Nachhaltigkeit im IT-Umfeld Tool- und Prozess-Recycling zur Überwachung privilegierter Benutzer

Anbieter zum Thema

Arvato Systems

Rapid7 Germany

Keeper Security EMEA Ltd.

Es muss nicht immer alles neu sein. Durch Wiederverwendung bereits verfügbarer Anwendungen, Systeme und Prozesse können effektiv Kosten eingespart werden. Für die Überwachung von Aktivitäten privilegierter Benutzer können die bereits im IT-Service-Management eingesetzten Prozesse und Tools genutzt werden.

In Projekten ist oft der Einsatz neuer Tools und die Erstellung neuer Prozesse vorgesehen. Dabei entstehen einmalige Kosten u. a. für Toolauswahl, evtl. Lizenzkosten und Implementierungsaufwand sowie zusätzliche laufende Betriebs- und Wartungskosten. Die Überwachung von Aktivitäten privilegierter Benutzer kann jedoch auch durch die Kombination, bzw. Erweiterung bestehender Prozesse sowie durch die Anpassung der Einsatzszenarien bestehender Tools erfüllt werden.

Aktivitäten von privilegierten Benutzern

Die Überwachung der Aktivitäten von privilegierten Benutzern ist eine Kontrollhandlung, die sicherstellt, dass kritische Berechtigungen ausschließlich für die vorgesehenen Aktivitäten eingesetzt werden. Zunächst muss definiert werden, wann welche Aktivitäten von welchem Benutzer als „vorgesehen“ angesehen werden. Hier liefern die IT-Service-Management-Prozesse (ITSM) eine gute Grundlage. Alle Zugriffe auf Informationen und Änderungen an Configuration Items (CIs), welche mit kritischen Berechtigungen ausgeführt werden, müssen in einem ITSM-Prozess legitimiert und dokumentiert sein. Die Prozesse Change, Incident und ggf. Service Request (falls nicht alle Änderungen in Changes dokumentiert werden) sollten alle für die Überwachung relevanten Informationen enthalten. Somit können die in den genannten ITSM-Prozessen dokumentierten Aktivitäten von privilegierten Benutzern den vorgesehenen Aktivitäten zugeordnet werden.

Um das Ziel der Überwachung zu erreichen, müssen aus der Menge der protokollierten Aktivitäten diejenigen selektiert werden, welche nicht vorgesehen waren. Hierzu müssen, möglichst automatisiert, die Aktivitäten, die in den ITSM-Prozessen dokumentiert sind, mit den zu diesen Aktivitäten protokollierten Informationen korreliert werden. Die nicht korrelierbaren Aktivitäten sind einem Kontrollprozess zuzuführen. Hier ist zu prüfen, ob die Aktivität manuell einem Change, Incident oder Service Request zugeordnet werden kann. Ist eine Zuordnung möglich, so ist dies zu dokumentieren, die Kontrolle kann beendet werden. Andernfalls muss die Aktivität weiter analysiert werden. Hierzu bietet sich der Security-Incident-Prozess an.

Für die Überwachung privilegierter Aktivitäten sind folgende Lösungswege möglich:

• Security-Information and Event-Management (SIEM) Tool mit Security-Incident-Prozess

• IT-Service-Management-Tools und -Prozesse

Die Vor- und Nachteile werden im Folgenden dargestellt.

Security Information and Event Management

SIEM-Systeme sind komplexe Anwendungen, welche Informationen aus unterschiedlichen Quellen wie Anwendungen, Systemen und Netzwerkkomponenten sammeln, normalisieren und indizieren. SIEM-Systeme unterstützen bei der Erkennung und Bearbeitung von inneren und äußeren Bedrohungen. Es können Abweichungen von selbst definierten oder vom System erlernten Baselines erkannt werden. Die Systeme sind im Stande Angriffe abzuwenden, indem sie für die Bedrohung definierte Maßnahmen selbstständig umsetzen. Prozesse können innerhalb der SIEM-Systeme abgebildet werden. Um das volle Potenzial von SIEM-Systemen zu nutzen, ist die Etablierung eines Security Operations Center (SOC) notwendig. Im SOC werden die erkannten Bedrohungen im 24/7-Betrieb bearbeitet.

