Geheimtipp Secrets Management Wie Unternehmen DevOps mit PAM neu denken müssen

Anbieter zum Thema

PWC Deutsche Revision AG Wirtschaftsprüfungsges.

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FTAPI Software GmbH

Viele IT-Abteilungen verzahnen aus guten Gründen Softwareentwicklung und IT-Betrieb zu DevOps. Entsprechende Tools und APIs schaffen aber auch neue Angriffsvektoren. Damit das Paradigma nicht vom Katalysator zum Stolperstein wird, braucht es einen sicheren Umgang mit Secrets.

Im Cloud-Kontext haben agile Entwicklung und die zunehmende Automatisierung von Build-Pipelines und Deployment-Prozessen vor allem ein Ziel: Geschwindigkeit. In der Praxis bedeutet das vor allem mehr Tempo für die Weiterentwicklung von Anwendungen, das Ausrollen der Updates, die Umsetzung von Nutzerfeedback und die Reaktion auf Markteffekte.

Die Regeln für dieses Spiel mit der Zeit sind für Unternehmen aufwendig: IT-Abteilungen wachsen stetig, die Abhängigkeit von Dienstleistern und neuen Tools steigt. Und das bringt eine weitere Herausforderung mit sich: Ob freie Source-Code-Bibliotheken, Containerlösungen wie Docker, Entwicklungsumgebungen oder Versionierungstools und Build-Automatisierung – jede Umgebung und jede Anwendung benötigt eigene Zugangsdaten, Authentifizierungsvorgänge sowie Rechte- und Identitätenverwaltung. Die Folge: Weniger Überblick, ein höheres Risiko für Fehler in Schnittstellenprozessen und damit Datenlecks.

Erhebliches Risiko für die Datensicherheit

Geraten Daten unbefugt nach außen, sind oft enorme wirtschaftliche, aber auch Reputationsschäden die Folge. Ein bekanntes Beispiel ist der Kaseya-Hack, bei dem Angreifer im Juli 2021 über ein automatisiertes Update per integrierter Script-Engine Ransomware-Schadcode an tausende Kunden verschiedener Managed Service Provider ausspielen konnte. Sollen automatisierte Wartungsprozesse normalerweise den Aufwand für Updates geringhalten und Sicherheitslücken schnell und effizient schließen, wurde genau dieser Anspruch hier ausgenutzt, um automatisiert Verschlüsselungsviren zu verteilen.

Die Folge: Serverausfälle und Datenverlust bei Kunden rund um den Globus. Solche Schwachstellen lassen sich zwar nie hundertprozentig vermeiden, dennoch können sich Unternehmen mit einer Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) und dem Schutz privilegierter Berechtigungen effektiv schützen. Damit das skalierbar gelingt, kommen Unternehmen langfristig nicht um eine Automatisierung ihrer IAM- und PAM-Prozesse sowie cloudbasiertes Secrets Management herum.

Was sind Secrets?

Ob Benutzerpasswörter auf OS-Ebene, Anwendungs- und Datenbankzugänge, Credentials, API-Tokens, SSH-Keys, Hashtables, Autorisierungs-Token oder private Zertifikate wie TLS oder SSL: Zahlreiche Artefakte qualifizieren sich als Secrets, sobald sie den Zugang zu Daten, Applikationen und digitalen Services ermöglichen. Auch Zugriffsrechte für Personen und technische Berechtigungen für die Maschinenkommunikation stehen hier im Fokus. Die Folge: Je mehr Services und Anwendungen eine DevOps-Umgebung nutzt, desto mehr „Geheimnisse“ müssen sicher gemanaged werden. Dabei verhält es sich ähnlich wie bei der Anzahl von Kommunikationswegen in agilen Teams. Die Komplexität steigt exponentiell – und damit sinkt die IT-Sicherheit.

