Entitlement Creep Die Gefahren schlummernder Zugriffsrechte

Anbieter zum Thema

FTAPI Software GmbH

Specops Software GmbH

Wenn Unternehmen neue Mitarbeiter einstellen oder es interne Positionswechsel gibt, hat das auch Folgen für die IT-Sicherheit, denn das neue Personal braucht natürlich Zugriffsrechte auf Dateien und Ordnerstrukturen. Oft werden dabei neue Benutzer schnell im Netzwerk freigeschaltet, selten wird aber im laufenden Betrieb geprüft, welche Konten noch worauf Zugriff haben.

Die Zahl der digitalen Identitäten in einem Unternehmen nimmt durch solche Effekte rasant zu, was es für Sicherheitsleute schwieriger denn je macht, jede einzeln zu verwalten und zu aktivieren. Diese schleichende Ansammlung von Zugriffsberechtigungen wird als Entitlement Creep bezeichnet. Den Blick über alle Privilegien zu behalten, wird noch schwieriger, wenn Unternehmen mit der Konfiguration von Berechtigungen auf Anwendungen und Infrastrukturen beauftragt werden, sobald Personen den Zugriff auf eine wachsende Vielfalt von Cloud- und lokalen Orten benötigen.

Jüngste Untersuchungen von Gartner zeigen, dass die Zahl der unterschiedlichen Berechtigungen bei verschiedenen Cloud-Service-Anbietern im Durchschnitt die 5000 überschritten hat. Darüber hinaus nutzen mehr als 95 Prozent der Konten innerhalb von IaaS-Umgebungen im Durchschnitt weniger als 3 Prozent der gewährten Berechtigungen. Es ist klar, dass IAM-Teams alle Hände voll zu tun haben, wenn sie versuchen, den schmalen Grat zwischen geschäftlicher Effizienz und Sicherheit zu überwinden. Noch offenkundiger ist, dass die Angestellten im Großen und Ganzen zu viel Zugriff haben. Abgesehen davon, dass dies unnötig ist, kann es für die IT-Sicherheit eines Unternehmens gefährlich werden.

Eile mit Weile

Der Grund für die übermäßige Zugriffsverteilung scheint einfach und in einigen Fällen sogar harmlos zu sein: Wenn Mitarbeiter den Arbeitsplatz, die Rolle oder das Projekt wechseln, oder sogar das Unternehmen verlassen, benötigen sie wahrscheinlich neue Berechtigungen, damit sie ihre Aufgaben effizient erledigen können, oder die vorhandenen müssen entfernt werden. Da Unternehmen es jedoch eilig haben, diese Mitarbeiter mit diesen Berechtigungen auszustatten, vergessen sie möglicherweise, dass sie über Prozesse verfügen, um alte Zugriffsrechte zu entfernen, die im Rahmen der neuen Rolle nicht mehr benötigt werden. Da die Mitarbeiter immer häufiger den Arbeitsplatz wechseln, kann dies zu einer schleichenden Anhäufung von Privilegien und Zugriffsrechten führen. Oftmals werden diese Berechtigungen nicht mehr benötigt und haben keine Auswirkungen auf die Produktivität, wenn sie entfernt werden. Trotzdem ist die Ausweitung von Berechtigungen in Unternehmen nur allzu häufig anzutreffen. Ohne eine angemessene Kontrolle darüber, wer auf was zugreifen darf und warum, entstehen Sicherheitslücken.

Übermäßige Privilegien wegen fehlender Übersicht

Die meisten Unternehmer sagen, dass sie sich dem Prinzip des Least Privilege verpflichtet fühlen. In einer kürzlich von ESG durchgeführten Untersuchung gaben jedoch 45 Prozent der Unternehmer zu Protokoll, dass sie Schwierigkeiten haben, zu erkennen, welche Benutzer auf welche Daten zugreifen können. Das verwundert nicht, denn ohne ein angemessenes Identitäts-Lebenszyklus-Management, mit dem veraltete Zugriffsrechte entzogen werden können, ist es leicht, diesen Grundpfeiler der Cyber-Sicherheit zu beschädigen. DDieser Fehler kommt häufig bei der Identitätsverwaltung vor, da Angestellte häufig Berechtigungsdaten aus zahlreichen Quellen importieren müssen (wie CSV-Dateien, HR-Systeme, Cloud-Infrastrukturen, Anwendungsdaten). Diese werden benötigt, um zu ermitteln, wer Zugriff auf welche Daten benötigt. Darüber hinaus konzentrieren sich Unternehmen in der Regel mehr auf die Produktivität ihrer Benutzer und verfolgen einen Laissez-faire-Ansatz bei der Sicherheit. Dies ist besonders dann der Fall, wenn Mitarbeiter schnell Zugriff auf Dinge benötigen, oder wenn Drittanbieter erweitert werden, Mitarbeiter die Abteilung wechseln oder neue Aufgaben übernehmen.