Voraussetzung: Um das volle Leistungsvermögen von SIEM-Systemen auszuschöpfen, müssen alle Systeme aus dem Bereichen Netzwerk-, Server- und Security-Infrastruktur angebunden werden.

Vorteile:

• SIEM-Systeme haben umfangreiche Anwendungsfelder.

• Trennung der Kontrollierenden von den Kontrollierten kann einfach umgesetzt werden

Nachteile:

• SIEM-Lösungen sind kostenintensiv (initiale und laufende Kosten).

• Ist die Infrastruktur oder Teile davon an einen Dienstleister ausgelagert, kann es ein problematisch sein, die benötigten Informationen (Logfiles) von dem Dienstleister zur Verfügung gestellt zu bekommen.

• Kopplung an ITSM System für Korrelation notwendig.

IT-Service-Management

Die ITSM-Prozesse decken den Lifecycle für alle Elemente der IT (CIs), inklusive deren Änderungen, ab (Service Support). Weiter wird die Funktion der CIs überwacht und die IT-Landschaft durch die Prozesse laufend optimiert (Service Delivery). Für die ITSM-Prozesse Service-Level-, Availability- sowie IT-Continuity-Management sind Monitoring-Tools im Einsatz, welche auch für die Protokollierung genutzt werden können. Über das Monitoring können die Informationen über die Aktivitäten von privilegierten Benutzern, aus den Logfiles der Anwendungen, an zentraler Stelle gespeichert werden. Informationen zu den „vorgesehenen“ Aktivitäten privilegierter Benutzer sind in den Prozessen des Service Supports vorhanden. Im Event-Management werden die Informationen zu den Aktivitäten aus dem Monitoring mit den Informationen aus den Service-Support-Prozessen korreliert. Aktivitäten, für die keine Informationen in den Prozessen vorhanden sind, werden dem Incident-Management zur weiteren Bearbeitung zugeführt. Kann die Aktivität manuell einem Change, Incident oder Service Request zugeordnet werden, so ist dies im Incident zu dokumentieren und der Incident zu schließen. Ein Problem-Ticket ist zu erstellen, in dem die Optimierung der Korrelationsregeln im Event-Management geprüft wird. Für die weitere Bearbeitung von nicht vorgesehenen Aktivitäten kann der Incident-Prozess genutzt werden. Der Prozess ist um Felder und Bearbeitungsschritte, die für die Bearbeitung von Security-Incidents notwendig sind, zu erweitern. Security-Incidents sollten ein Security-Incident-Flag bekommen, um sie von normalen Incidents zu unterscheiden. Abhängig von diesem Flag besteht die Möglichkeit, zusätzliche (Pflicht-)Felder und weitere Bearbeitungsschritte zu definieren.

Voraussetzung: Das IT-Service-Management mit den Prozessen und Tools ist bereits implementiert und etabliert.

Vorteile:

• Es können vorhandene Tools (Monitoring-, ITSM-Tool) verwendet werden, daher keine oder nur geringe Investitionen (ggf. Lizenzerweiterung) notwendig.

• Vorhandenes Wissen kann wiederverwendet werden

Nachteile:

• Höherer Abstimmungsaufwand durch Mehrfachnutzung von Tools und Prozessen.

• Trennung der Kontrollierenden von den Kontrollierten muss im Incident-Prozess sichergestellt werden.

Zusammenfassung der wiederverwendeten bzw. erweiterten Prozesse und Tools:

• Event-Management für die Überwachung nutzen

• Kontrollen über Schnittstelle zwischen den ITSM-Prozessen automatisieren

• Incident-Prozess auch für Security Incidents nutzen

• Kontrollen im Incident-Prozess abbilden

Über den Autor: Jörg Thurau ist Managing Consultant Information Security bei ARCA-Consult. Über 20 Jahre Erfahrung auf den Gebieten Information-Security, IT-Security und IT-Betrieb zeichnen ihn als Spezialisten aus. Einer seiner fachlichen Schwerpunkte befasst sich mit dem Identity & Access Management in stark regulierten Umgebungen.

(ID:46750083)