Was muss MFA leisten? Was darf sie kosten? Multi-Faktor-Authentifizierung in Cloud-Umgebungen

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Specops Software GmbH

Eine der größten Sicherheitsbedrohungen geht heutzutage von kompromittierten Berechtigungsnachweisen und dem Missbrauch privilegierter Accounts aus. Dementsprechend stellt die Absicherung privilegierter Zugriffe auf Anwendungen, Server und Infrastrukturen die Basis einer effektiven Sicherheitsstrategie dar.

Dessen ist sich der Großteil der Security-Verantwortlichen in Unternehmen auch bewusst. Dennoch fällt es in der Praxis vielen nach wie vor schwer, zwischen einem berechtigten Administrator und einem Bedrohungsakteur, der kompromittierte Anmeldedaten verwendet, zu unterscheiden – insbesondere in verteilten und hybriden Cloud-Infrastrukturen. Konsequente Multi-Faktor-Authentifizierung (MFA) kann den Worst Case zwar verhindern, ihr Erfolg steht und fällt aber mit der ausgewählten Methode und dem Ort der Umsetzung.

Probates Mittel für mehr Sicherheit

Die flächendeckende Durchsetzung einer MFA ist ohne Zweifel eine der effektivsten Best Practices in der Zugriffskontrolle. Doch obwohl sie einfach umzusetzen und für regulierte Branchen wie Finanzdienstleister, das Gesundheitswesen oder den E-Commerce gemäß verschiedenen Richtlinien (wie PCI, HIPAA, PSD2, NIST usw.) sogar verpflichtend ist, ist MFA für viele Unternehmen noch längst nicht zum Standard geworden.

So zeigt eine weltweite Umfrage von CISOs und Sicherheitsverantwortlichen, dass 52 Prozent der Unternehmen kein MFA nutzen, um privilegierte Zugriffe wie etwa den Administratorzugriff zu schützen.

Dies ist umso erstaunlicher, als Analysten-Reports und Studien die Bedeutung von Mehrfachauthentifizierungen für nachhaltige Cybersicherheit immer wieder deutlich machen:

• 80 Prozent der Datenschutzverletzungen können laut Forrester Research auf kompromittierte Zugangsdaten zurückgeführt werden.

• 36 Prozent der User in Deutschland nutzen für mehrere Online-Dienste das gleiche Passwort, wie eine Bitkom-Befragung zeigt.

• 90 Prozent der verifizierten Phishing-E-Mails wurden laut einer Cofense-Studie in Umgebungen mit sicherem E-Mail-Gateway gefunden.

• Unternehmen, die ihren Fernzugriff erweitern, ohne MFA zu implementieren, erleben laut Gartner fünfmal so viele Kontoübernahmen wie solche, die auf MFA setzen.

Warum brauchen hybride Cloud-Umgebungen verhaltensbasierte MFA?

Das Prinzip MFA ist nicht neu, doch durch die vermehrte Cloud-Migration der letzten Jahre und die deshalb stark vergrößerte Angriffsfläche hat die Bedeutung der Mehrfachauthentifizierung als Teil einer starken Privileged-Access-Management (PAM)-Strategie deutlich zugenommen. Um bei unsachgemäßen Konfigurationen ihrer Multi-Cloud-Infrastrukturen oder kompromittierten Passwörtern für Cloud-Anwendungen nicht den Supergau zu erleben, brauchen IT-Abteilungen moderne MFA-Lösungen, die sowohl ihre On-Premises- als auch Cloud-Umgebungen absichern und dabei eine ausgewogene Balance zwischen Sicherheit und Benutzerfreundlichkeit wahren.

Herkömmliche MFA-Lösungen, die bei der Definition der Abfragen auf statische Richtlinien setzen, werden den Anforderungen der neuen perimeterlosen Cloud-Umgebung hingegen nicht mehr gerecht. Sie bieten keinen dynamischen Kontext und zwingen alle User dazu, unter allen Umständen ähnliche Richtlinien zu befolgen, was eine genaue Risikomessung unmöglich macht.

Kontextbezogene MFA geht hier zwar einen Schritt weiter, weil klar definiert wird, von welchem Standort, Gerät oder Netzwerk aus sich ein entsprechender Nutzer anmelden darf, und Identitätssicherheit so gezielter umgesetzt werden kann. Gleichzeitig ist diese Methode aber auch zeitaufwendiger und bindet mehr Ressourcen: Kontextuelle MFA erfordert ein höheres Maß an Wartung und Instandhaltung, was möglicherweise dazu führt, dass nicht alle möglichen Risikobedingungen berücksichtigt werden.

