Identitäts- und Zugriffs-Management Schritt für Schritt - Teil 3 Privileged User Management schützt Firmen vor ihren Admins

Autor / Redakteur: Jens Pälmer, Director Solution Sales, CA Deutschland GmbH / Peter Schmitz

Unternehmen schützen ihre IT-Infrastruktur vor unkontrollierten Zugriffen der Endanwender. Anders sieht es aber meist bei den Powerusern der IT-Organisation wie den Administratoren aus. Die Kontrolleure, werden meistens nicht oder nicht ausreichend kontrolliert. Unternehmen müssen hier oft dringend nachbessern um Compliance und Systemsicherheit zu gewährleisten.

Firma zum Thema

Unternehmen kontrollieren die Zugriffsrechte ihre Poweruser und Administratoren selten genauso strikt wie die der normalen Benutzer und schaffen so Sicherheits- und Compliance-Risiken.
Unternehmen kontrollieren die Zugriffsrechte ihre Poweruser und Administratoren selten genauso strikt wie die der normalen Benutzer und schaffen so Sicherheits- und Compliance-Risiken.
( Archiv: Vogel Business Media )

Eine alte Business-Weisheit lautet: Vertrauen ist gut, Kontrolle ist besser. Nach diesem Motto regeln Unternehmen den Zugriff ihrer Endanwender auf IT-Systeme. Die Kontrolle übernehmen Administratoren in der IT-Organisation. Um ihre Arbeit erledigen zu können, erhalten sie weitreichende und privilegierte Zugangsrechte. Diese gehen weit über die Rechte hinaus, die normale Endanwender besitzen.

Eigentlich müsste die Arbeit dieser Superuser dann noch besser überwacht werden als die der Endanwender. Doch genau das Gegenteil ist der Fall. Für Superuser scheint zu gelten: Kontrolle wäre gut, Vertrauen ist besser. Das belegt auch eine Studie, die Quocirca im Auftrag von CA durchgeführt hat. Danach gibt jedes zweite befragte Unternehmen zu, dass Superuser ihre Zugangsdaten auch an andere Superuser weitergeben. Auch der fahrlässige Gebrauch von Standardnamen oder Passwörtern für die Superuser steht auf der Mängelliste.

Wer kontrolliert die Kontrolleure?

Noch größer ist die Gefahr, wenn Superuser ihre Privilegien bewußt gegen das Unternehmen einsetzen. Ohne eine Kontrolle ihrer Privilegien gelang es ihnen beispielsweise, mehrere Millionen Kreditkartensätze an einen Datenbroker zu verkaufen oder die IT-Infrastruktur lahmzulegen, weil sie sich mit ihrem Arbeitgeber nicht auf eine Gehaltserhöhung einigen konnten.

Der Börsenhändler Jérôme Kerviel machte Schlagzeilen, als er die französische Bank Société Générale um 4,9 Milliarden Euro erleichterte. Er konnte seine Manipulationen über Jahre verschleiern, weil er vorher als IT-Administrator mit Superuser-Rechten gearbeitet hatte und ihm diese Rechte nicht entzogen wurden, als er als Broker auf das Börsenparkett wechselte.

Die Beispiele belegen, dass sich Unternehmen schaden, wenn sie nicht auch ihre privilegierten User überwachen und deren Zugriffe protokollieren und auditieren. Und genau diese Kontrolle der Kontrolleure haben sich IT-Lösungen zum Privileged User Management (PUM) innerhalb von Zugriffskontroll-Lösungen auf die Fahnen geschrieben. Mit einer PUM-Lösung legen Unternehmen weitestgehend automatisiert fest und protokollieren, wer auf welche geschäftskritischen Daten zugreift oder wer welche IT-Systeme verwaltet.

Seite 2: Kontrolle ohne Privileged User Management ist sinnlos

Kontrolle ohne Privileged User Management ist sinnlos

Elementarer Bestandteil von PUM- Lösungen sind sehr fein justierbare Zugriffskontrollen. Sie sorgen beispielsweise dafür, dass

  • auch ein Superuser nur passgenau die Zugriffsrechte erhält, die er genau für seine Arbeit benötigt,
  • ein Mitarbeiter nicht zwei oder mehr Rollen erhalten kann,
  • ein Auditor nicht nur sehen kann, welcher Superuser sich wann eingeloggt hat, sondern auch, was er nach dem Login getan hat.

Als erster Anbieter kombiniert CA die Kontrolle über den Hostzugriff mit einer kompletten Lösung für das Privileged User Management. Die Lösung integriert den Schutz des Hosts über Betriebssysteme hinweg mit Berechtigungskonzepten, richtlinienbasierten Zugriffen und einem sicherem Auditing. Sie bietet eine richtlinienbasierte Kontrolle aller User und prüft, auf welche Systemressourcen sie zugreifen und welche Operationen sie unter bestimmten Bedingungen durchführen dürfen.

Das Werkzeug CA Access Control hält alle Aktivitäten auf den Systemen fest und führt sie auf den User zurück, der diese Aktivitäten angestoßen hat. Sämtliche Information werden zentral für ein Audit und für eine Vielzahl von Reports aufbereitet. Das Tool arbeitet mit einer detaillierten Zugriffskontrollen für alle gebräuchlichen Betriebssysteme nach diversen Kriterien wie Zeit, Login-Methode, Netzattributen oder Zugriffsprogrammen.

Dadurch lässt sich beispielsweise die Systemadministration von der Netz- oder Datenbankadministration trennen, wodurch die User dieser Gruppen jeweils eigene Zugriffsrechte bekommen. Nicht mehr das größte gemeinsame Vielfache (gleiche Zugriffsrechte für alle Administratoren), sondern der kleinste gemeinsame Nenner (so wenig Rechte wie möglich) zählt.

Das Privileged User Passwort Management unterstützt den sicheren Zugriff auf privilegierte Accounts, indem es mit zeitlich befristeten oder Einmal-Passwörtern arbeitet. Darüber hinaus erlaubt es Anwendungen, sicher auf Systempasswörter zuzugreifen – fest programmierte Passwörter aus Scripten werden dadurch nicht mehr benötigt.

Ein dynamisches Policy Management hilft Unternehmen, schlüssige Richtlinien und Verteilungsregeln zu entwerfen. Sie können Hosts zu Gruppen – gegliedert beispielsweise nach Betriebssystem, Hardware oder Anwendung – zusammenfassen. Ändert sich eine Richtlinie, lassen sich dann automatisch die Richtlinien für die Server der gesamten Gruppe aktualisierten. Alle Änderungen werden protokolliert, ebenso wie vorgenommene Abweichungen von den Richtlinien.

Einen Stolperstein aber muss jede PUM-Lösung noch aus dem Weg räumen: Sie wird von den Mitarbeitern implementiert, die durch die Lösung überwacht werden. Deswegen müssen die IT-Spezialisten motiviert werden, auch ihre eigenen Aktivitäten zu kontrollieren. Ihnen muss klar gemacht werden, dass das privilegierte User Management nicht nur unternehmenskritische Daten, sondern auch sie selbst schützt: Sie geraten nicht mehr ungerechtfertigt unter Generalverdacht, wenn etwas schief gelaufen ist.

(ID:2044256)