Wie Lepide bei der Umsetzung des Prinzips der geringsten Privilegien hilft

Ein spezifisches Konzept, über das wir hier bei Lepide in letzter Zeit viel gesprochen haben, ist das Prinzip der geringsten Privilegien (PoLP). Mit dem Prinzip der geringsten Rechte soll sichergestellt werden, dass „ein Benutzer nur auf die Informationen und Ressourcen zugreifen kann, die er oder sie aus legitimen Gründen benötigt“.

Gelegenheiten bieten sich…

Es ist so wichtig, dieses Konzept zu verstehen. Wenn wir die Grundursachen von Datenlecks analysieren, gibt es so viele Fälle, die auf Opportunismus zurückgeführt werden können. Oftmals sind die Täter von Datenlecks nicht von Natur aus böswillig. Sie gehören keiner organisierten Kriminalitätsgruppe an und sind keine hartgesottenen ausländischen Hacker. Es sind „normale“ Angestellte. Möglicherweise sind sie uninteressiert, aber so oder so sind sie Opportunisten. Diese Personen erkennen, dass sie Zugriff auf Daten (Dateien oder Ordner) haben, die sie zum persönlichen oder finanziellen Vorteil nutzen oder missbrauchen können.

Ein aktuelles Beispiel, das wir hatten, war ein Dienstleistungsunternehmen mit Sitz in den USA (das aus offensichtlichen Gründen namentlich nicht genannt wird). Den Mitarbeitern der Vertriebsabteilung wurde klar, dass sie auf den Ordner „Genehmigte Ausgaben“ zugreifen und die Ausgabenbeträge ändern konnten, nachdem die Ausgaben genehmigt wurden, und dass sie eine entsprechende Rückerstattung erhielten. In diesem Fall war PoLP definitiv nicht in Kraft. Wir sehen dieses Problem so oft, wenn Mitarbeiter über unverhältnismäßige oder unangemessene Berechtigungen für Daten verfügen.

Daten sind Geld…

Daten sind das Äquivalent von barem Geld. Da es sich jedoch nicht um physische oder greifbare Daten handelt, herrscht unter den Mitarbeitern der Eindruck, dass das „Berühren“, Weitergeben oder Kopieren der Daten eigentlich kein greifbares Verbrechen darstellt. Vielleicht ist das Problem der Datensicherheit einfach ein Problem der Wahrnehmung?

Die Statistiken sind besorgniserregend…

Hier bei Lepide sind wir nun seit etwas mehr als 14 Jahren in dieser Branche tätig und haben mit einigen der größten Unternehmen der Welt zusammengearbeitet. Wir sind ehrlich gesagt schockiert, wie wenig Zeit und Mühe in die Gewährleistung der geringsten Privilegien investiert wird.

Unserer Untersuchung zufolge sind nur 60 % der mittelgroßen bis großen Unternehmen in der Lage, aktuelle Berechtigungen oder Änderungen an Berechtigungen proaktiv zu verfolgen.

Schlimmer noch: 65 % aller Unternehmen verfügen nicht über einen Prozess oder Mechanismus zur Nachverfolgung/Benachrichtigung basierend auf der Interaktion von Benutzern mit ihren Daten.

Wir verstehen die Komplexität solcher Probleme vollkommen und sind uns darüber im Klaren, dass die Bewältigung der Berechtigungsausuferung für Unternehmen eine echte Herausforderung darstellt. Wir glauben jedoch, dass ein proaktiverer Ansatz gewählt werden muss, wenn es um die geringsten Privilegien geht, damit Probleme wie Datenlecks, Insider-Bedrohungen und Missbrauch von Privilegien angemessen angegangen werden können.

Im Prinzip liegt dieses Konzept auf der Hand. Sie sollten nur den Personen, die Zugriff auf die Ressourcen benötigen, den Zugriff gewähren, den sie benötigen. In der Praxis funktioniert das bei vielen einfach nicht.

Wie kann die Lepide Data Security Platform helfen?

Wir wussten, dass wir Organisationen nachweislich dabei helfen konnten, den Überblick über Dateninteraktionen zu behalten, aber wir sahen eine echte Lücke in der Sicherheit unserer Kunden, wenn es um Zugriffsrechte ging.

Also, hier ist, was wir getan haben.

Wir haben uns in die „Schuhe“ unserer Interessenten hineinversetzt. Wir gingen das Szenario so an, als wären wir ein mittelständisches Finanzunternehmen. Beginnen Sie mit einer einfachen Google-Suche. Wir haben ein paar Begriffe ausprobiert und als erstes fiel uns auf, dass es deutlich an Auswahl mangelte. Als wir genauer nachforschten und es tatsächlich schafften, einige Anbieter zu finden, die sich als Anbieter von PoLP-Lösungen positionierten, wurde klar, dass die Optionen begrenzt waren und in drei verschiedene Kategorien eingeteilt werden konnten:

1. Diejenigen, die enorm teuer waren
2. Diejenigen, die sehr grob waren
3. Die, die zu kompliziert waren

In einigen Fällen fielen einige der Anbieter in mehr als eine dieser Kategorien. An diesem Punkt wussten wir, dass wir diesem Bereich einen Mehrwert verleihen konnten.

Als integrierte Funktion der Lepide Data Security Platform haben wir unsere aktuelle Berechtigungsfunktion eingeführt. Wir haben uns zum Ziel gesetzt, es so einfach, intuitiv und leicht einsetzbar wie möglich zu gestalten.

