Root- und Administratorkonten absichern

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Quest Software GmbH

1. Individuelle Verantwortlichkeit für Superuser-Aktivitäten

Gemeinsam genutzte und nicht gemanagte Administratorenzugänge sind nicht nur eine schlechte Idee – dies ist auch der schnellste und einfachste Weg, ein Unternehmen einem unverhältnismäßigen Risiko auszusetzen. Das liegt daran, dass die Superuser-Accounts normalerweise ausgedehnten Zugriff auf die IT-Betriebssysteme, Applikationen, Datenbanken usw. haben.

Bei gemeinsam genutzten Accounts lassen sich etwaige Verstöße gegen Sicherheit und Compliance nur bis zum Account zurückverfolgen, aber nicht auf den jeweiligen Administrator, der diesen Account verwendet hat. Ein viel besserer Ansatz zur Risikominimierung besteht darin, den Administratoren nur so viel Rechte einzuräumen, wie sie tatsächlich brauchen, also nicht mehr und auch nicht weniger.

Zugangsdaten sollten ausschließlich nach Bedarf vergeben werden, zusammen mit einer vollständigen Nachverfolgung, wer die Zugangsdaten verwendet, wer die Verwendung freigegeben hat, was damit gemacht wurde, wer diese Zugangsdaten erhalten hat und warum. Zudem sollten die Passwörter unmittelbar nach abgeschlossener Benutzung geändert werden.

Die Fähigkeit, diesen ganzen Prozess zu automatisieren und abzusichern, stellt einen effektiven Ansatz für das Management von Administratorenzugängen im gesamten Unternehmensnetzwerk dar. Ebenso wichtig ist Privileged Account Management für eine bundesweite und kommunale Zusammenarbeit der Behörden und deren gemeinsame Nutzung.

2. „Least Privilege”-Sicherheitsdoktrin definieren und umsetzen

Viele Administratorkonten – einschließlich derer für den Unix-Rootzugriff, Windows bzw. Active Directory, DBA etc. – ermöglichen einen uneingeschränkten Zugriff. Vor allem bei einer „geteilten“ Nutzung öffnen sie schädlichen Angriffen Tür und Tor.

So kann ein Mitarbeiter seinen Superuser-Zugang dazu nutzen, um eine logische Bombe zu platzieren, die unentdeckt die gesamte Organisation lahmlegt und die persönlichen und finanziellen Daten von vielen Personen kompromittieren. Ein effektiverer Ansatz besteht in der Umsetzung einer Richtlinie, die exakt definiert, was der einzelne Administrator (oder die jeweilige Administratorenrolle) darf und was nicht.

Da dieser Prozess kompliziert sein kann und sich systemübergreifend oftmals nur schwer nur schwer umsetzen lässt, empfiehlt sich die Einführung präziserer Delegations-Tools, z.B. Privilegienspeicher, Mehrfaktor-Authentifizerung oder eine Active Directory Bridge. Diese sind idealerweise auf die jeweiligen Plattformen zugeschnitten und in andere Privileged-Account-Management-Technologien integriert.

(ID:39292470)