Automatisiertes Berechtigungsmanagement in Kritischen Infrastrukturen

Durch kontinuierliches Monitoring & Auto-Berechtigungskorrektur den Angriffsvektor auf Fileserver in Kritischen Infrastrukturen nachhaltig reduzieren.

Fälle wie „Locky“ oder „WannaCry“ machen deutlich, welches Schadenspotenzial zum Beispiel von Datenverschlüsselung durch Ransomware ausgeht. Gerade in Unternehmen, die als Kritische Infrastruktur (KRITIS) eingestuft werden, wäre der Schaden besonders hoch. Aus diesem Grund schreibt das IT-Sicherheitsgesetz für sie organisatorische und technische Schutzmaßnahmen auf Basis einer Bewertung der Bedrohungslage zwingend vor.

Neben der Abwehr von Gefahren, wie z.B. Infektionen durch Trojaner, sollte daher der Fokus auch auf eine Reduzierung des möglichen Schadensausmaßes gelegt werden. Ein wichtiger Baustein für den Betrieb von Fileservern und die Sicherstellung der Integrität der auf ihnen gespeicherten Daten liegt in der strikten Einhaltung und Durchsetzung des Need-to-know-Prinzips nach BSI-Grundschutz. Denn die Einschränkung der Zugriffsberechtigungen einer Person auf die notwendigen Verzeichnisse ermöglicht neben einer kontrollierbaren Berechtigungssituation die Reduzierung des durch Schadsoftware nutzbaren Angriffsvektors. Eine Einschränkung der Zugriffserlaubnis auf möglichst kleine Personenkreise ist auf Ebene der verschiedenen Betriebs- bzw. Verzeichnissysteme durch technische Maßnahmen möglich. Auch wenn diese beispielsweise durch komplexe Strukturen häufig an ihre Grenzen geraten, ermöglichen verfügbare Tools durch Erstellung von Berichten oder grafischen Darstellungen eine Analyse und Anpassung der Berechtigungssituation. Änderungen in den Dateisystemen werden hierbei identifiziert und der IT-Administration oder dem Helpdesk anschaulich dargestellt. Eine revisionssichere Dokumentation dieser Berechtigungsänderungen ist hierbei meist mit hohem Aufwand verbunden.

Kontrolle durch kontinuierliches Monitoring

An diesem Punkt setzt der BAYOOSOFT Access Manager mit seiner vollständigen Automatisierung des Berechtigungsmanagements an. Durch kontinuierliches Monitoring der bestehenden Berechtigungsstruktur im Active Directory und dem Dateisystem gehören unabsichtliche oder bewusst herbeigeführte manuelle Änderungen in den Zugriffsberechtigungen der Vergangenheit an.

Der regelmäßige Abgleich der tatsächlichen Berechtigungssituation mit dem SOLL-Zustand erkennt diese Zugriffe als unerlaubt und setzt die Berechtigungen per Autokorrektur auf den durch die Datenverantwortlichen definierten und vom System auditierten Zustand zurück. Datenverantwortliche und IT-Administratoren erhalten per Mail oder auf Knopfdruck die festgestellten Abweichungen in übersichtlichen Reports dargestellt und können so potenzielle Gefahrenquellen analysieren.

Neben diesem essentiellen Ansatz, Berechtigungen dauerhaft auf einem kontrollierten und revisionssicheren Niveau zu halten, erreicht der Access Manager durch seine Automatisierung ebenfalls eine deutliche Reduzierung des manuellen Aufwands von IT-Administratoren. Dies ist besonders in stark regulierten Bereichen und Kritischen Infrastrukturen ein wesentlicher Punkt, um beträchtliche Arbeits- und Kostenentlastungen zu erreichen und hierdurch Zeit, zum Beispiel für einen verstärkten Fokus auf die Absicherung vor weiteren Infektionen, zur Verfügung zu haben. Erreicht wird dies durch eine Verlagerung des Tagesgeschäfts der Berechtigungsänderungen zu Datenverantwortlichen in den Fachabteilungen. Durch die intuitive Benutzerführung können Endanwender im Self-Service Portal eigenverantwortlich Anfragen auf Zugriffserlaubnis stellen und die Verantwortlichen mit wenigen Klicks, aus der Mail oder direkt im System, zustimmen. Dieser transparente Prozess ermöglicht die Beantwortung von Fragen zur Berechtigungssituation ohne Unterstützung durch die IT-Administration: Wer hat Zugriff auf welche Daten oder worauf kann ein Mitarbeiter zugreifen? Somit kann auch nach Jahren noch lückenlos festgestellt werden, durch welchen Anwender es zu welchem Zeitpunkt zu welchen Änderungen kommen konnte – ein wichtiger Ansatzpunkt bei der Analyse von internen und externen Angriffsversuchen.

