Buchneuerscheinung: Vektoren für Identitätsattacken

Neuveröffentlichung: Im neuen Buch „Identity Attack Vectors“ untersuchen Morey J. Haber, CTO/CISO bei BeyondTrust, und Darran Rolls, CTO bei SailPoint, wie sich effektive Identitäts- und Zugriffslösungen implementieren lassen. Das E-Book thematisiert typische Angriffsvektoren für Attacken auf digitale Identitäten und reicht inhaltlich von der grundsätzlichen Definition oder Konzeption solcher Angriffsmethoden bis zur erfolgreichen Implementierung wirksamer Lösungen. Für Haber ist es der dritte Teil einer Buchserie, die zuvor in den ersten beiden Teilen privilegierte Attacken und Angriffe auf IT-Assets behandelt hat. Die Buchtriologie greift also drei Säulen der Cybersicherheit auf — (digitale) Identitäten, Privilegien und IT-Assets.

Breite Technologietrends wie Cloud Computing oder das Internet der Dinge führen auf Unternehmensseite genauso zu einem stark gewachsenen Verwaltungsaufwand bei digitalen Identitäten wie die rasante Zunahme an Endgeräten und Applikationen sowie eine verstärkte Nutzung von Software-Maschinen. Der gerade veröffentlichte „IDSA State of Identity Report“ dokumentiert das ganze Ausmaß dieses Wachstums: 52% der IT-Security-Entscheider verzeichnen eine Verfünffachung digitaler Identitäten in der vergangenen Dekade. Haupttreiber dieser technologischen Entwicklung seien demnach mobile Endgeräte (76%), IT-Geräte im Unternehmensnetz (60%), Cloud-Applikationen (59%), Automatisierung (36%) und Container-Technologien (25%).

Hinzu kommt, dass einfache Geschäftsanwender seit Jahren immer mehr unterschiedliche Accounts nutzen — zum Teil bis zu 191 Konten, wobei privilegierte Accounts mit ihrem höheren Risikopotential hier noch nicht einmal eingerechnet sind. Wie lässt sich die unüberschaubare Anzahl an Kennwörtern sicher zuteilen, schützen und verwalten? Das ist leider ein wachsendes Problem im Zeitalter fließender Netzwerkgrenzen und steigender Mobilität, die das IT-Risikomanagement vor völlig neue Herausforderungen stellen. Im modernen Unternehmensumfeld sollte deshalb die Identitätsverwaltung mit Zugriffskontrolle sowie zentralem und rollenbasiertem IT-Management in den Mittelpunkt der IT-Sicherheitsstrategie rücken.

Inhaltlich werden die Leser auf eine IT-Sicherheitsreise mitgenommen, die von praxisnahen Beispielen bis zu unterhaltsamen Star-Wars-Analogien (R2D2s zu weit gefasste Zugriffsprivilegien) reicht:

• Konzepte für digitale Identitäten und wie sie sich von Kontenzugriffen unterscheiden.
• Reale Angriffstechniken, mit denen Hacker Lücken in IAM-Prozessen ausnutzen und digitale Identitäten kompromittieren.
• Wie sieht eine erfolgreiche Identity-Governance-Strategie aus, die privilegierte und nicht privilegierte Identitäten oder Rollen für zertifizierte Einhaltung von IT-Compliance-Vorgaben abdeckt?
• Identitätsbasierte Best-Practice-Sicherheitsempfehlungen für Anwendungsfälle, bei denen die Verwaltung und Kontrolle von Identitäten und Privilegien geschäftskritisch sind.
• Erfolgsfaktoren bei der Bewertung und Implementierung eines Identity-Management-Programmes, das Angriffsvektoren abdeckt und zugleich Geschäftsziele für den effizienten und nahtlosen Betrieb berücksichtigt.

