Illustration: Absmeier

Social Engineering gehört aktuell zu den zentralen Bedrohungen für die IT-Sicherheit. Die kürzliche Attacke auf Twitter hat es erneut deutlich gezeigt. Sicherheitsexperte CyberArk nennt fünf einfache Maßnahmen, die die Social-Engineering-Gefahr deutlich reduzieren.

Die Hackerattacke auf Twitter, von der unter anderem Präsidentschaftskandidat Joe Biden, Ex-Präsident Barack Obama oder Amazon-Chef Jeff Bezos betroffen waren, zählt zu den bisher größten Angriffen auf eine Social-Media-Plattform. Laut Twitter ist er auf Social Engineering zurückzuführen. Die Angreifer konnten sich damit privilegierte Zugangsdaten zu einem administrativen Tool verschaffen, das normalerweise nur internen Support-Teams zur Verfügung steht.

Menschen machen Fehler, deshalb werden Unternehmen erfolgreiche Social-Engineering-Angriffe nie gänzlich ausschließen können. Aber es gibt fünf Maßnahmen, mit denen ein Unternehmen die Erfolgsquote der Angreifer massiv senken kann.

Awareness-Aufbau

Die regelmäßige Sensibilisierung der Mitarbeiter für Sicherheitsgefahren und kontinuierliche Schulungen zu Cybersecurity Best Practices sind unverzichtbar. Dabei sollte vor allem auf die Risiken im Zusammenhang mit Zahlungsanweisungen oder mit der Weiterleitung vertraulicher und persönlicher Informationen aufmerksam gemacht werden.

Nutzung von Privileged Access Management

Eine der besten proaktiven Möglichkeiten zur Risikominimierung bei privilegierten Zugriffen ist die Umsetzung des Least-Privilege-Prinzips im Rahmen eines Privileged-Access-Managements. Das heißt, die Zugriffsrechte von Benutzern sollten auf das für die jeweilige Rolle erforderliche Minimum beschränkt werden. Damit können seitliche Bewegungen eines Angreifers im Unternehmensnetz verhindert werden – auch nach einer erfolgreichen Social-Engineering-Attacke.

Einsatz von Multi-Faktor-Authentifizierung

Eine Ein-Faktor-Authentifizierung etwa mit einem Passwort ist immer ein Single-Point-of-Failure. Deshalb sollte für den Zugriff auf kritische Systeme zwingend eine Multi-Faktor-Authentifizierung erforderlich sein. Damit läuft jede Social-Engineering-Attacke ins Leere.

Verwendung dualer Kontrollsysteme

Kein Mitarbeiter sollte ohne mehrfache Sicherheitsebenen einen vollen Zugriff auf vertrauliche Plattformen haben. Es muss zumindest ein Vier-Augen-Prinzip gelten, das heißt, ein Mitarbeiter erhält nur dann einen Zugriff auf ein kritisches System, wenn er dafür von einem zweiten autorisierten Benutzer oder einer zusätzlichen Systemlogik (beispielsweise einem Ticket-Management-System) die Freigabe erhält.

Überwachung privilegierter Aktivitäten

Die kontinuierliche Überwachung privilegierter Sitzungen und der Einsatz von Analyse-Tools ermöglichen die automatische Erkennung riskanten Verhaltens oder ungewöhnlicher Tätigkeiten. Auf dieser Informationsbasis kann ein Unternehmen dann schnell erforderliche Maßnahmen einleiten.

»Der Twitter-Angriff verdeutlicht einmal mehr die Gefahren, die von einem ungesicherten privilegierten Zugriff auf kritische Anwendungen ausgehen. Gelangen externe Angreifer in den Besitz privilegierter Zugriffsrechte, erhalten sie relativ problemlos Zugang zu den wichtigsten Systemen und Ressourcen eines Unternehmens, vom geistigen Eigentum bis bin zu vertraulichen Kundendaten«, erklärt Michael Kleist, Regional Director DACH bei CyberArk. »Umso wichtiger ist die Nutzung einer umfassenden Lösung im Bereich Privileged Access Management, mit der alle privilegierten Accounts und Aktivitäten verwaltet, gesichert und überwacht werden können.«

Die vier größten Fehleinschätzungen zum Privileged Access Management

29. April 2020

Privileged-Access-Management-Lösungen, die den Zugang zu kritischen Geschäftsinformationen sichern, sind ein elementarer Bestandteil eines effektiven Cyber-Security-Programms. Allerdings gibt es nach wie vor Fehleinschätzungen rund um die Sicherung privilegierter Konten und Zugangsdaten.

Die überwiegende Mehrheit der »erfolgreichen« Cyberangriffe ist auf die missbräuchliche Nutzung privilegierter Zugangsdaten zurückzuführen. Privileged-Access-Management-Lösungen (PAM) bieten hier eine wichtige Verteidigungsschicht. Doch obwohl die Sicherung privilegierter Zugriffe eine Top-Priorität für die Verringerung von Sicherheitsrisiken ist, existieren nach wie vor einige Missverständnisse im Zusammenhang mit PAM. Die vier am weitesten verbreiteten räumt CyberArk aus.

Mythos 1: Privilegierte Zugänge existieren überall, deshalb ist es unmöglich, sie alle zu sichern.

