Identity Security

Die Identität als neuer Sicherheitsperimeter

19. Oktober 2021, 14:23 Uhr | Interview: Diana Künstler

Durch die zunehmende Remote-Arbeit und die vielfältigen Cloud-Optionen hat der Netzwerkperimeter für die Sicherheit an Bedeutung verloren. funkschau hat mit Michael Kleist von CyberArk über die neuen Herausforderungen in der IT-Security und die Rolle der Identitätssicherheit gesprochen.

funkschau: Laut aktuellen Erkenntnissen der Hans-Böckler-Stiftung arbeitet fast jeder Vierte von zuhause aus. Das stellt auch die Unternehmenssicherheit auf den Prüfstand. Wo sehen Sie derzeit die größten Schwachstellen seitens der Unternehmen und die gefährlichsten Einfallstore seitens der Cyberkriminellen im Kontext Homeoffice?

Michael Kleist: Wenn Mitarbeiter von zuhause arbeiten, greifen sie vielfach über unsichere Heimnetzwerke und persönliche Geräte auf Unternehmenssysteme und -ressourcen zu. Die bisherigen Sicherheitskontrollen des Netzwerkperimeters werden damit unwirksam. Handlungen eines Einzelnen bedrohen die Unternehmenssicherheit in größerem Maße als jemals zuvor. Aus diesem Grund wird sich der Angriffszyklus vom breit angelegten „Spray and Pray“-Phishing mit Social-Engineering-Methoden hin zu stärker personalisierten Attacken verschieben, die auf Benutzer mit privilegiertem Zugriff auf kritische Systeme, Daten und Infrastrukturen abzielen.

funkschau: Und warum gewinnt Ihrer Meinung nach gerade die Identitätssicherheit immer mehr an Bedeutung?

Kleist: Die zunehmende Cloud-Nutzung und die Remote-Arbeit haben eine zentrale Erkenntnis gebracht: Der traditionelle Netzwerk-perimeter ist de facto wertlos geworden. Als neuer Perimeter hat sich die Identität herauskristallisiert. Sie ist damit die wichtigste Verteidigungslinie für Unternehmen. Ein umfassender Identity-Security-Ansatz muss ausgehend von einem Privileged Access Management die Sicherung individueller Identitäten fokussieren – unabhängig davon, ob es sich um eine Person oder eine Maschine handelt. Zu den konkreten Aufgaben einer Identity-Security-Lösung gehört, eine Identität sicher zu authentifizieren, sie mit den richtigen Berechtigungen zu autorisieren und dieser Identität auf strukturierte Weise Zugang zu kritischen Ressourcen zu gewähren. Das heißt, es sollte ein Zero-Trust-Prinzip gelten. Es sieht die Überprüfung sämtlicher Akteure und Prozesse vor, die eine Verbindung zu kritischen Systemen herstellen wollen. Jede Identität, die auf Unternehmensressourcen zugreifen will, wird dabei mit mehreren Faktoren verifiziert – je kritischer der Zugriff, desto stärker die Authentisierung.

funkschau: CyberArk hat sich unter anderem nach eigenen Angaben auf das Privileged Access Management und die Sicherung individueller – menschlicher und nicht-menschlicher – Identitäten spezialisiert. Was genau ist darunter zu verstehen?

Kleist: Bei den menschlichen Identitäten geht es um Personen wie Administratoren oder Superuser, die privilegierte Zugriffsrechte besitzen. Solche Rechte finden sich aber auch in Applikationen, Tools und Systemen. Hier sprechen wir dann von den nicht-menschlichen Identitäten. Auf der Applikationsebene sind die Applikation-zu-Applikation-Verbindungen zu beachten. Alle technischen Verknüpfungen zwischen Teilen einer Applikationslandschaft erfordern einen privilegierten Zugang für den Datenzugriff, auch wenn es nur um Lese- und nicht um Änderungsrechte geht. Solche Verbindungen bestehen etwa zwischen Applikation und Datenbank, zwischen Applikation und Middleware-Produkten oder auch direkt zwischen Anwendungen. Auf der Tool-Ebene ist vor allem die Automation zu nennen, die in immer stärkerem Maße an Bedeutung gewinnt. Hier geht es um Lösungen wie Jenkins, Puppet, Chef, Open-Shift oder auch RPA. Darüber hinaus gibt es weitere Tools, die über privilegierte Rechte bis hin zum Domain-Admin-Level verfügen: Ein klassisches Beispiel sind Schwachstellen-Scanner. Auf der technologischen Systemebene schließlich sind die System-zu-System-Verbindungen zu berücksichtigen, also die in vielen Systemen vorhandenen Service-Accounts. Windows etwa verfügt über eine große Anzahl solcher Accounts, um Services im richtigen Kontext zu starten und zu stoppen und um eine Automation auf einem granularen Level zuzulassen.