Just-in-Time-Zugriff (JIT)

Just-in-Time (JIT)-Zugriff gewährt erhöhte Rechte nur dann, wenn sie benötigt werden, für einen begrenzten Zeitraum, und entfernt sie automatisch, sobald dieser Zeitraum endet. Anstatt dass Konten rund um die Uhr über ständigen administrativen Zugriff verfügen, wird der Zugriff auf Anfrage bereitgestellt, genutzt und wieder entzogen - sodass nichts dauerhaft erhöht bleibt, das ein Angreifer finden könnte.

JIT-Zugriff folgt einem Muster aus Anforderung und Ablauf:

1. Ein Benutzer fordert erhöhten Zugriff auf ein System an, oft mit einer Begründung.
2. Die Anfrage wird automatisch durch Richtlinien oder durch einen Genehmiger genehmigt.
3. Der Zugriff wird für einen definierten, begrenzten Zeitraum gewährt.
4. Wenn der Zeitraum endet, wird der Zugriff automatisch entzogen.
5. Die Anfrage und die Sitzung werden zur Prüfung protokolliert.

Ständiger Zugriff ist dauerhaft aktiv: Ein Konto verfügt permanent über erhöhte Rechte, unabhängig davon, ob sie genutzt werden oder nicht. Genau dieses permanente Privileg suchen Angreifer. Just-in-Time-Zugriff ersetzt es durch temporäre, bedarfsgesteuerte Rechte, sodass zu einem beliebigen Zeitpunkt fast kein erhöhter Zugriff existiert, der kompromittiert werden könnte. Das Ergebnis ist eine drastisch kleinere Angriffsfläche.

JIT-Zugriff ist das Prinzip der geringsten Rechte, angewendet sowohl auf die Zeit als auch auf den Umfang. Das Prinzip der geringsten Rechte begrenzt, wie viel Zugriff eine Identität hat; Just-in-Time begrenzt, wie lange sie ihn hat. Zusammen stellen sie sicher, dass der Zugriff sowohl minimal als auch zeitlich begrenzt ist - nur den richtigen Personen gewährt, für die richtigen Ressourcen und nur so lange wie nötig.

Ständiger privilegierter Zugriff ist eines der größten und hartnäckigsten Risiken in den meisten Umgebungen. Indem er ihn beseitigt, verkleinert Just-in-Time-Zugriff das Zeitfenster, in dem ein Konto missbraucht werden kann, begrenzt den Schaden, den eine Kompromittierung anrichten kann, und erzeugt ein sauberes Prüfprotokoll darüber, wer was und wann angefordert hat. Es handelt sich um eine grundlegende Praxis bei der privilegierten Zugriffsverwaltung und der Verwaltung von Remote-Zugriffen.