Einen wesentlich innovativeren und für Cloud-Umgebungen damit auch sichereren Ansatz bietet die adaptive und verhaltensbasierte MFA, bei der das Gewähren bzw. Blockieren von Zugriffen gemäß der Analyse des individuellen Sitzungsverhalten der Benutzer erfolgt. Einige Lösungen arbeiten dabei mit modernen Algorithmen für maschinelles Lernen und Verhaltensanalysen, um das Verhalten privilegierter Benutzer sorgfältig zu untersuchen und anomale und damit potenziell schädliche Aktivitäten wirksam zu identifizieren.

Durch maschinelles Lernen können Millionen von Ereignissen kontinuierlich unter die Lupe genommen werden, was mit manueller Forensik nicht möglich wäre. So sind Sicherheitsverantwortliche in der Lage, aktiv auf Vorfälle zu reagieren, indem sie bereits laufende Sitzungen unterbrechen, zusätzliche Kontrollen einrichten oder Markierungen für forensische Folgemaßnahmen setzen.

Wo MFA ein Must-Have ist

Denkt man an MFA, ist der erste klassische Anwendungsfall, der einem einfällt, der Administratorenzugang. Tatsächlich sollte MFA für IT-Administratoren und andere privilegierte Benutzer, die Zugriff auf sensible Daten und Systeme haben, grundsätzlich obligatorisch sein. Doch auch für nicht-menschliche Accounts und Ressourcen wie Passwort-Tresore, Firewalls, Netzwerkgeräte, Workstations oder Server sollten IT-Abteilungen MFA aktivieren – und zwar egal, ob sie sich On-Premises oder in der Cloud befinden.

Ein Problem ist, dass viele PAM-Strategien, die MFA nur beim klassischen Vault-Login vorsehen. Dies mag auf den ersten Blick bequem sein, bietet aber nur ein eingeschränktes Maß an Sicherheit. Besser ist es, die Mehrfachauthentifizierung konsequent an allen wichtigen Zugangspunkten zu erzwingen. Dazu gehören der Passwort- bzw. Secret-Checkout, die Server- bzw. Systemanmeldung aber auch die Erhöhung von Berechtigungen. Werden diese kritischen Punkte mit mehreren Faktoren geschützt, kann das Risiko von Privilegien-Missbrauch deutlich reduziert werden. Denn gelingt es einem Angreifer, an eine gültige ID und ein Passwort zu gelangen und sich damit bei einem Server anzumelden oder die Berechtigungen zu erhöhen, kann MFA diesen Versuch bereits im Keim ersticken. Dass ein Bedrohungsakteur – egal ob Mensch oder Bot – im Besitz der gültigen Anmeldedaten ist und zusätzlich auch den zweiten Faktor, etwa ein Mobiltelefon oder einen YubiKey-Dongle, kompromittiert hat, ist grundsätzlich eher unwahrscheinlich.

Eine weitere Schwachstelle in der MFA-Umsetzung ergibt sich dann, wenn Unternehmen MFA-Produkte verschiedener Anbieter kombinieren und diese an verschiedenen Orten einsetzen. Dies führt zu inkonsistenten Richtlinien, Sicherheitslücken und einem hohen Verwaltungsaufwand. IT-Abteilungen sollten daher darauf achten, Lösungen auszuwählen, die ihnen eine zentrale Verwaltungsoberfläche für MFA-Richtlinien bereitstellen. So können Richtlinien für die Serveranmeldung und die Erhöhung von Berechtigungen zentral definiert und verwaltet und von Server-PAM-Clients auf dem Server durchgesetzt werden.

Idealerweise unterstützen PAM-Lösungen die führenden Anbieter wie Duo, YubiCo und RSA sowie die gängigen Protokolle wie RADIUS und FIDO2. Denn der Support einer breiten Palette von Authentifikatoren bietet den IT-Mitarbeitenden die nötige Flexibilität für die unternehmensweite Absicherung von Zugriffen auf die AWS-Infrastruktur, bei der Passwortüberprüfung, der Sitzungsinitiierung, der Serveranmeldung oder bei der kritischen Erhöhung von Berechtigungen.

MFA ja und durchgängig

Die Multi-Faktor-Authentifizierung bietet Unternehmen hohen Nutzen bei minimalem Aufwand.

Um von den Vorteilen voll und ganz zu profitieren und wichtige administrative Zugriffspunkte auch langfristig gut geschützt zu wissen, müssen IT-Abteilungen jedoch auf moderne MFA-Methoden setzen und diese flächendeckend an allen kritischen Punkten erzwingen. Dies versetzt sie in die Lage, laterale Bewegung von Bedrohungsakteuren in ihren Netzwerken zu minimieren und ihre Cloud-Security-Strategie mit einer effektive Identitätssicherung zu härten.

* Der Autor Andreas Müller ist Vice President DACH für Delinea.

(ID:48799403)