Technische Unterstützung
Dokumentation
Anmeldung
Kontakt
Unzulässige Trennung von Benutzer- und Administratorrechten in der Cybersicherheit
Joao Correia
Januar 24, 2024 - Technischer Evangelist
Dieser Artikel ist Teil einer Serie, in der wir uns mit einem aktuellen NSA/CISA Joint Cybersecurity Advisory über die wichtigsten Cybersicherheitsprobleme, die bei den von diesen Organisationen durchgeführten Red/Blue-Team-Übungen festgestellt wurden. In diesem Artikel finden Sie einen ausführlicheren Blick auf das spezifische Problem, mit realen Szenarien, in denen es anwendbar ist, sowie mit Abhilfestrategien, die zur Begrenzung oder Überwindung des Problems eingesetzt werden können. Damit werden die Informationen aus dem NSA/CISA-Bericht erweitert.
-
Die Trennung von Benutzer- und Administratorrechten ist ein Eckpfeiler robuster Cybersicherheitspraktiken. Eine unsachgemäße Verwaltung dieser Privilegien kann jedoch zu schwerwiegenden Sicherheitslücken führen. Dieses Kapitel befasst sich mit den Feinheiten dieses Themas und skizziert effektive Strategien zur Minderung der damit verbundenen Risiken.
Fragen der Privilegientrennung
Exzessive Kontoprivilegien
Zu weitreichende Berechtigungen können es Benutzern ermöglichen, auf sensible Daten zuzugreifen oder Aktionen auszuführen, die über ihren Aufgabenbereich hinausgehen, wodurch sich das Risiko und die Angriffsfläche des Unternehmens erheblich vergrößern. Beispiele hierfür sind Mitarbeiter, die Zugriff auf Finanzdaten oder Systemeinstellungen haben, die für ihre Aufgaben nicht relevant sind.
Erhöhte Servicekontoberechtigungen
Dienstkonten, die oft für Anwendungen und Prozesse erforderlich sind, erhalten erhöhte Rechte. Diese Konten werden aufgrund ihres umfassenden Zugriffs innerhalb einer Domäne zu bevorzugten Zielen für Angreifer. Ein kompromittiertes Dienstkonto in einer Datenbank kann zum Beispiel zu Datenverletzungen oder unbefugter Datenmanipulation führen.
Nicht essentielle Nutzung von erweiterten Konten
Die Verwendung von Administratorkonten für routinemäßige, nicht-administrative Aufgaben wie E-Mail-Zugriff oder Web-Browsing vergrößert die Angriffsfläche unnötig. Angreifern bietet sich dadurch die Möglichkeit, diese Konten für die Infiltration des Netzwerks und eine schnelle Kompromittierung zu nutzen.
Konten, die nach dem Ausscheiden eines Benutzers ihre Berechtigungen behalten
Eine unzureichende Kontoverwaltung führt häufig dazu, dass Konten ihre Berechtigungen behalten, nachdem sie nicht mehr benötigt werden, z. B. wenn ein Mitarbeiter das Unternehmen verlässt oder seine Rolle wechselt. Diese Nachlässigkeit kann dazu führen, dass ruhende Konten missbraucht werden können.
Auswirkungen in der realen Welt
Eine häufige Folge unsachgemäßer Privilegientrennung ist die Gefährdung des Systems, insbesondere in Webhosting-Umgebungen. Wenn beispielsweise ein Webserverprozess, auf dem Apache/PHP läuft, übermäßig viele Berechtigungen hat, würde jedes Remote-Exploit, das unberechtigten Zugriff gewährt, diese Berechtigungen erben und möglicherweise das gesamte System gefährden. Historische Vorfälle auf Webhosting-Plattformen zeigen die schwerwiegenden Folgen solcher Versäumnisse. Durch die Verringerung der dem Webserverprozess zugewiesenen Privilegien würde auch der Risikovektor verringert.
Strategien zur Schadensbegrenzung
Beschränkung der administrativen Privilegien
Minimieren Sie die Anzahl der administrativen Rollen und führen Sie regelmäßige Überprüfungen der Benutzerrollen und Richtlinien durch. Auf diese Weise wird sichergestellt, dass nur das notwendige Personal über einen erweiterten Zugriff verfügt, wodurch das Potenzial für internen oder externen Missbrauch verringert wird.
Wenn Sie Rollen auf die Beibehaltung von Privilegien überprüfen (oder auch nicht), sollten Sie sie standardmäßig nicht beibehalten und dann überprüfen, warum sie diese Privilegien haben sollten. Wenn es keinen triftigen Grund gibt, sollten der Rolle die entsprechenden Berechtigungen entzogen werden.
Zeitabhängigen Zugang implementieren
Verwendung von Just-in-Time-Zugriffsmethoden, um erhöhte Privilegien nur bei Bedarf zu gewähren und damit das Prinzip der geringsten Privilegien zu befolgen. Dieser Ansatz reduziert das Zeitfenster, in dem erhöhte Privilegien verfügbar sind, und verringert so das Risiko ihres Missbrauchs.
Durchsetzung des Prinzips des geringsten Rechtsanspruchs
Überprüfen Sie regelmäßig die Benutzerkonten, um sicherzustellen, dass sie nur über die für ihre Rolle erforderlichen Berechtigungen verfügen. Diese Praxis minimiert das Potenzial für unbefugten Zugriff oder Aktionen innerhalb des Netzwerks.
Beschränkung der nicht unbedingt notwendigen Nutzung erweiterter Konten
Verbieten Sie die Verwendung von Administratorkonten für allgemeine Aufgaben. Die Implementierung von User Behaviour Analytics (UBA) kann dabei helfen, solchen Missbrauch zu erkennen und zu verhindern, indem abnormale Aktivitäten überwacht werden.
Strenges Account Lifecycle Management durchsetzen
Koppeln Sie die Lebenszyklen von Konten eng an die geschäftlichen Anforderungen. Entfernen Sie Konten umgehend oder stufen Sie sie herab, wenn ein Mitarbeiter ausscheidet oder das Engagement eines Auftragnehmers endet, um das Risiko zu minimieren, dass ruhende Konten ausgenutzt werden.
Umfassende Aktivitätsprotokollierung implementieren
Erzwingen Sie eine strenge Protokollierung aller privilegierten Aktivitäten, idealerweise über alle Systeme hinweg. Verwenden Sie Tools zur Log-Aggregation oder Überwachungslösungen, um einen ganzheitlichen Überblick über die Infrastruktur zu erhalten und unzulässige oder anormale Aktivitäten frühzeitig zu erkennen.
Schlussfolgerung
Eine effektive Verwaltung von Benutzer- und Administratorrechten ist für den Schutz der digitalen Ressourcen eines Unternehmens unerlässlich. Durch das Verständnis der Komplexität der Privilegientrennung und die Implementierung dieser Abschwächungsstrategien können Unternehmen ihre Cybersicherheitslage erheblich verbessern.