Führende PAM-Lösungen können privilegierte Zugangsdaten automatisch in On-premise-, Cloud- und Hybrid-Umgebungen erkennen, sodass Sicherheitsteams deutlich entlastet werden. Darüber hinaus unterstützen moderne PAM-Tools auch die automatische Rotation privilegierter Anmeldeinformationen oder von SSH-Schlüsseln in regelmäßigen Abständen, um die zeitaufwändigen und fehleranfälligen manuellen Aufgaben zu eliminieren. Nicht zuletzt bieten die besten PAM-Tools auch ein detailliertes Session-Monitoring, um riskante privilegierte Sitzungen automatisch zu erkennen und zu unterbrechen.

Alle Funktionen sind dabei in Standard-Automationswerkzeuge einzubinden, um manuelle Tätigkeiten sowohl aus Kostengesichtspunkten als auch wegen der höheren Fehleranfälligkeit zu minimieren.

Mythos 2: Privileged-Access-Management-Lösungen sind für Administratoren nur schwer zu verwalten.

In der Vergangenheit mag die Aussage zutreffend gewesen sein, aktuelle PAM-Lösungen reduzieren die Arbeitslast für die Administratoren aber erheblich. Durch die Speicherung und Sicherung aller privilegierten Zugangsdaten in einem zentralen digitalen Datentresor (Vault) entfällt die Notwendigkeit, solche Informationen manuell zu suchen und zu verwalten.

Gerade wenn Unternehmen die Cloud-Nutzung vorantreiben, sind PAM-Tools besonders hilfreich, um Migrationsrisiken zu minimieren. Bei der Einführung einer Hybrid- oder Public-Cloud-Infrastruktur können selbst geringfügige Fehlkonfigurationen neue Schwachstellen schaffen. Tools zur Erkennung von Risiken im Zusammenhang mit privilegierten Zugriffen verbessern die Sicherheit für ein Unternehmen deutlich.

Mythos 3: Identity-and-Access-Management-Lösungen (IAM) sind ausreichend für die Sicherung privilegierter Zugriffe.

IAM-Tools sind für die Aufrechterhaltung einer hohen Sicherheit unverzichtbar, aber sie ersetzen keine PAM-Lösung. So können PAM-Lösungen nicht nur privilegierte Zugangsrechte schützen, die mit Personen verbunden sind, sondern auch solche, die mit Applikationen und Services verknüpft sind – etwa Application Accounts, die in der robotergestützten Prozessautomatisierung (RPA) oder in DevOps-Szenarien genutzt werden. Hierfür sind IAM-Lösungen nicht geeignet.

Darüber hinaus ist zu beachten, dass IAM-Tools eine direkte Verbindung zu Benutzerdatenbanken wie dem Active Directory (AD) benötigen. Wenn irgendein Server kompromittiert wird, können Angreifer die Kontrolle über das AD erlangen, um Kerberos-Angriffe wie Golden Ticket durchzuführen und unentdeckt im Netzwerk eines Unternehmens zu agieren. PAM bietet hier einen wichtigen Security-Layer für Server, die die direkte Verbindung von der IAM-Lösung zu Benutzerdatenbanken wie AD hosten.

Für eine hohe Sicherheit sollten somit IAM-Systeme und PAM-Lösungen komplementär genutzt werden.

Mythos 4: Privileged-Access-Management-Lösungen beeinträchtigen die betriebliche Effizienz.

Der Einsatz von PAM-Tools trägt gerade zur Automatisierung zeitraubender Aufgaben für IT- und Security-Mitarbeiter bei, sodass sie Freiräume für höherwertige Tätigkeiten gewinnen. Auch Audit-Teams profitieren von der Automatisierung von Compliance-Aufgaben. Die manuelle Überprüfung aller Sitzungen, die privilegierte Berechtigungen erfordern, kann extrem zeitaufwändig sein. PAM-Lösungen können diese Aufgaben automatisieren und so ein risikoreiches Verhalten erkennen. Moderne PAM-Lösungen beeinträchtigen damit nicht die betriebliche Effizienz, im Gegenteil: sie verbessern sie sogar.

»Eine wirksame Sicherheit beginnt mit dem Schutz der wertvollsten Informationen eines Unternehmens. Und dabei stellen nicht verwaltete und ungeschützte privilegierte Zugriffsmöglichkeiten eine erhebliche Bedrohung dar«, erklärt Michael Kleist, Regional Director DACH bei CyberArk. »Durch die automatisierte Verwaltung, Sicherung und Überwachung privilegierter Accounts und Zugangsdaten können Unternehmen ihr Sicherheitsrisiko deutlich vermindern. Und mit modernen PAM-Lösungen ist eine solche Maßnahme unternehmensweit durchgängig und ohne hohe Komplexität umsetzbar.«

89 Artikel zu „Privileged Access Management“

NEWS | IT-SECURITY | WHITEPAPER

Nichts geht ohne Privileged Access Management

8. Januar 2020

Privileged Access Management (PAM) ist für die IT- und Datensicherheit und somit für die erfolgreiche Anwendung von Cloud Computing und künstlicher Intelligenz (KI) unerlässlich. Dies ist das Ergebnis von Paul Fisher, Senior Analyst bei Kuppinger Cole und Autor des White Papers »Grundlagen des Privileged Access Managements«. Dieser Bericht wurde von dem Analystenunternehmen im Auftrag der…