Was ist Just-in-Time-Zugangssicherheit?

Der Name ist Programm: Beim Prinzip der Just-in-Time-Zugangssicherheit handelt es sich um den Zugang zu IT-Ressourcen genau dann, wenn sie benötigt werden. Die Benutzer erhalten die Berechtigung, auf ein System oder eine Ressource zuzugreifen, um eine bestimmte Aufgabe auszuführen, wenn der Bedarf besteht. Das heißt, genau zum richtigen Zeitpunkt.

Warum Just-in-Time?

Just-in-Time-Zugangssicherheit (JIT) ist ein grundlegendes Verfahren zur Verringerung überflüssiger Zugriffsrechte und ein wichtiges Instrument zur Umsetzung des Prinzips der geringstnotwendigen Privilegien und des Zero-Trust-Sicherheitsmodells.

Die Just-in-Time-Sicherheit zielt darauf ab, das Risiko bestehender Privilegien zu minimieren, um das Risiko und die Gefährdung durch potenzielle Cyberangriffe zu begrenzen. Wenn zu viele Benutzer permanent über zu viele Privilegien verfügen, setzt sich das Unternehmen einem exponentiell höheren Risiko aus, dass eben diese privilegierte Anmeldeinformationen gestohlen oder ausgenutzt werden. Die Folge: Vertrauliche Informationen können gestohlen, Daten verschlüsselt oder Systeme zum Stillstand gebracht werden. Die Gewährung erweiterter Berechtigungen nur bei Bedarf – nicht mehr und nicht weniger – beschränkt die Gefährdung auf ein Minimum und ermöglicht es den Benutzern dennoch, ihre Arbeit effizient zu erledigen.

In einer kürzlich von Oracle und KPMG durchgeführten Studie wurde festgestellt, dass 59 % der befragten Unternehmen – also mehr als die Hälfte von ihnen – Opfer eines Cyberangriffs wurden, weil privilegierte Zugangsdaten weitergegeben oder gestohlen wurden. Das Problem: Die meisten Unternehmen gewähren ihren Benutzern pauschal zu viele Berechtigungen für zu viele Ressourcen. Oftmals erfordern Anwendungen und Legacy-Systeme jedoch erhöhte Berechtigungen, damit deren Benutzer ihre Aufgaben erledigen können.

Diese übermäßig hohen Privilegien gefährden die IT-Infrastruktur extrem. Tatsächlich hätten 56 % der gemeldeten Schwachstellen in Microsoft-Software im Jahr 2020 (deren Zahl ist seit 2019 um 48 % gestiegen) durch die Abschaffung administrativer Berechtigungen entschärft werden können. Dieses Ausmaß der Gefährdung stellt ein enormes Risiko für die IT-Sicherheit dar.

Das Ziel der Just-in-Time-Sicherheit besteht darin, die Anzahl der Benutzer mit permanent erhöhten Privilegien, aber auch die Menge der Privilegien, die sie jeweils besitzen, sowie die Zeitdauer, für die sie gewährt werden, auf ein absolutes Minimum zu reduzieren. JIT ermöglicht es Unternehmen, die Cybersicherheit zu verbessern, unterstützt durch strategische Technologielösungen, um Schwachstellen zu minimieren und böswillige Akteure daran zu hindern, ihre Privilegien im Netzwerk eigenmächtig zu erweitern.

Just-in-Time (JIT) Sicherheitsrichtlinien helfen Unternehmen dabei:

  • die allgemeine Cybersicherheitslage zu verbessern
  • übermäßige Privilegien abzuschaffen und eine „Zero Standing Privileges„-Richtlinie einzuführen
  • Privilegieneskalationsprozesse zu rationalisieren und automatisieren
  • Privilegierte Benutzer (egal, ob Mensch und Maschine) zu verwalten
  • Einen sicheren Fernzugriff auf sensible Ressourcen zu ermöglichen
  • Sicherheit zu erleichtern ohne die Produktivität zu beeinträchtigen

Wie funktioniert das?

