„Just-in-Time“ – die Schlüsselstrategie für Zugangssicherheit

Die digitale Transformation von Unternehmen und die Notwendigkeit des Fernzugriffs auf Informationssysteme hat zur Folge, dass die Anzahl der privilegierten Benutzer (Administratoren, Geschäftsmanager, Lieferanten usw.) ständig zunimmt. Es ist unerlässlich, diese privilegierten Zugriffe umfassend zu kontrollieren, indem der Umfang (welche Berechtigungen werden erteilt bzw. wo sind diese Berechtigungen anwendbar?) und die Dauer (wann und für wie lange wird die Berechtigung erteilt?) jederzeit gesteuert werden.

Eine Verringerung der mit dem Missbrauch von privilegiertem Zugriff verbundenen Risiken oder sogar die völlige Abschaffung von Privilegien (Zero Standing Privilege – ZSP) ist das eigentliche Prinzip von Just-In-Time (JIT). Obwohl es verschiedene Methoden zur Umsetzung gibt, besteht das Hauptziel von JIT darin, den Zeitpunkt der Nutzung des Privilegs – oder eines möglichen Missbrauchs – zu kontrollieren und die Angriffsfläche zu verringern (IoT, Multi-Cloud-Umgebung, DevOps-Einsatz, Automatisierung von Roboterprozessen usw.).

Warum Just-in-Time?

Just-in-Time-Zugangssicherheit (JIT) ist ein grundlegendes Verfahren zur Verringerung überflüssiger Zugriffsrechte und ein wichtiges Instrument zur Umsetzung des Prinzips der geringstnotwendigen Privilegien und des Zero-Trust-Sicherheitsmodells. Dabei gewährt JIT Benutzern, Prozessen, Anwendungen und Systemen bestimmte Rechte und Zugriffsmöglichkeiten, um bestimmte Aufgaben für einen vordefinierten Zeitraum auszuführen.

Die Just-in-Time-Sicherheit zielt darauf ab, das Risiko bestehender Privilegien zu minimieren, um das Risiko und die Gefährdung durch potenzielle Cyberangriffe zu begrenzen. Wenn zu viele Benutzer permanent über zu viele Privilegien verfügen, setzt sich das Unternehmen einem exponentiell höheren Risiko aus, dass eben diese privilegierte Anmeldeinformationen gestohlen oder ausgenutzt werden. Die Folge: Vertrauliche Informationen können gestohlen, Daten verschlüsselt oder Systeme zum Stillstand gebracht werden. Die Gewährung erweiterter Berechtigungen nur bei Bedarf – nicht mehr und nicht weniger – beschränkt die Gefährdung auf ein Minimum und ermöglicht es den Benutzern dennoch, ihre Arbeit effizient zu erledigen.

Laut Microsofts Schwachstellenbericht 2021 war die Erhöhung von Berechtigungen das Sicherheitsproblem Nummer 1, das 44 % der gesamten Schwachstellen ausmachte – eine fast zweifache Steigerung gegenüber 2020 (ganz zu schweigen davon, dass die Beseitigung administrativer Rechte von Endgeräten alle kritischen Schwachstellen von Microsoft um 56 % reduzieren würde).

Mithilfe von Just-In-Time lässt sich ein ständig aktives privilegiertes Konto sehr einfach in einen nur wenige Minuten aktiven Zustand versetzen. Wendet man diesen Ansatz auf alle Konten an, lassen sich Sicherheitsrisiken extrem schnell reduzieren. JIT schützt jedoch nicht nur Ihre Konten dank des Zeitfaktors, sondern entschärft auch Angriffsvektoren, die Techniken wie Lateral Movement verwenden, indem es böswillige Akteure daran hindert, vorzudringen und ihre Privilegien im Netzwerk zu erhöhen.

Just-in-Time (JIT) Sicherheitsrichtlinien helfen Unternehmen dabei:

• die allgemeine Cybersicherheitslage zu verbessern
• übermäßige Privilegien abzuschaffen und eine „Zero Standing Privileges“-Richtlinie einzuführen
• Privilegieneskalationsprozesse zu rationalisieren und automatisieren
• Privilegierte Benutzer (egal, ob Mensch und Maschine) zu verwalten
• Einen sicheren Fernzugriff auf sensible Ressourcen zu ermöglichen
• Sicherheit zu erleichtern ohne die Produktivität zu beeinträchtigen

Wie funktioniert das?

Der Zweck der Just-in-Time-Sicherheit ist die automatische Zuweisung der Berechtigungen, die ein Benutzer benötigt, und die Berücksichtigung der drei wichtigsten Zugangsfaktoren: Ort, Zeit und Aktionen. Von wo aus versucht ein Benutzer zuzugreifen? Ist er berechtigt, während dieses Zeitraums zu arbeiten, und wie lange muss er den Zugriff aufrechterhalten? Was genau versucht er mit seinem Zugang zu tun?

Nehmen wir zum Beispiel Alice, die bei der XYZ GmbH angestellt ist. Alice benötigt Zugang zum IT-System, um im Rahmen ihres Auftrags Wartungsarbeiten an einigen wichtigen Servern durchzuführen. Dank des Just-In-Time-Prinzips kann Alice ein Ticket erstellen, das ihr nach Genehmigung durch die IT-Abteilung für einen bestimmten Zeitraum und unter vordefinierten Bedingungen exklusiven Zugang zu dem spezifischen Rechner gewährt, an dem sie arbeiten muss, und zu keinem anderen.