Das Ziel bestand darin, sicherzustellen, dass jede Organisation - unabhängig von Größe, Sektor oder Budget - in der Lage ist, eine Datei oder einen Ordner zu nutzen und zu zeigen, wer über welche Zugriffsebenen auf eine Datei oder einen Ordner verfügt, mit welchen Mitteln der Zugriff gewährt wurde und welche historischen Daten vorliegen Berechtigungen waren (alles mit nur wenigen Klicks). Wir wollten sicherstellen, dass Organisationen schnell und einfach die Informationen erhalten, die sie benötigen, um die Zugriffsrechte auf diejenigen zu beschränken, die sie rechtmäßig benötigen.

Sehen wir es uns in Aktion an…

Um die Berechtigungen aufrechtzuerhalten, enthält die Lepide Data Security Platform die folgenden Berechtigungsberichte für Active Directory.
1. Berechtigungsänderungen: Es werden alle Änderungen angezeigt, die an den Berechtigungen von Active Directory-Objekten vorgenommen wurden. Sie können sowohl den geänderten Wert als auch den Endwert nach der Änderung sehen.

2. Berechtigungsvergleich: Damit können Sie die Berechtigungen eines Objekts zwischen zwei Daten vergleichen.

3. Alle Berechtigungen für ein Objekt: Zeigt alle Berechtigungen an, die einem Objekt von anderen Active Directory-Objekten erteilt wurden.

4. Berechtigungen eines Objekts: Zeigt alle wirksamen Berechtigungen an, die Objekte besitzen.

Das Beste an der Lepide Data Security Platform ist, dass sie Benutzerberechtigungsänderungen in der gesamten IT-Infrastruktur verfolgt, einschließlich Active Directory, Exchange Server, SharePoint Server, SQL Server, Exchange Online, Windows File Server und NetApp Filers .

Im folgenden Screenshot können Sie mithilfe der Dateiserver-Überwachungsfunktionen von Lepide genau sehen, welche Änderungen an den Berechtigungen der Benutzer für einen betreffenden Ordner vorgenommen wurden.

Hier ist noch mehr drin. Unsere Lösung ist mit Berichten über historische Berechtigungsänderungen für Active Directory, Exchange Server und Dateiserver ausgestattet. Damit können Sie sehen, welche Änderungen an den Berechtigungen von Objekten, Postfächern, Dateien und Ordnern in Ihrer gesamten IT-Infrastruktur vorgenommen werden. Sie können den gesamten Berechtigungsverlauf einsehen und die Berechtigungen zwischen zwei angegebenen Daten vergleichen. In diesem Screenshot können Sie historische Berechtigungen für eine betreffende Datei basierend auf einem angegebenen Datumsbereich sehen:

Zur Live-Wartung der Benutzerrechte für Daten zeigen wir die Analyse der aktuellen Berechtigungen der Benutzer für alle freigegebenen Ordner und deren Dateien. Diese werden nach dem Vergleich der Freigabeberechtigungen mit den NTFS-Berechtigungen ausgewertet. Sehen Sie sich hier ein Beispiel an.

Eine weitere wichtige Funktion, die wir entwickelt haben, um unseren Kunden mit den geringsten Privilegien zu helfen, ist die Alarmierung in Echtzeit. Dies ermöglichte es Organisationen, proaktiv zu verfolgen, ob ein Benutzer einer Sicherheitsgruppe hinzugefügt oder eine Berechtigung direkt geändert wurde. Der größte geschäftliche Vorteil besteht hier natürlich darin, dass Sie dazu beitragen können, die Ausbreitung von Berechtigungen zu reduzieren. Wenn jemandem versehentlich unangemessene/illegitime Berechtigungen erteilt werden, haben Sie eine proaktive Möglichkeit, den Überblick zu behalten.

In diesem Screenshot sehen Sie eine E-Mail, die als Echtzeitwarnung an einige Benutzer gesendet wurde, wenn Berechtigungen des Standardcontainers „Benutzer“ geändert wurden.

Solche Warnungen können auch als Push-Benachrichtigung an die Lepide Mobile App (verfügbar für Android- oder Apple-Geräte) oder als Updates auf dem integrierten Radar Tab gesendet werden.

Sogar automatisierte Skripte (wie ein Befehl zum Herunterfahren des Computers oder zum Beenden eines Dienstes), um plötzlichen, aber kritischen Berechtigungsänderungen entgegenzuwirken, können ebenfalls ausgelöst werden. Das Auslösen eines Skripts ist also hier, aber wie können Sie eine unerwünschte Berechtigungsänderung in Active Directory oder eine unerwünschte Änderung der Berechtigungsrichtlinie in Gruppenrichtlinien wiederherstellen? Machen Sie sich keine Sorgen, wir verfügen über unsere proprietäre Technologie zur Sicherung und Wiederherstellung des Objektstatus. Unsere Lösung erfasst die Backup-Snapshots in regelmäßigen Abständen, die verwendet werden können, um die Änderungen in Active Directory-Objekten und deren Berechtigungen sowie ganzen Gruppenrichtlinien mit wenigen Klicks wiederherzustellen.

Zusammenfassung

Wir behaupten nicht eine Minute lang, dass der Einsatz der Lepide Data Security Platform Sie vor überprivilegierten Benutzern schützt. Wir können Ihnen jedoch auf jeden Fall dabei helfen, solche Risiken zu mindern, indem wir Ihnen eine einfache, proaktive Möglichkeit bieten, die Erkenntnisse zu gewinnen, die Sie benötigen, um Ihr Unternehmen in die Lage zu versetzen, die Policy of Least Privilege umzusetzen.