Steven LafortunePrivilegierte Konten werden nicht auf dem Anmeldebildschirm kompromittiert. Die Kompromittierung erfolgt nach der Anmeldung: wenn eine Sitzung gekapert wird, ein Gerät entsperrt bleibt oder Anmeldedaten etwas zu leichtfertig weitergegeben werden. Genau diese Lücke soll die MFA beim PAM-Checkout schließen: Anstatt der Person zu vertrauen, die sich bereits im System befindet, überprüft Devolutions nun die Identität erneut, genau in dem Moment, in dem jemand den Zugriff auf ein privilegiertes Konto anfordert.
Das Problem, das die MFA beim Checkout löst
Die standardmäßige MFA belegt, wer sich zu Beginn des Tages authentifiziert hat. Sie prüft jedoch nicht, wer eine Stunde später am Rechner sitzt, wenn eine privilegierte Checkout-Anfrage eingeht. Für sensible Konten – Domainadministratoren, Dienstkonten, alle Konten mit erweiterten Rechten – ist diese Lücke relevant. Durch die erneute MFA-Abfrage im Moment des Check-outs wird sie geschlossen: Die Verifizierung erfolgt nun direkt im Anschluss an die Zugriffsanfrage und nicht nur bei der ersten Anmeldung.
Aktivieren der MFA für den Checkout
Im Devolutions Server:
- Stellen Sie sicher, dass für die Nutzer eine MFA-Methode konfiguriert ist, entweder pro Nutzer (
Administration – Nutzer – Multifaktor) oder global erzwungen überAdministration – Konfiguration – Servereinstellungen – Sicherheit – Richtlinien für bedingten Zugriff(legen Sie die MFA-Einstellung auf „Erforderlich“, „Optional pro Nutzer“ oder „Überspringen“ fest). - Öffnen Sie die Eigenschaften des PAM-Anbieters oder des Eintrags und wechseln Sie zur Registerkarte Checkout-Richtlinie.
- Aktivieren Sie die Option „MFA bei Checkout erforderlich“.
- Speichern Sie die Einstellungen. Die Anforderung gilt ab dem nächsten Checkout dieses Eintrags.
In der Devolutions Cloud: Die gleiche Logik gilt auch unter Administration – Konfiguration – Sicherheit – Authentifizierung, wo die MFA-Überprüfung für den Zugriff auf sensible Einträge aktiviert werden kann. Zu den unterstützten Methoden gehören E-Mail und TOTP; weitere Identitätsanbieter werden über die umfassenderen MFA-Optionen der Plattform abgedeckt (Yubikey, Duo, Radius und andere, je nach Ihrer Konfiguration).
Das passiert, wenn ein Nutzer ein Konto auscheckt
Der Checkout-Vorgang selbst ändert sich äußerlich nicht: Der Nutzer wählt den Eintrag aus, legt eine Dauer fest und gibt einen Grund oder eine Ticketnummer an, wenn dies erforderlich ist. Die Neuerung findet genau dort statt, noch bevor die Anfrage überhaupt weitergeleitet wird. Wenn für diesen Eintrag MFA erforderlich ist, muss der Nutzer im Rahmen der Übermittlung der Anfrage eine Authentifizierung vornehmen – entweder über einen TOTP-Code, einen per E-Mail versendeten Code oder eine SMS. Ohne eine gültige MFA gelangt die Anfrage gar nicht an den Genehmiger: Die Identität wird an der Quelle bestätigt, nicht erst nachträglich hinzugefügt.
Das sieht der Genehmigende
Die Genehmiger werden nicht darüber im Unklaren gelassen, ob die Identität bestätigt wurde. Wenn eine Checkout-Anfrage zur Prüfung bei Ihnen eingeht, hat die MFA-Überprüfung bereits stattgefunden – andernfalls hätte der Antragsteller die Anfrage gar nicht einreichen können. Der Genehmigungsbildschirm spiegelt dies wider, wodurch dem Genehmiger bei der Entscheidung eine Unbekannte weniger bleibt und der Prüfungspfad um einen weiteren Datenpunkt reicher wird, falls dieser Checkout später einmal überprüft werden sollte.
Darum ist das wichtig
Die MFA beim Checkout ersetzt weder Genehmigungen noch Sitzungsaufzeichnungen oder Ihre bestehenden Checkout-Richtlinien, sondern ergänzt diese als eine weitere Kontrollmöglichkeit, die genau dort platziert wird, wo das Risiko am höchsten ist: in dem Moment, in dem jemand Zugriff auf ein privilegiertes Konto erlangt. Für Teams, die bereits Devolutions PAM verwenden, handelt es sich um eine Änderung der Richtlinien und nicht um die Einführung eines neuen Systems.
Wenn Sie Devolutions PAM verwenden, lohnt es sich, diese Option zu aktivieren. Die vollständige Anleitung zur Einrichtung finden Sie in der folgenden Dokumentation. Teilen Sie uns bitte mit, wie es sich für Ihr Team bewährt.
Ressourcen:
Marc Beausejour
Adam Listek