In Alices Fall erlaubt die JIT-Sicherheit die Erhöhung ihrer Berechtigungen unter vordefinierten Bedingungen, um die robuste Sicherheit XYZ GmbH zu gewährleisten:

• Zugriff nur während der normalen Arbeitszeiten
• Zugriff auf sensible Ressourcen nur für bestimmte Aufgaben
• Ausweitung der Anwendungsrechte ohne Ausweitung der gesamten Benutzersitzung
• Sicherer Fernzugriff für Mitarbeiter und externe Anbieter

In der Praxis gibt es vielfältige Regeln, die einen JIT-Zugriff definieren – diese hängen von der Verwendung und den Merkmalen der privilegierter Konten ab (z.B. deren Berechtigungsstufe, Genehmigungsabläufe, Zugriffe, Multi-Faktor-Authentifizierung usw.). In jedem Fall ist es wichtig im Vorfeld zu erfragen, welche Regeln bei der Verwendung eines JIT-Zugangs gelten und welche Bedingungen für den Entzug solcher Zugänge erfüllt sein müssen.

Wie implementiert man JIT?

Der erste Schritt wäre eine unternehmensweite Prüfung aller Benutzerzugriffsrechte, um den Umfang und das Ausmaß des Problems zu ermitteln. Wie viele Benutzer gibt es? Welche Profile haben sie, und auf welche Anwendungen und Systeme benötigen sie in der Regel Zugriff? Wie viele Benutzerkonten sind inaktiv, wie viele erhöhte Zugriffsrechte werden selten oder nie genutzt?

Auf der Grundlage der aufgedeckten Antworten besteht der nächste Schritt darin, interne Richtlinien festzulegen, um die Anforderungen an die Benutzer zu definieren, denen Zugriff auf die Zielsysteme gewährt werden soll: Welche Rollen und Teams, unter welchen Bedingungen und für wie lange soll der Zugriff erlaubt sein?

Außerdem müssen Sie die Kontrolle über alle Passwörter und Anmeldedaten für die Zielsysteme wiedererlangen. Die zentrale Verwaltung und Rotation von Passwörtern für Anwendungen und IT-Ressourcen ist entscheidend für ein umfassendes Risiko- und Schwachstellenmanagement.

Mit diesem Vorwissen sind Sie nun optimal auf die Einführung einer “Just-in-Time”-Sicherheitspolitik vorbereitet. Was Sie jetzt nur noch tun müssen ist, unsere Lösung zu implementieren: WALLIX PAM4ALL bietet eine konkrete Antwort auf die Probleme, die durch Always-on Accounts entstehen. PAM4ALL ist die einheitliche Lösung für das Privilegien- und Zugriffsmanagement, die es Ihnen ermöglicht, alle Benutzerzugriffe (ob menschlich oder maschinell, von IT-Administratoren bis hin zu Mitarbeitern oder Subunternehmern) zu sichern, zu kontrollieren und zu verwalten und damit die Grundlage für eine Zero-Trust-Architektur zu schaffen:

• Multi-Faktor-Authentifizierung (MFA) neutralisiert mit einer Vielzahl von Mechanismen die mit kompromittierten Anmeldedaten verbundenen Risiken.
• Durch die Anwendung granularer Berechtigungen für Personen, die auf die sensiblen digitalen Dienste des Unternehmens zugreifen, managen Sie problemlos den Fernzugriff für Zulieferer, Mitarbeiter oder Drittanbieter
• Mit unserem Sitzungsmanagement verbessern Sie Ihre Sicherheitsüberwachung und die Kontrolle des “Was, Wie und Wann” von internen und externen Personen, die auf kritische Unternehmensressourcen zugreifen.
• Passwortmanagement schafft Voraussetzungen zur Sicherung und Rotation von Passwörtern und Schlüsseln sowie die Entfernung von harten Passwörtern. PAM4ALL ermöglicht zudem die Trennung von Workstations von dedizierten Konten für die Verwaltung der Benutzer eines Unternehmens (Silo) und schützt Active Directory-Zugangsdaten und Passwörter.
• Least Privilege Management entfernt lokale Administrationsrechte von Workstations, um dem richtigen Benutzer zur richtigen Zeit die richtigen Privilegien zu gewähren, Querbewegungen zu blockieren und die Verbreitung von Malware zu stoppen.

Mit PAM4ALL verfügen Benutzer (z.B. IT-Administratoren mit Zugriff auf Konten) nicht mehr über unbegrenzte Berechtigungen. Menschliche Benutzer und Maschinen können eine vorübergehende Erhöhung der Privilegien beantragen, wenn sie gelegentliche Aufgaben durch- oder Befehle ausführen müssen. Auslöser, Regeln für die Verwaltung und den Entzug von Privilegien sowie Methoden zur Durchsetzung von JIT stehen unter der Kontrolle der IT-Abteilung, die die Verwendung von JIT nach den Kriterien ihrer Sicherheitsrichtlinien anpassen kann.

WALLIX PAM4ALL schützt alle Benutzer, auch außerhalb des IT-Teams, da Endpunkte eine ständige Quelle für Schwachstellen sind. Das Least Privilege Management erlaubt es den Benutzern, ihre Privilegien dynamisch und transparent für eine bestimmte Anwendung oder einen Prozess zu erhöhen, ohne dass die Sitzungs- oder Benutzerprivilegien erhöht werden müssen. Mit PAM4ALL wird der Zugriff gewährt und die Privilegienerweiterung “Just-in-Time” erlaubt, d.h. zu dem Zeitpunkt, zu dem ein Benutzer eine bestimmte Aufgabe ausführen muss (Ausführen eines Programms, Installieren vertrauenswürdiger Software), während nicht autorisierte Verschlüsselungsvorgänge oder Versuche der Privilegienerweiterung blockiert werden.

Wenn Sie mehr über Just-in-Time-Sicherheit erfahren möchten, sehen Sie sich unser Webinar an: