Privilegierte Zugriffsverwaltung (PAM)

Privilegierte Zugriffsverwaltung ist die Praxis, den erweiterten ("privilegierten") Zugriff auf die kritischsten Systeme und Daten einer Organisation zu sichern, zu kontrollieren und zu überwachen. Privilegierte Konten - Administratoren, Root, Dienstkonten und ähnliche - können Konfigurationen ändern, auf sensible Daten zugreifen und gewöhnliche Kontrollen umgehen. Diese Macht macht sie zum primären Ziel bei den meisten schwerwiegenden Sicherheitsverletzungen. PAM reduziert das Risiko, indem es permanenten Zugriff beseitigt, Anmeldeinformationen verbirgt und jede privilegierte Aktion überprüfbar hält.

Privilegierter Zugriff ist jeder Zugriff mit erweiterten Rechten, die über die eines Standardbenutzers hinausgehen. Häufige Beispiele sind:

• Administratorkonten - lokale und Domänenadministratoren auf Servern und Workstations.
• Root- und Superuser-Konten auf Linux- und Unix-Systemen.
• Dienst- und Maschinenkonten, die automatisierte Prozesse ausführen.
• Cloud-Infrastrukturkonten mit umfangreichen Konsolen- oder API-Berechtigungen.
• Datenbank-, Netzwerkgeräte- und Hypervisor-Administratoranmeldeinformationen.

Jedes davon kann weitreichende Änderungen vornehmen oder sensible Informationen offenlegen, weshalb sie anders verwaltet werden als gewöhnliche Benutzerkonten.

Eine PAM-Lösung bringt privilegierte Konten durch mehrere Kernfunktionen unter zentrale Kontrolle:

• Speicherung von Anmeldeinformationen im Tresor - privilegierte Passwörter, Schlüssel und Geheimnisse werden verschlüsselt gespeichert, statt von Benutzern gehalten zu werden.
• Einfügen und Vermitteln von Anmeldeinformationen - Anmeldeinformationen werden in Sitzungen eingespeist, ohne dem Benutzer offengelegt zu werden.
• Verwaltung privilegierter Sitzungen - Sitzungen zu kritischen Systemen werden über einen Proxy geleitet, überwacht und aufgezeichnet, oft über einen Privileged Session Manager (PSM).
• Just-in-Time (JIT)-Zugriff - erweiterte Rechte werden für ein begrenztes Zeitfenster gewährt und automatisch entzogen, wodurch permanente Berechtigungen entfallen.
• Rotation von Anmeldeinformationen - privilegierte Passwörter ändern sich automatisch nach einem Zeitplan oder nach jeder Verwendung.
• Auditing und Berichterstattung - jedes Auschecken, jede Sitzung und jede Aktion wird zur Überprüfung und Compliance protokolliert.

Organisationen setzen PAM am häufigsten ein, um:

• Zugriff von Drittanbietern und Anbietern zu kontrollieren - externen Technikern einen begrenzten, zeitlich eingeschränkten Zugriff gewähren, ohne Passwörter herauszugeben.
• Dienst- und Automatisierungskonten zu sichern - die nicht-menschlichen Anmeldeinformationen, auf die Skripte und Anwendungen angewiesen sind, im Tresor speichern und rotieren.
• Break-Glass-Zugriff bereitzustellen - privilegierten Notfallzugriff auf kontrollierte, vollständig geprüfte Weise verfügbar machen.
• Cloud- und Hybrid-Infrastruktur zu steuern - konsistente Kontrollen über On-Prem- und Cloud-Konsolen hinweg anwenden.
• Audit- und Compliance-Anforderungen zu erfüllen - Nachweise erbringen, wer wann worauf zugegriffen hat.

Identitäts- und Zugriffsverwaltung (IAM) steuert Identitäten und den alltäglichen Zugriff für die gesamte Benutzerbasis. PAM ist eine fokussierte Disziplin innerhalb dieses Bereichs, die sich speziell mit der kleinen Anzahl risikoreicher, erweiterter Konten befasst. Kurz gesagt: IAM verwaltet den Zugriff für alle; PAM verwaltet den mächtigen Zugriff, der bei Missbrauch den größten Schaden anrichten könnte.

Kompromittierte privilegierte Anmeldeinformationen stecken hinter einem großen Teil schwerwiegender Sicherheitsvorfälle, da sie einem Angreifer die Reichweite eines vertrauenswürdigen Administrators verleihen. PAM reduziert diese Gefährdung, indem es permanente Berechtigungen beseitigt, Anmeldeinformationen aus den Händen der Benutzer hält und eingrenzt, was ein einzelnes Konto tun kann. Es erzeugt außerdem das Prüfprotokoll, das Frameworks wie SOC 2 und ISO 27001 für privilegierte Aktivitäten erwarten - wodurch es sowohl für die Sicherheit als auch für die Compliance zentral ist.