Datensicherheit und Identitätsschutz gehören zusammen Bei der Datensicherheit kommt es auch auf die Identität an!

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Moderne Datensicherheitsplattformen müssen das Identitätsrisiko und den Kontext integrieren, um ein effektives Posture Management sowie die Bedrohungserkennung und -reaktion zu ermöglichen.

Datensicherheitsplattformen (DSP) ermöglichen es Unternehmen, Daten vor Diebstahl, unzulässiger Weitergabe und unberechtigtem Zugriff zu schützen. Viele DSPs regeln die Datensicherheit durch die Kontrolle von Berechtigungen und Labels. Sie schränken ein, wer auf Daten zugreifen, sie ändern oder weitergeben darf. Diese Plattformen identifizieren Daten, die nicht klassifiziert und gekennzeichnet wurden, und weisen auf Benutzer mit zu weit gefassten Zugriffsrechten hin. Auf diese Weise helfen sie bei der Umsetzung des Least-Privilege-Ansatzes. Allerdings fehlt ihnen in der Regel ein entscheidender Faktor: die Identität.

Daten und Zugriffsereignisse sind jedoch untrennbar mit der Identität verbunden. Sicherheitsteams überwachen den Datenzugriff und die Verwaltung, indem sie sich auf das „Wer“ einer Aktion konzentrieren, einschließlich nicht-menschlicher Identitäten wie Maschinen- und Dienstkonten. Aus diesem Grund muss eine effektive DSP die Identität einbeziehen und in den entsprechenden Kontext bringen.

Das „Wer“ verstehen

Die Analyse von 35 der US-amerikanischen Börsenaufsicht gemeldeten Cybervorfällen zwischen Januar und August 2024 ergab, dass mehr als die Hälfte (57 Prozent) der untersuchten Cyberangriffe mit einem Identitätsmissbrauch begann. Dabei waren die sensitiven Unternehmensdaten das Hauptziel der Cyberkriminellen.

Dass trotz einer verbreiteten Nutzung von Multifaktor-Authentifizierung immer noch Konten kompromittiert werden, mag verwundern. Hierfür gibt es allerdings Gründe:

• Anwenderfehler und mangelnde Schulung: Einige Benutzer bestätigen möglicherweise Authentifizierungsanfragen, ohne den Ursprung der Anfrage zu erkennen. Dies gilt insbesondere, wenn sie viele MFA- und OTP-Anfragen erhalten.

• Phishing-Angriffe: Angreifer verwenden Phishing-E-Mails, um Benutzer dazu zu bringen, ihre Anmeldeinformationen und andere Faktoren auf gefälschten Anmeldeseiten anzugeben. Auf diese Weise lässt sich MFA aushebeln.

• Token-Diebstahl: Angreifer entwenden Authentifizierungstoken und können so die MFA vollständig umgehen. Anschließend verwenden sie Erneuerungs-Tokens, um das gestohlene Token immer wieder zu erneuern.

• MitM-Angriffe: Bei Man-in-the-Middle-Angriffen werden Anmeldeinformationen und MFA-Tokens abgefangen, so dass Angreifer die Zugangskontrollrichtlinien umgehen können.

Unternehmen können die Sicherheit durch Phishing-resistente Authentifizierung und Richtlinien für den bedingten Zugriff erhöhen. Dennoch werden Jahr für Jahr immer wieder Identitäten kompromittiert. Weder die Identitätssicherheit noch die Datensicherheit können wichtige Ressourcen allein schützen.

Datensicherheit und Identitätsschutz gehören zusammen

Aus diesem Grund muss eine effektive Datensicherheit auch immer die Identität mit einbeziehen. Dabei kommt es insbesondere auf drei Punkte an.

1. Identitätsstatus
Um die Auswirkungen von Sicherheitsverletzungen zu begrenzen, benötigen Sicherheitsverantwortliche einen Überblick über die Identitätslage. Es ist wichtig, den Status von Gast- und internen Benutzeridentitäten, die Verteilung von privilegierten Rollen und Gruppenmitgliedschaften zu verstehen und zu wissen, wie sich diese im Laufe der Zeit entwickeln.