Transparenz bei Netzwerktrennung

Ein weiteres Mittel zur Reduzierung des Schadenspotenzials in Kritischen Infrastrukturen liegt in einer technischen Trennung der Netzwerke bis hin zum Zero-Trust Ansatz. Eine konsequente Kapselung von einzelnen als kritisch evaluierten Produktionsumgebungen von z.B. klassischen Office-IT-Netzwerken bietet eine weitere Option, potenzielle Tore für gezielte Manipulation oder Störungen zu schließen. Um nicht das gesamte IT-Netz nach den Maßstäben für Kritische Infrastrukturen betreiben zu müssen, bildet die Trennung der Netze einen Ansatz zur kosteneffizienten Erhöhung des Schutzniveaus durch die Reduzierung des Angriffsvektors.

Gelangt man zu der Einschätzung, dass eine Netzwerktrennung unter Risikoaspekten angezeigt ist, steht man vor der Herausforderung, Transparenz über die bestehende Berechtigungssituation zu erhalten. Nicht selten erhalten Mitarbeiter mehrere Benutzerkonten in den verschiedenen Netzwerken. Einen unternehmensweiten Bezug der Zugriffsberechtigungen zu einer bestimmten Person herzustellen ist hierbei nur durch aufwändige manuelle Zusammenführung von Analysen aus den verschiedenen Netzen möglich.

Für diese Herausforderung ermöglicht der Access Manager, einen globalen Einblick in die Berechtigungssituation zu erhalten. Durch Einsatz je einer Instanz des AM in den verschiedenen abgetrennten Teilbereichen bleiben die Berechtigungen dauerhaft auf dem gewünschten Niveau. Zusätzlich können innerhalb des Unternehmens alle Informationen aus Monitoring und Audit an eine zentrale Reporting-Instanz berichtet werden. Durch Zusammenführen von Active Directory-Benutzern zu einer natürlichen Person kann die Berechtigungssituation bereichsübergreifend nachvollzogen und die tatsächlichen Berechtigungen je Mitarbeiter übersichtlich mit Informationen zum Genehmigungszeitpunkt und möglichen Ablaufdatum dargestellt werden.

Besteht zusätzlich die Anforderung, Daten zwischen kritischen Teilbereichen und z.B. Office-IT-Umgebungen kontrolliert auszutauschen, um den Anwendern ein möglichst effizientes und gewohntes Arbeiten in beiden Umgebungen zu ermöglichen, so unterstützt der Access Manager bei der Synchronisierung der Berechtigungen. Hierdurch ist für die notwendige Zugriffsberechtigung auf gleiche Daten in zwei Dateisystemen lediglich eine Anfrage notwendig. Dies ermöglicht einen reibungslosen und verständlichen Ablauf der Berechtigungsanfrage für die Mitarbeiter und reduziert Wartezeiten.

Fazit

Das IT-Sicherheitsgesetz verpflichtet Unternehmen im Bereich der Kritischen Infrastrukturen dazu, ihre Systeme im Hinblick auf Sicherheit und Verfügbarkeit zu überprüfen und Maßnahmen zu ihrem Schutz zu ergreifen. Der Einsatz des BAYOOSOFT Access Manager ist hierbei ein probates Mittel, um den nutzbaren Angriffsvektor auf Fileserver durch Einschränkung der Zugriffserlaubnis zu reduzieren. Kontinuierliches Monitoring der Berechtigungen und die Auto-Berechtigungskorrektur erlauben keine manuellen Änderungen mehr am System vorbei. Die Einhaltung der definierten Berechtigungssituation ist daher zu jeder Zeit gewährleistet und mit allen Berechtigungsänderungen revisionssicher dokumentiert.

Selbst bei einer aus Risikoaspekten angebrachten kompletten Trennung von kritischen Netzwerken und Office-IT-Umgebungen ist es durch den Access Manager möglich, den unternehmensweiten Überblick über die Berechtigungssituation zu behalten. Durch Replizieren der Berechtigungen lassen sich übergreifende Zugriffsstrukturen abbilden, so dass Anwender wie gewohnt auf die benötigten Systeme zugreifen können. Gleichzeitig ist dadurch ein hohes Schutzniveau sichergestellt.

Möchten Sie mehr über die Vorteile des automatisierten Berechtigungsmanagements erfahren?

Vereinbaren Sie noch heute einen Termin für eine individuelle Produktvorstellung oder schauen Sie bei einem unserer regelmäßigen Webinare vorbei. Unsere Experten für Berechtigungsmanagement stellen Ihnen den BAYOOSOFT Access Manager gerne persönlich vor:

Datenschutzerklärung