Privileged Access Management (PAM)

Privilegierter Zugriff bezeichnet erweiterte Berechtigungen, die über die Rechte eines Standardbenutzers hinausgehen – beispielsweise Root-/Administratorkonten, Anmeldedaten von Domänenadministratoren, Dienstkonten mit weitreichenden Berechtigungen und Datenbank-Superuser-Konten. Privilegierte Konten sind das wichtigste Ziel von Angreifern, da ihre Übernahme die Kontrolle über ganze Systeme, Datenbanken oder Netzwerkinfrastrukturen ermöglichen kann. Die sichere Verwaltung dieser Konten ist das Ziel von Privileged Access Management.

Laut Forrester Research sind 80 % der Sicherheitsverletzungen auf privilegierte Anmeldedaten zurückzuführen. Sobald ein Angreifer ein privilegiertes Konto erlangt, kann er Sicherheitskontrollen deaktivieren, sämtliche Daten exfiltrieren, Hintertürkonten erstellen und Ransomware im gesamten Netzwerk einsetzen. Ohne PAM-Kontrollen verfügen Unternehmen häufig über Hunderte privilegierte Konten mit gemeinsam genutzten Passwörtern, die nie geändert werden, über keine Prüfspur privilegierter Aktionen und über keinen Mechanismus, um den Zugriff während eines Vorfalls schnell zu entziehen.

Eine zentrale PAM-Funktion ist das Verwahren von Anmeldedaten in einem Tresor – privilegierte Kontopasswörter werden in einem verschlüsselten, zugriffsgesteuerten Tresor gespeichert und nicht in Tabellen, auf Haftnotizen oder im Gedächtnis von Mitarbeitern. Administratoren leihen Anmeldedaten bei Bedarf aus dem Tresor aus; der Tresor protokolliert jede Ausleihe. Entscheidend ist, dass der Tresor Passwörter nach jeder Verwendung automatisch rotieren kann, sodass ausgeliehene Anmeldedaten nach ihrer Rückgabe ungültig werden. Dadurch werden gemeinsam genutzte, statische Passwörter beseitigt.

Das Prinzip der geringsten Privilegien besagt, dass jeder Benutzer, Prozess oder jedes System nur die minimalen Zugriffsrechte haben sollte, die zur Ausführung seiner Funktion erforderlich sind. PAM setzt dies durch die Vergabe granularer Berechtigungen statt pauschaler Administratorrechte um. Statt einem Entwickler vollständigen Domänenadministratorzugriff zu geben, damit er einen einzelnen Dienst neu starten kann, gewährt PAM genau die erforderlichen Rechte, um diesen bestimmten Dienst auf diesen bestimmten Servern neu zu starten. Dadurch wird der Schadensradius bei einer Übernahme des Kontos begrenzt.

Privileged Session Management zeichnet jede privilegierte Sitzung in Echtzeit auf und überwacht sie. PSM-Lösungen können Verbindungen über die PAM-Plattform weiterleiten und dabei Tastatureingaben, ausgeführte Befehle sowie eine vollständige Bildschirmaufzeichnung aller privilegierten Aktivitäten erfassen. Dadurch entsteht eine vollständige Prüfspur für Compliance, Forensik und die Erkennung von Insider-Bedrohungen. Einige PAM-Lösungen können Sitzungen außerdem in Echtzeit beenden, wenn Richtlinienverstöße erkannt werden.

Dienstkonten sind Identitäten, die von Anwendungen, Skripten und automatisierten Prozessen statt von Menschen verwendet werden. Sie stellen eine große Herausforderung für PAM dar, weil sie häufig weitreichende Berechtigungen besitzen, ihre Passwörter nur selten geändert werden, in Anwendungscode oder Skripten eingebettet sein können und nach Jahren des Betriebs oft unklar ist, wer für sie verantwortlich ist. PAM-Lösungen verwalten die Passwörter von Dienstkonten über APIs und rotieren sie automatisch, ohne dass Codeänderungen erforderlich sind.

