kommerziellen Datenerkennungs- und -klassifizierungstools, das eine Vielzahl von Datentypen wie PII, PCI und PHI automatisch erkennen und klassifizieren kann.

Sobald wir wissen, wo sich unsere sensiblen Daten befinden, können wir damit beginnen, diesen Daten Zugriffskontrollen zuzuweisen. Grundsätzlich können wir zwei Ansätze verfolgen: Rollenbasierte Zugriffskontrolle (RBAC) und Attributbasierte Zugriffskontrolle (ABAC). Der Hauptunterschied zwischen RBAC und ABAC besteht darin, dass ABAC eine detailliertere Kontrolle darüber bietet, wer auf was zugreifen kann. In den meisten Fällen reicht jedoch eine rollenbasierte Zugriffskontrolle aus.

Es gibt viele Arten von Rollen, die eingerichtet werden können, und diese Rollen variieren von Unternehmen zu Unternehmen. Dazu können beispielsweise Administratoren, Besitzer, Mitwirkende, Leser, Backup-Operatoren usw. gehören. Darüber hinaus könnten diese Rollen mit anderen Kategorien wie Abteilung und physischem Standort verknüpft werden. Sobald wir die Rollen und ihre Zugriffsrechte zugeordnet haben, können wir diesen Rollen Benutzer zuweisen. Wie bereits erwähnt, müssten wir für Anwendungen, Peripheriegeräte und Systemprozesse denselben Prozess befolgen.

Natürlich ist das alles schön und gut, aber die Privilegientrennung nützt nicht viel, wenn wir keine Möglichkeit haben, Änderungen an diesen Privilegien zu dokumentieren, und Privilegien können aus verschiedenen Gründen Änderungen unterliegen. Vielleicht wird jemand befördert oder wechselt in eine andere Abteilung/Filiale.

Alternativ kann ein Angreifer in das System eindringen und versuchen, seine Rechte auszuweiten, um Zugriff auf die sensiblen Daten eines Unternehmens zu erhalten. In diesem Fall benötigen wir eine Möglichkeit, undokumentierte Änderungen an Berechtigungen in Echtzeit zu überwachen. Um solche Eventualitäten zu bewältigen, müssen Unternehmen eine Lösung zur Analyse und Überwachung von Berechtigungsänderungen verwenden, um sowohl unbefugte als auch unerwartete Änderungen an Berechtigungen zu erkennen.

Lösungen wie die Lepide Data Security Platform bieten ein intuitives Dashboard, in dem wir aktuelle Berechtigungen überprüfen können, einschließlich Details darüber, wann und von wem sie geändert wurden. Sie können verdächtige Berechtigungsänderungen in Echtzeit erkennen, alarmieren und darauf reagieren sowie benutzerdefinierte Berichte bereitstellen, die zur Erfüllung gesetzlicher Compliance-Anforderungen verwendet werden können. Gelegentlich müssen Privilegien entzogen werden, beispielsweise wenn ein Mitarbeiter eine Organisation verlässt. Denn wenn sie zu schlechten Konditionen abreisen würden, könnte es ein kostspieliger Fehler sein, ihnen weiterhin Zugriff auf das Netzwerk zu gewähren.