Sicherheit oder Flexibilität: das DevOps-Dilemma

Auf den ersten Blick haben Unternehmen zwei Möglichkeiten, auf die immer komplexeren Infrastrukturen zu reagieren: Sie können entweder ihr PAM deutlich strikter auslegen und privilegierte Zugriffe stark einschränken. Das verringert Sicherheitsrisiken, nimmt der Organisation aber einen wichtigen Teil der Handlungsfähigkeit und Reaktionsgeschwindigkeit. Zudem entstehen neue Flaschenhälse im Prozess. Oder die Unternehmen gestalten ihr PAM so „Laissez faire“ wie nötig, um sich nicht auszubremsen und hoffen, dass auch mit lockeren PAM-Richtlinien keine Sicherheitslücken ausgenutzt werden. So haben sie weder einen klaren Überblick über die Anzahl der Secrets, noch einen belastbaren und effektiven Weg, sie zu kontrollieren, ohne sich empfindlich einzuschränken. Eine kostspielige Zwickmühle: Laut US-IT-Konzern IBM kostet ein erfolgreicher Cyberangriff Unternehmen durchschnittlich mehr als vier Millionen US-Dollar.

IAM auch in der Cloud starker Governance-Hebel

Mit der zunehmenden Cloudisierung der IT-Landschaften liegen viele sicherheitsrelevante Aspekte nicht mehr in den Händen der Admins, Infrastrukturmanager und Prozessarchitekten in der eigenen IT-Abteilung. Deshalb ist das IAM als eine der letzten echten On-Premises-Maßnahmen für IT-Governance ein zentraler Hebel für die Cybersicherheit von Unternehmen. Die Verwaltung der Secrets und Zugriffsrechte, um zu steuern, wer auf Daten, Applikationen und Dienste in der Cloud Zugriff hat, bleibt auch für Cloud-Projekte in den Händen der IT-Abteilungen. Dennoch wird das IAM in vielen Cloud-Transformationsprojekten – wenn überhaupt – wenig priorisiert behandelt. Die oben genannte Zwickmühle zwischen fehlendem Überblick und fehlender Kontrolle über die eigenen Secrets bestätigt sich so.

Der Blick auf das große Ganze

Unternehmen in der Transformation sollten das Secrets Management nicht unterschätzen. Es gibt den Prozessverantwortlichen nicht nur ihre Wirkmacht zurück, sondern auch ihren Überblick. Es nur als Nachgedanken zu behandeln, kann für Unternehmen nicht nur schnell teuer werden – es ist auch vermeidbar. Denn ob Ansible, Docker oder Git, ob Puppet, Jenkins oder Maven – Unternehmen müssen für jedes Tool in ihrer Landschaft fundierten Überblick über alle Secrets haben und mit einem umfassenden IAM und PAM direkt steuern, wer oder was worauf Zugriff hat. Dazu zählen auch Produktiv- und Testumgebungen, Inhouse-Entwicklerinnen und -Entwickler sowie wie Dienstleister mit Remote-Zugriff auf die eigenen Tools.

Wie soll man da noch den Überblick behalten? Um die immer unübersichtlicher werdende Tool-Landschaft unter Kontrolle zu bekommen, hilft Unternehmen ironischerweise oft ein weiteres Tool. Denn erst eine integrierte Plattform für IAM, PAM und Secrets gibt Unternehmen die volle Übersicht über das große Ganze aus Prozessen, Rechten und Lösungen – und damit den Schlüssel, den sie benötigen, um aus dem Dilemma zu entkommen.

Reiseziel: DevSecOps

Secrets Management ist einer der letzten Governance-Hebel, der Unternehmen in der Transformation noch bleibt. Dieses Bewusstsein hilft bei der Priorisierung – denn erst, wenn Unternehmen den DevOps-Delivery-Prozess selbst per Security-by-Design denken, können sie die damit einhergehenden Sicherheitsrisiken langfristig senken. Nur wer digitale Identitäten, Secrets und Zugriffsrechte selbst lenkt, kann am Ende sicher sein, dass die eigenen Deployments bei Mitarbeitenden, Kunden und Lieferketten keinen Schaden anrichten. Der zusätzliche Überblick über die eigene Cloud-Landschaft ist ein gern gesehener Nebeneffekt.

DevOps hatte vor allem ein Ziel: Geschwindigkeit. Es wird Zeit, dass wir den Ansatz als DevSecOps neu begreifen und ihn mit starken PAM-Prozessen um ein weiteres erweitern: Sicherheit.

* Sven Schreyer unterstützt als Director Cyber Security & Privacy bei PwC Deutschland Unternehmen bei der digitalen Transformation von Geschäftsprozessen sowie bei Konzeption und Umsetzung von Cybersecurity-Strategien und leitet ein Team aus Expertinnen und Experten im Bereich Identity und Access Management.

(ID:48565132)