Access Governance und Risikomodellierung Risiken intelligenter erkennen und bewerten

Risiko ist ein Begriff, der zwar intuitiv verständlich erscheint, gleichzeitig aber ziemlich nebulös und für viele Zwecke zu allgemein ist. Um effektive Instrumente zur Risikobewältigung oder zur Minderung negativer Auswirkungen entwickeln zu können, bedarf es zumeist nicht-trivialer und sehr spezifischer Details.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Pathlock Deutschland | akquinet enterprise solutions GmbH

TXOne Networks

SailPoint Technologies GmbH

Es liegt auf der Hand, dass eine drohende Epidemie ein Risiko darstellt. Sollen Epidemiologen jedoch genaue Prognosemodelle erstellen, um die richtigen Gegenmaßnahmen empfehlen zu können, macht es einen gewaltigen Unterschied, ob sie bestimmte spezifische Details über den Erreger kennen oder nicht. Hierzu zählen Fragen wie etwa: Wird der Virus über die Luft übertragen, ist er resistent gegen Medikamente, sind Impfstoffe verfügbar, welche Bevölkerungsgruppen sind am anfälligsten, wie lang ist die Inkubationszeit, etc.

Dieses Beispiel lässt sich auch auf die IT-Sicherheit von Unternehmen übertragen. Besonders im Bereich Access Governance und Zugriffsmanagement gilt es, Risiken abzuwägen und zu minimieren. Doch auch im betrieblichen Kontext hat das Wort verschiedene Ausprägungen und Bedeutungen. Die Auffassung vom Begriff Risiko kann sich für einen Finanzdienstleister erheblich von dem eines Gesundheitsdienstleisters oder eines Versicherungsunternehmens unterscheiden.

Darüber hinaus hängt die genaue Modellierung von Risiken stark davon ab, was im Einzelnen auf dem Spiel steht. Hierbei stehen besonders Richtlinien, Vorschriften, Zugriffsmuster, Zugangspunkte und diverse andere potenzielle Probleme im Fokus. Es ist somit nicht einfach, umfassende Risikomodelle zu erstellen, mit denen Access-Governance-Bedrohungen verschiedener Art und in verschiedenen Branchen genau vorhergesagt und priorisiert werden können.

Für die meisten Kunden geht es in diesem Zusammenhang vor allem um die Frage, wie Access Governance sicherer gestaltet und gleichzeitig ein hohes Maß an Transparenz zur Unterstützung von Auditprozessen gewährleistet werden kann. Die Risikomodellierung ist ein Weg zu diesem Ziel, doch es gibt weitaus einfachere und direktere Ansätze, die nicht nur helfen, Risiken bei der Zugriffsregelung zu identifizieren und zu minimieren, sondern auch das notwendige Wissen liefern können, um universelle Risikomodelle zu entwickeln.

Identity Governance: Gleich und gleich gesellt sich gern

Identity Governance basiert auf dem Grundsatz, dass Identitäten, die einander stark ähneln, auch die gleichen Zugriffsrechte erhalten sollten. Mit anderen Worten: Das Zugriffsprofil eines Mitarbeiters sollte nicht allzu sehr von den Profilen seiner Peers abweichen. Identitäten, deren Zugriffsmuster sich stark und ohne triftigen Grund von denen ihrer Peers unterscheiden, sollten deshalb als Risikoquelle angesehen werden.

Ein Beispiel veranschaulicht dies: Erika M. ist seit mehr als zehn Jahren als Senior Analyst in ihrem Unternehmen tätig. Während dieser Zeit hat sie mit unzähligen Teams an gemeinsamen Projekten gearbeitet und dabei Hunderte von Zugriffsberechtigungen angesammelt. Infolgedessen ist sie, was Berechtigungen angeht, jetzt Führungskraft auf der Vice-President-Ebene. Was ist das Problem an diesem Szenario? Die Problematik liegt darin, dass Frau M. zwar eine sehr aktive und verlässliche Mitarbeiterin ist, doch sie erhält keine Sicherheitsschulungen, wie sie bei Mitarbeitern auf der VP-Ebene üblich sind und unterliegt auch nicht der gleichen Sicherheitsaufsicht.

Sollte eines ihrer Benutzerkonten kompromittiert werden, könnte der Schaden schwer einzudämmen sein. Diese Situation ist ein Beispiel für eine „Zugriffsanomalie“. Wenn diese Anomalien ermittelt und geeignete Abhilfemaßnahmen empfohlen werden – zum Beispiel die Auslösung eines speziellen Zertifizierungsereignisses, Widerruf ungenutzter Zugänge, Rollenbewertung usw. – werden die Risiken durch diese anomalen Identitäten verringert. Dies erhöht die Sicherheit.