Unsaubere Identitätsverwaltung ist mehr als ein weiteres Risiko

Die Zuordnung von Berechtigungsdaten aus einer Vielzahl unterschiedlicher Quellen stellt IAM-Teams und Auditoren gleichermaßen vor Herausforderungen. Da Mitarbeiter viele Berechtigungen sammeln, können ungenutzte Privilegien ein blinder Fleck für IAM- und Sicherheitsabteilungen sein und mit der Zeit zu einem Risiko werden. Verwaiste Konten sind eine wichtige Komponente der schleichenden Aneignung von Berechtigungen. Da die Mitarbeiter jedoch Zugriffsrechte behalten, die sie nicht mehr benötigen, kann die Zuweisung von Eigentumsrechten oder sogar das Auffinden und Korrelieren verwaister Konten eine zeitraubende Aufgabe sein, die Lücken in der Überwachung der Umgebung schafft. Wenn Audits anstehen, können Gruppen ohne übersichtliche Berichte zudem viel Zeit und Kraft darauf verwenden müssen, überhaupt Daten darüber zu sammeln, wer worauf Zugriff hat. Zeit wird vergeudet, aber häufig kann ein fehlgeschlagenes Audit sogar zu finanziellen Nachteilen, Rufschädigung und mehr führen, denn ein von Hackern übernommenes Benutzer-Konto, dass sehr viele Berechtigungen angehäuft hat, ist wie der Schlüssel zu den Toren der Stadt – besonders dann, wenn die IT-Verantwortlichen nicht wissen, dass dieses Konto über so viele Berechtigungen verfügt, oder überhaupt noch existiert.

Bei Nachlässigkeit droht der Schneeball-Effekt

Leider handeln viele Abteilungen bei der Verwaltung und Pflege von Berechtigungen nach dem Motto: Wir kümmern uns darum, wenn wir müssen. Das ist inakzeptabel, doch ohne eine zentralisierte Lösung kann es unnötig erscheinen, sich überhaupt die Mühe zu machen, den Leuten die Berechtigungen zu entziehen; diese hatten bereits Zugang gewährt bekommen, warum sollte man sich nun darum kümmern, diesen zu entziehen? Solch eine Denkweise kann jedoch zu einem Berg ungenutzter Rechte und Berechtigungen führen. Wenn ein Audit ansteht oder eine neue Organisationsanweisung eingeführt wird, um alle Zugriffe zu erfassen, kann es nahezu unmöglich sein, die richtigen Berechtigungen zuzuweisen. Ohne eine angemessene, kontinuierliche Erfassung der Berechtigungen kann es zu einem Schneeball-Effekt kommen. Dann fallen Hunderttausende von Berechtigungen an, die es anzulegen und aufzuholen gilt, was nicht zu bewältigen ist.

Gegenmaßnahmen

Umfassende Identity Governance and Administration (IGA) ist in der Lage, die Lebenszeit von digitalen Identitäten, wie Benutzerkonten, zu überblicken, sodass bei einem Wechsel dieser Identitäten von einer Abteilung zur anderen, oder bei der Verlängerung von Verträgen mit Vertragspartnern, diese automatisch mit dem richtigen Zugang ausgestattet werden, um ihre Aufgaben erfüllen zu können – mehr aber nicht. So können Identitäten auf durchdachte Weise mit ausreichendem Zugang ausgestattet werden, damit die Angestellten dahinter produktiv bleiben. Saubere IGA stellt jedoch auch sicher, dass der Zugang, der für die Ausführung einer bestimmten Aufgabe nicht mehr erforderlich ist, gekennzeichnet und automatisch deaktiviert wird. Dies ist ein Hauptanwendungsfall von IGA, der dazu beitragen kann, eine schleichende Ausdehnung der Berechtigungen zu verhindern.

Außerdem können Unternehmen IGA nutzen, um die Fähigkeit zur Erstellung von Zugriffspaketen durch Rollen oder Richtlinien zu delegieren. Diese enthalten Ressourcen, die Identitäten beantragen können und listen die Personen, die den Zugriff genehmigen müssen. Ordentliches IGA muss klarstellen, welche Arten von Berechtigungen verfügbar sind und welche Berechtigungen für die jeweilige Aufgabe erforderlich sind, damit Personen Zugriffsanfragen stellen und diese wiederum genehmigt werden können. Die Einbindung von Zertifizierungskampagnen, während derer schnell geprüft werden kann, ob Berechtigungen noch genutzt werden, ist ebenfalls eine Kernaufgabe vollwertiger IGA. Auf diese Weise entsteht erst gar kein Schneeball, sondern alle Identitäten verfügen stets bloß über die Zugriffsberechtigungen, die sie wirklich benötigen, während überflüssige Identitäten entfernt werden. Die Sicherheitslücke, dass ein Konto für Hacker besonders lukrativ wird, weil es verwaist ist und haufenweise Zugriffsberechtigungen aufweist, wird geschlossen.

Über den Autor: Andrew Silberman ist Product Marketing Director bei Omada.

(ID:48537834)