Die JIT-Sicherheit befasst sich im Kern mit drei Hauptfaktoren des Zugriffs: Ort, Zeitpunkt und Aktionen. Von wo aus versucht ein Benutzer zuzugreifen? Ist er berechtigt, während dieses Zeitraums zu arbeiten, und wie lange muss er den Zugriff aufrechterhalten? Was genau versucht er mit seinem Zugang zu tun?

Bei einem Zero-Standing-Privileges-Ansatz haben alle Benutzer standardmäßig zunächst keine Berechtigungen für den Zugriff auf IT-Ressourcen. Der Benutzer muss daher den Zugriff auf den Server, die Anwendung oder eine andere IT-Ressource beantragen, um seine Arbeitsaufgaben zu erfüllen. Die Anfrage des Benutzers zur Erhöhung der Zugriffsrechte wird automatisch geprüft, um die Rolle und die Berechtigungen der Person zu überprüfen. Der Zugriff wird dabei gemäß den internen Richtlinien gewährt oder verweigert. Wird der Antrag bewilligt, werden die Berechtigungen des Benutzers vorübergehend erhöht, um den Zugriff für die Ausführung der beabsichtigten Tätigkeit für eine bestimmte Dauer zu ermöglichen, die von der Unternehmensrichtlinie festgelegt wird. Wenn die Aufgabe abgeschlossen oder die Zeit abgelaufen ist, werden die Berechtigungen des Benutzers wieder entzogen und auf den Normalzustand zurückgesetzt, sprich: auf Null gesetzt.

Nehmen wir zum Beispiel Alice, die bei der XYZ GmbH angestellt ist. Alice benötigt Zugang zum IT-System, um im Rahmen ihres Auftrags Wartungsarbeiten an einigen wichtigen Servern durchzuführen. Dank WALLIX kann Alice eine Ticket-Anfrage stellen, die ihr nach einer schnellen Genehmigung für einen bestimmten Zeitraum und zu vorher festgelegten Bedingungen exklusiven Zugang zu genau den Geräten gewährt, an denen sie arbeiten möchte.

Die Just-in-Time-Sicherheit kann dabei eine dynamische Erhöhung der Zugriffsrechte unter klar definierten Bedingungen ermöglichen, um eine starke Sicherheitslage zu gewährleisten:

  • Zugriff nur während der normalen Arbeitszeiten
  • Zugriff auf sensible Ressourcen nur für bestimmte Aufgaben
  • Ausweitung der Anwendungsrechte ohne Ausweitung der gesamten Benutzersitzung
  • Sicherer Fernzugriff für Mitarbeiter und externe Anbieter

Wie implementiert man JIT?

Sie möchten nun also Just-in-Time-Sicherheit zur Verwaltung privilegierter Zugriffe in Ihre Richtlinie einführen und sind davon überzeugt, dass dies der richtige Ansatz ist, um das Risiko zu minimieren und die übermäßige Anzahl an Dauerberechtigungen innerhalb ihrer IT-Infrastruktur zu beseitigen. Wunderbar, aber: Wie lässt sich das Prinzip in die Praxis umsetzen?

Der erste Schritt wäre eine unternehmensweite Prüfung aller Benutzerzugriffsrechte, um den Umfang und das Ausmaß des Problems zu ermitteln. Wie viele Benutzer gibt es? Welche Profile haben sie, und auf welche Anwendungen und Systeme benötigen sie in der Regel Zugriff? Wie viele Benutzerkonten sind inaktiv, wie viele erhöhte Zugriffsrechte werden selten oder nie genutzt?

Auf der Grundlage der aufgedeckten Antworten besteht der nächste Schritt darin, interne Richtlinien festzulegen, um die Anforderungen an die Benutzer zu definieren, denen Zugriff auf die Zielsysteme gewährt werden soll: Welche Rollen und Teams, unter welchen Bedingungen und für wie lange soll der Zugriff erlaubt sein?