Was für den einen ein Signal ist, ist für den anderen ein Störgeräusch. Wenn es Unternehmen an einer breiten Perspektive und umfassenden Übersicht fehlt, werden sie anfällig für Bedrohungen, die mit herkömmlichen Filter- und Join-Techniken nicht zu erkennen sind. Wie kann man diese anomalen Identitäten also aufspüren? Um Anomalien zu finden, muss zunächst definiert werden, was „normal“ bedeutet. Zugriffsanalysen von Rohdaten könnten dabei hilfreich sein, aber nur bis zu einem gewissen Grad. Eine genaue Darstellung des Zugriffs-Ökosystems mit einem Maß für die Ähnlichkeit von Berechtigungen oder „Peer-Beziehungen“ würde die erforderliche Datenstruktur für diesen Anwendungsfall liefern.

Interessanterweise unterscheiden sich diese Peer-Beziehungen gar nicht so sehr von den „Freundes“-Beziehungen in den heutigen sozialen Netzwerken. Identity Governance lässt sich durch eine soziale Datenstruktur abbilden, ähnlich wie bei einem Netzwerk von Freunden, die gemeinsame Interessen haben. Die Identitäten, deren Eigenschaften und die entsprechenden Zugriffsmuster können dann anhand einer leistungsstarken, wandlungsfähigen Datenstruktur analysiert und modelliert werden. So sind die dynamischen Beziehungen zwischen diesen Entitäten leicht zu verfolgen, abzubilden und zu verwalten.

Mit einem geeigneten Ähnlichkeitsmaß für Identitäten, etwa einem, das auf der Ähnlichkeit der Zugriffsrechte basiert, kann ein „Identitätsgraph“ konstruiert werden. Die Knoten dieses Graphen stehen für die Identitäten und die Verbindungen zwischen den Knoten wiederum für eine starke Ähnlichkeitsbeziehung. Der Identitätsgraph liefert die perfekte Datenstruktur für solche Anwendungsfälle. Zudem können Algorithmen zur Graph-Analyse die notwendigen Werkzeuge liefern, um anomale Identitäten als Ausreißer zu definieren und zu identifizieren. In diesem Set-up sind die Ausreißer-Identitäten diejenigen, die bei einer bestimmten Graph-Analyse Extremwerte aufweisen.

Ausreißer aller Art

Mit dem Netzwerkgraph-Datenmodell lassen sich verschiedene Arten von Ausreißer-Identitäten identifizieren. Dazu zählen beispielsweise Singleton-Identitäten, repräsentiert durch Knoten, die im Identitätsgraphen isoliert sind, weil sie so gut wie keine Ähnlichkeiten mit irgendeiner anderen Identität aufweisen: Sei es unternehmensweit oder innerhalb einer bestimmten Abteilung, an einem bestimmten Standort, unter Mitarbeitern mit einer bestimmten Stellenbeschreibung etc. Strukturelle Ausreißer wiederum wären Identitäten, die im Graphen aufgrund ihrer Berechtigungen und damit ihrer starken Ähnlichkeitsbeziehungen an besonderen Stellen platziert sind, an denen sie ungerechtfertigterweise zu wichtigen Einflussnehmern werden und beispielsweise zur Ausbreitung privilegierter Zugänge beitragen könnten.

Es wäre unklug, bei den Identitäten mit Anomalieuntersuchungen aufzuhören. Mit Berechtigungs- und Rollengraphen, die sich in ähnlicher Weise konstruieren lassen, können Ausreißer-Berechtigungen oder -Rollen ermittelt werden. Singleton-Berechtigungen beispielsweise wären Berechtigungen, die derzeit nicht als Teil einer Rolle oder eines Zugriffsmusters gemeinsam mit anderen Berechtigungen vergeben werden. Rollen wiederum, die dicht beieinander liegen, weisen auf extrem hohe Ähnlichkeiten hin, sodass sich möglicherweise eine Rollenkonsolidierung empfiehlt.

Dieser Netzwerkgraphen-Ansatz kann die Grundlage für eine Engine zur Erkennung und Verwaltung von Ausreißern bilden. Mit ihrer Hilfe können die Benutzer Schwachstellen in Zugangsmanagementsystemen proaktiv erkennen und priorisieren. Zugleich unterstützt der Ansatz ein autonomes, intelligentes Recommender-System, das geeignete Maßnahmen empfehlen kann. Diese Tools bieten Abfragemöglichkeiten, damit Benutzer ein hohes Maß an Transparenz genießen und etwaige Nachfragen bei künftigen Audits beantworten können.

Die Zukunft ist KI-gesteuert

Anomalie- und Ausreißer-Erkennung ist nur der Anfang. Sie ist nicht nur ein Schritt hin zur Compliance, sondern ein riesiger Sprung in Richtung einer universellen Risikomodellierung. Ein Netzwerkgraphen-Ansatz liefert die nötige Datenstruktur, um verschiedene Arten von zugriffsbezogenen Risiken im Unternehmen zu definieren, zu identifizieren und zu priorisieren. Er ebnet den Weg für intelligente Empfehlungsgeber, die jeweils die optimalen Maßnahmen vorschlagen und automatisieren können – und das auf völlig transparente Weise. Der Ansatz ist für Unternehmen der erste Schritt zu einer vorausschauenderen, kognitiven Zukunft der Identity Governance.

Über das Autoren-Duo: Mo Badawy ist Principal Data Scientist und Jostine Ho ist Senior Data Scientist, beide bei SailPoint.

(ID:46111677)