Just-Enough Administration (JEA) ist eine PowerShell-basierte Technologie, die die Handlungsmöglichkeiten eines Benutzers auch bei erweiterten Zugriffsrechten einschränkt. Statt einen Systemadministrator zum vollständigen lokalen Administrator zu machen, erstellt JEA eine eingeschränkte Runspace-Umgebung, die nur die für seine Rolle erforderlichen Cmdlets und Parameter bereitstellt. Ein Helpdesk-Mitarbeiter darf beispielsweise Passwörter zurücksetzen, aber nichts weiter – und benötigt dafür keine Rechte als Domänenadministrator.

Der PAM-Markt wird von Unternehmenslösungen wie CyberArk (Marktführer, On-Premises und SaaS), BeyondTrust (stark im Management von Endpoint-Berechtigungen) und Delinea (ehemals Thycotic und Centrify) angeführt. Diese Plattformen bieten das Verwahren von Anmeldedaten in einem Tresor, Sitzungsaufzeichnungen, Echtzeitüberwachung sowie Integrationen mit SIEM- und Ticketsystemen. Bei der Auswahl einer PAM-Lösung müssen Sie den Umfang, die Cloud-Unterstützung, die API-Funktionen und die Integration in die vorhandene Identitätsinfrastruktur bewerten.

PAM umfasst die Verwaltung des gesamten Lebenszyklus privilegierter Konten: Bereitstellung (Erstellen von Konten mit angemessenen Berechtigungen und begründeten geschäftlichen Erfordernissen), Überprüfung (regelmäßige Zertifizierung des Zugriffs, um zu bestätigen, dass die Konten weiterhin benötigt werden) und Entzug (sofortige Entfernung, sobald der Bedarf entfällt oder das Beschäftigungsverhältnis endet). Verwaiste privilegierte Konten – also Konten, für die keine aktiven Mitarbeiter mehr verantwortlich sind – sind besonders attraktive Ziele für Angreifer und ein häufiger Compliance-Mangel.

PAM-Lösungen integrieren sich in SIEM-Plattformen, um in Echtzeit auf verdächtige privilegierte Aktivitäten aufmerksam zu machen. Beispiele für Verhaltensweisen, die einen Alarm auslösen sollten, sind: die Anmeldung eines privilegierten Kontos außerhalb der Geschäftszeiten, die interaktive Verwendung eines Dienstkontos, der massenhafte Zugriff auf oder die massenhafte Löschung von Dateien durch ein Administratorkonto, eine Rechteausweitung ohne zugehöriges Ticket sowie aufeinanderfolgende fehlgeschlagene privilegierte Anmeldeversuche. Verhaltensbaselines helfen dabei, normale Administratoraktivitäten von anomalen Verhaltensweisen zu unterscheiden.

PAM ist eine grundlegende Komponente der Zero-Trust-Architektur. In einem Zero-Trust-Modell wird privilegierter Zugriff niemals vorausgesetzt und ist niemals dauerhaft aktiv – er muss ausdrücklich angefordert, genehmigt, zeitlich begrenzt und überwacht werden. Dies entspricht dem Zero-Trust-Prinzip des Zugriffs mit geringsten Privilegien in Verbindung mit von einer Sicherheitsverletzung ausgehen: Selbst autorisierte privilegierte Benutzer werden als potenzielle Bedrohungen betrachtet, und ihre Aktionen werden zur Erkennung von Anomalien kontinuierlich überwacht und protokolliert.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: PAM-Tresore speichern und rotieren privilegierte Anmeldedaten automatisch, um statische, gemeinsam genutzte Passwörter zu beseitigen, die Verwaltung privilegierter Sitzungen zeichnet sämtliche Administratoraktivitäten zu Prüf- und forensischen Zwecken auf, und das Prinzip der geringsten Privilegien sowie Just-Enough Administration begrenzen den Schadensradius kompromittierter privilegierter Konten. Als Nächstes beschäftigen wir uns mit Identitätsgovernance und Bereitstellung.