Einige DSPs können zwar feststellen, ob eine Site oder eine Datei gekennzeichnet ist und welche Gruppe(n) Zugriff auf diese gekennzeichneten Dateien haben, aber sie haben keinen Einblick in Änderungen der Gruppenmitgliedschaft oder des Eigentümers. Zum Beispiel sind viele Labels in Microsoft 365 an eine Gruppe von Personen gebunden, die von Microsoft Entra ID verwaltet werden. Angreifer, die erfolgreich einer bestimmten Gruppe beitreten oder sich selbst unbemerkt zu dieser Gruppe hinzufügen, erhalten so Zugriff auf sensitive Dateien, die unter die entsprechende Kennzeichnungsrichtlinie fallen.

Gerade in Bezug auf KI-Assistenten ist es von entscheidender Bedeutung zu verstehen, wie sich Identitäten, Berechtigungen und Gruppen in der Umgebung ändern: Lösungen wie Microsoft 365 Copilot stützen sich bei der Bereitstellung von Informationen stark auf diese Faktoren. Copilot generiert die Antworten auf Grundlage der Daten, auf die der entsprechende Nutzer zugreifen kann, einschließlich Dokumente, E-Mails, Kalender, Chats, Meetings und Kontakte. So kann ein Angreifer, der die richtige Rolle erlangt oder der richtigen Gruppe beitritt, mithilfe von KI schnell auf gewünschte E-Mails oder Dokumente zugreifen, ohne bestimmte DLP-Richtlinien auszulösen. Aus Security-Sicht ist dieser Fall besonders schwierig, da es sich um den richtigen Benutzer, den richtigen Zugang, die richtige Aufforderung, aber den falschen Menschen handelt.

2. Bedrohungserkennung und -reaktion
Die Korrelation von Identitätsereignissen und -warnungen mit Datenereignissen ist wichtig, um zu erkennen, wann und wo ein Verstoß vorliegt. Sicherheitsteams sollten in der Lage sein, Bedrohungen innerhalb einer DSP leicht zu erkennen, z. B. wenn ein Benutzer die Berechtigungen einer Datenressource anpasst und sich gleichzeitig zu ungewöhnlichen Zeiten anmeldet oder sein Passwort zurücksetzt.

Jedes dieser Ereignisse mag für sich genommen legitim und unbedeutend erscheinen. In der Kombination weisen sie jedoch auf ein potenzielles Problem hin. Deshalb sind in fortschrittlichen Datensicherheitsplattformen Daten- und Identitätssicherheit vereint.

3. Korrelation
Die Verknüpfung von Datenereignissen und Warnmeldungen mit der Identität ist eine Herausforderung. Insbesondere die Zuordnung mehrerer Identitäten und Systeme zu einem einzigen Benutzer kann unmöglich erscheinen. Dies liegt daran, dass Mitarbeitende oft mehrere lokale Identitäten in On-Premises-Systemen oder Cloud-Anwendungen haben. Innovative DSPs helfen dabei, diese Identitäten zu korrelieren, um Angriffe früher in der Angriffskette zu erkennen.

Angreifer befinden sich meist lange in den Systemen und bewegen sich dabei oft lateral, um sensitive Daten zu finden. Jede Bewegung hat eine Signatur. Sicherheitsverantwortliche müssen in der Lage sein, diese Signaturen schnell zu erkennen. Dabei dürfen sie sich nicht ausschließlich auf SIEM-Lösungen und SOCs verlassen, da die Analyse dieser großen Datenmengen Zeit benötigt und entsprechend Reaktionen zu spät ausgelöst werden könnten.

Darüber hinaus beginnen immer mehr Unternehmen mit dem Einsatz unterschiedlicher KI-Lösungen. Eine effektive Verwaltung von Identitäten, Eingabeaufforderungen und Datenzugriff über viele verschiedene KI-Lösungen hinweg ist so von entscheidender Bedeutung für den sicheren Einsatz und Erfolg.

Moderne DSPs müssen mit Identitätsmanagement-Lösungen integriert werden, um ein effektives Posture Management sowie Bedrohungserkennung und -reaktion zu ermöglichen. Durch die Verknüpfung von Identitätsereignissen mit Datenaktionen können Sicherheitsteams Bedrohungen besser erkennen und Verstöße schnell beheben. Diese Integration vereinfacht die Konfigurationen und bietet eine tiefe Transparenz. Dies trägt auch der wachsenden Komplexität von KI-Implementierungen Rechnung. Denn eines wird sich auch in Zukunft nicht ändern: Cyberkriminelle haben es auf die wertvollen Daten abgesehen. Deshalb muss ihr Schutz ins Zentrum der Sicherheitsstrategie.

Über den Autor: Volker Sommer ist Regional Sales Director DACH & EE von Varonis Systems.

(ID:50491660)