Außerdem müssen Sie die Kontrolle über alle Passwörter und Anmeldedaten für die Zielsysteme wiedererlangen. Die zentrale Verwaltung und Rotation von Passwörtern für Anwendungen und IT-Ressourcen ist entscheidend für ein umfassendes Risiko- und Schwachstellenmanagement.

Damit sind die Voraussetzungen geschaffen, Lösungen zur Umsetzung der Just-in-Time-Politik zu implementieren.

Eine Privileged Access Management-Lösung (PAM) ist ein wichtiger erster Schritt, um die „Kronjuwelen“ der IT-Infrastruktur zu schützen. Eine PAM-Lösung zentralisiert und rationalisiert den sicheren Zugang zu kritischen IT-Ressourcen wie Produktionsservern und Business-Anwendungen und verhindert die gemeinsame Nutzung von Root-Passwörtern, wodurch der sensible Zugang gesperrt wird. Wenn eine Verbindung über eine PAM-Lösung wie WALLIX Bastion hergestellt wird, geschieht dies ohne Mehraufwand für den Benutzer und erleichtert gleichzeitig Produktivität und Effizienz, während die Berechtigung zur Verbindung mit dem Server basierend auf den in der Lösung definierten JIT-Prinzipien vollständig überprüft wird.

Wichtig: Selbst IT-Administratoren mit Bastion-Zugang verfügen nicht jederzeit über unbegrenzte, erhöhte Privilegien. Eine vorübergehende Erhöhung der Berechtigungen muss auch hier bei Bedarf beantragt werden, damit menschliche und maschinelle Benutzer gelegentliche Aufgaben ausführen oder privilegierte Befehle ausführen können. Der Admin/Benutzer reicht einfach ein Ticket ein, um die Berechtigungen für eine bestimmte Aktion und einen bestimmten Zeitraum zu erhöhen – dank Privilege Elevation and Delegation Management.

Auch Nicht-IT-Benutzer können durch Just-in-Time-Sicherheitslösungen geschützt werden. Workstations sind eine ständige Quelle von Schwachstellen aufgrund von Phishing-Betrug und „Passwortmüdigkeit“ von Benutzern mit zu vielen Anmeldedaten für zu viele verschiedene Systeme. Das Entfernen lokaler Administratorkonten kann jedoch auf beiden Seiten, den Benutzern und dem überlasteten Helpdesk, Kopfschmerzen verursachen. Endpoint Privilege Management ermöglicht es Anwendern, dynamisch und nahtlos die Berechtigungen für eine bestimmte Anwendung oder einen Prozess zu erhöhen, ohne die Sitzungs- oder Benutzerrechte zu erhöhen. Mit einer Lösung wie WALLIX BestSafe wird der Zugriff und die Berechtigungserweiterung genau dann gewährt, wenn ein Benutzer eine bestimmte Aufgabe erfüllen muss (Ausführen eines Programms, Installieren einer zugelassenen Software), während nicht autorisierte Verschlüsselungsvorgänge oder Versuche der Berechtigungserweiterung blockiert werden.

Sobald die Just-in-Time-Zugriffsverwaltung vollständig implementiert ist, wird die Zeitspanne, in der ein Konto über erhöhte Privilegien und Zugriffsrechte verfügt, strikt begrenzt, um das Risiko und die Angriffsfläche zu verringern. Privilegierte Konten werden nur so lange genutzt, wie es für die Ausführung der Aufgabe oder Aktivität erforderlich ist – Benutzer, Konten und Sitzungen behalten keine „Dauerprivilegien“. Mit den WALLIX-Zugriffssicherheitslösungen wird JIT durch dynamische Berechtigungserweiterung vereinfacht, um sicherzustellen, dass nur die richtigen Identitäten bei Bedarf und für die kürzeste erforderliche Zeit über die entsprechenden Berechtigungen verfügen.

Wenn Sie mehr über Just in Time Sicherheit erfahren möchten, zögern Sie nicht, die WALLIX Experten zu kontaktieren!