Die Autoren greifen viele Themen auf und beantworten unter anderem die folgenden Fragen:

• Was sind die Implikationen bei der Erstellung von Accounts im Vergleich zu Identitäten?
• Eine menschliche Identität kann mehreren Konten zugeordnet sein, aber wie sieht es bei Maschinen, Software-Robotern, Service Accounts, IoT-Geräten (Internet of Things) und anderen Technologien aus?
• Wie sehen praktische (realistische) Anwendungsfälle und Zero-Trust-Begrenzungen, bedarfsorientierter Privileged Access, Biometrie und Blockchain bei der Gefahrenvermeidung aus?

Fast jeder erfolgreiche Cyberangriff basiert mittlerweile auf dem Missbrauch digitaler Identitäten. Insbesondere Privileged Access Management (PAM) nimmt deshalb bei der Absicherung im Rahmen von Identity and Governance Administration (IGA) eine Schlüsselrolle ein. Die Marktforscher von Forrester schätzen, dass Hacker privilegierte Zugangsdaten bei 80% aller Cyberattacken einsetzen, um sich schnellen Zugriff auf sensible Bereiche eines Unternehmensnetzes zu verschaffen.

Der Royal Flush für Hacker

In diesem Zusammenhang warnt BeyondTrust vor einer neuen Gefahrenlage bei identitätsbasierten Attacken. Beim Raub digitaler Identitäten streben Hacker nach einem „Royal Flush“, indem sie ausnahmslos alle Konten einer Einzelperson unter ihre Kontrolle bekommen. Solche Attacken zielen auf alle Accounts, die mit einer (realen oder maschinellen) Identität verbunden sind. Im Zuge dieser Angriffe geben sich Cyberkriminelle als andere Personen aus und setzen dabei auch KI- oder Deepfake-Technologien ein. Die verschärfte Risikolage betrifft sowohl private als auch geschäftliche Umgebungen. Sie verdeutlicht auch, wie weitreichend die Folgen für Nutzer mit mehreren Konten sein können.

Die IT-Sicherheitsherausforderungen beim Identitätsmanagement (IdM) sind sowohl technologischer als auch organisatorischer Art. Identity-Management- und Security-Fragen werden häufig parallel von separaten IT-Teams betreut — mit unterschiedlichen Budgets und Prioritäten. Im Laufe der Zeit und bei immer größeren Projekten wird eine koordinierte Abstimmung immer schwieriger. Entstehen Lücken, versuchen Angreifer das aktiv auszunutzen, wobei die Erkennung und Beseitigung eine sehr zeitaufwendige und komplexe Aufgabe ist.

IT-Sicherheitsverantwortliche müssen folgende Fragen beantworten:

• Wer ist dieser Nutzer (Identität)?
• Welche Zugriffsrechte hat er (Privilegien)?
• Wo hat er sich eingewählt (IT-Asset)?
• Ist der Zugriff geschützt (Privilegien)?
• Ist das IT-System sicher (IT-Asset)?
• War der Einwahlprozess im Einklang mit den zugewiesenen Nutzerrechten (Identität)?

Moderne IAM-Lösungen müssen sich in die IT-Sicherheitsumgebung integrieren, um durchgängige und umfassende Visibilität und Kontrolle über digitale Identitäten gewährleisten zu können. Reife IAM-Prozesse wie zum Beispiel Privilege Management können so eine Vielzahl an Bedrohungen stoppen oder zumindest begrenzen. Dafür werden Least-Privilege-Policies durchgesetzt und Best-Practice-Vorgaben für die Verwaltung privilegierter Zugangsdaten (für Drittanbieter und Remote-Anwender gleichermaßen) automatisiert.

Die nächsten Schritte

Was sollte man über den Schutz digitaler Identitäten wissen? Jetzt das E-Book Identity Attack Vectors bei Amazon bestellen und mehr über die sicheres Identitätsmanagement im Unternehmen erfahren.

In diesem englischsprachigen Webinar gibt es weiteres Anschauungsmaterial: Deconstructing Identity as a Cyberattack Vector.