Suchen

Tool dokumentiert sicherheitsrelevante Kennwort-Ereignisse Revisionssichere Erfassung von Passwort-Reset-Events mit Tesis ASPR

Redakteur: Stephan Augsten

Wer hat wann und wo versucht, ein Passwort im Firmennetzwerk zu ändern? Solche Sicherheitsfragen beantwortet Release 3.6 von Tesis ASPR. Denn die Lösung für automatisierte Passwort-Resets speichert wesentliche Passwort-Ereignisse revisionssicher in einer OASIS-konformen Datenbank. Dort stehen sie für Compliance-Audits und Reportings zur Verfügung.

Firmen zum Thema

Festgehalten: Mit dem Passwort-Reset-Tool Tesis ASPR lassen sich nun noch mehr sicherheitsrelevante Events nachverfolgen.
Festgehalten: Mit dem Passwort-Reset-Tool Tesis ASPR lassen sich nun noch mehr sicherheitsrelevante Events nachverfolgen.
( Archiv: Vogel Business Media )

Viele Unternehmen verpflichten ihre Mitarbeiter zu regelmäßigen Passwortwechseln über immer mehr IT-Systeme hinweg. Dadurch steigt die Gefahr, dass Nutzer ihre Passwörter vergessen und den Helpdesk mit einem Reset beauftragen müssen. Tesis ASPR ermöglicht es dem Anwender, sein Passwort selbständig zurücksetzen.

Die Authentifizierungsmethoden für den Passwort-Reset mit Tesis ASPR umfassen Frage/Antwort-Paare, PKI/Zertifikat, Vier-Augen-Prinzip oder die Verwendung eines alternativen Passworts bis hin zur 2-Faktor-Authentifizierung per Token. Die Passwort-Zielsysteme können auf einem Host, SAP-System, einer Oracle-Datenbank oder einem LDAP-System wie Windows Active Directory liegen.

Wie die Vorgängerversionen speichert auch der neueste Release 3.6 wesentliche Passwort-Ereignisse revisionssicher. Diese stehen anschließend für Compliance-konforme Auswertungen zur Verfügung. Über einen flexiblen Filter kann der Administrator konfigurieren, welche Ereignisse Tesis ASPR aufzeichnet.

Eine derartige Dokumentation ist insbesondere bei sicherheitskritischen Ereignissen notwendig, beispielsweise wenn ein unautorisierter Nutzer einen Passwort-Reset anfordert. Deshalb erkennt die Lösung unter anderem auch, wer zu einem Passwort-Reset für andere Personen berechtigt ist und wer nicht.

Anhand der gespeicherten Daten lassen sich verschiedenste Ereignisse rekonstruieren, unter anderem:

  • Wer hat wann und wem welche Berechtigungen erteilt oder entzogen?
  • Wie oft war die Authentifizierung eines Anwenders am System erfolgreich oder fehlerhaft?
  • Welche Autorisierungsmethode wurde für einen Passwort-Reset verwendet?

Dadurch können Sicherheitsverantwortliche mögliche Brute-Force- und Social-Hacking-Angriffe beispielsweise auf das im Tesis ASPR hinterlegte Fragen/Antwort-Paar von Kollegen erkennen. Ebenso lässt sich nachvollziehen, ob versucht wurde, die Eingabefelder der Webanwendung für Injection-Angriffe zu missbrauchen.

Für die Auswertung passwortrelevanter Ereignisse ist eine Kategorisierung nach der Priorität des Vorgangs und der Schwere der Auswirkungen hinterlegt. Je nach Zielgruppe lassen sich Daten laut Tesis nach spezifischen Gesichtspunkten gruppieren. Beispielsweise könne der Betriebsverantwortliche nach technischen Fehlern suchen, der Sicherheitsverantwortliche hingegen nach Angriffen auf fremde Passwörter.

Die in Tesis ASPR eingesetzte Technik orientiert sich laut Hersteller an dem OASIS Web Service Distributed Management Standard, der Ereignisobjekte in einer festgelegten XML-Struktur darstellt. Die Daten werden von Tesis ASPR standardmäßig in einer Datenbank gespeichert und können durch Einhaltung der OASIS-Vorgaben auch andere Schnittstellen bedienen.

Preise und Verfügbarkeit

Die neue Version der Passwort-Reset-Lösung ist ab sofort verfügbar. Der Hersteller bietet für Tesis ASPR 3.6 unterschiedliche Lizenzierungsmodelle an: Lizenzkauf, Miete und eine dynamische, auf Anzahl der durchgeführten Passwort-Resets basierende Lizenzierung. Genaue Preise nennt der Hersteller Tesis Sysware auf Anfrage.

(ID:2020796)