Höherer Reifegrad: Root-Sicherheit unter Linux

Durch kontinuierliche Rücksprachen mit Linux-Administratoren wird klar, dass Organisationen beim Management der Linux-Root-Sicherheit zumeist in drei Reifegrade (nebenstehende Abbildung) unterteilbar sind:

• Stufe eins: Einfach — Eingeschränkter Zugriff auf Linux-Server mit Tools wie SSH mit schlüsselbasierter Authentifizierung oder IP-Zulassungslisten sowie ausschließlicher Nutzung von sudo nach Zugriffsfreigabe.
• Stufe zwei: Fortgeschritten — Festlegung durch Administratoren, welche Befehle ein sudo-Benutzer mit erhöhten Rechten ausführen kann.
• Stufe drei: Ausgereift — Erstellung, Speicherung und Verwaltung der Richtlinien von einem zentralen Policy-Server aus, Protokollierung aller Anforderungen für die Rechteerhöhung auf einem zentralen Log-Server für eine bessere Kontrolle über implementierte Richtlinien auf den Endpunkten.

Jeder Reifegrad kennzeichnet stufenweise, wie die Eigenverantwortlichkeit lokaler Administratoren mit den Vorgaben der IT-Sicherheitsteams im Unternehmen ausbalanciert und Sicherheitsrisiken minimiert werden.

Die folgenden Beispiele in Abbildung 2 zeigen detailliert, welche Punkte relevant sind.

Stufe eins: Nur sudo (einfach)

Unzureichende Transparenz und fehlendes Wissen, wie die Identitätssicherheit, Datenhygiene und Sicherheitslage verbessert werden können.

Wachsende Anzahl normaler oder IT-ferner Benutzer führt in Kombination mit dauerhaften Berechtigungen zu einer größeren Angriffsfläche über die gesamte IT-Infrastruktur hinweg.

Schwierigkeiten bei der einheitlichen Verwaltung und Sicherung von digitalen Identitäten in hybriden IT-Umgebungen und unterschiedlichen Domänen beeinträchtigen die Produktivität insgesamt.

Attacken auf schwache oder kompromittierte Anmeldeinformationen verschaffen Angreifern gefährlichen Zugriff auf privilegierte Konten und einen direkten Zugang zu kritischen Systemen und Daten.

Stufe zwei: Sudoer-Dateien (mittel)

Sudo enthält die Funktion „sudoer file“, mit der Administratoren definieren, welche Befehle ein sudo-Benutzer mit erhöhten Rechten ausführen kann. Zum Beispiel könnte eine sudoer-Datei einem bestimmten Nutzer die Möglichkeit geben, alle Befehle mit Root-Rechten auszuführen, während ein anderer Benutzer nur den Neustartbefehl ausführen darf. Zwar trägt dieser Ansatz dazu bei, eine unnötige Erhöhung von Privilegien zu vermeiden, aber damit verbundene Risiken werden nicht vollständig angegangen. Erhält ein Angreifer beispielsweise Zugriff auf das Root-Passwort, können die sudo-Sicherheitsmaßnahmen vollständig umgangen werden.

Sudoer-Dateien können nicht die Anforderungen an Skalierbarkeit und zentraler Verwaltung erfüllen, die große Unternehmen beim Management umfangreicher Linux-Umgebungen benötigen. Jede sudoer-Datei befindet sich auf einem verwalteten Einzelsystem, so dass Tausende Computer die unterschiedlichsten Variationen haben können — ohne zentrale Aufsicht oder Auditierung. Darüber hinaus handelt es sich bei diesen Dateien um einfache Textdokumente, die sich von jedem Nutzer mit entsprechendem Zugriff auf die Maschine ändern lassen. Die Ausführungsprotokolle von sudo werden zudem lokal gespeichert, was die Anfälligkeit für Manipulation oder Löschung durch Angreifer erhöht und ihre Wirksamkeit als sicheres Werkzeug untergräbt.

Stufe drei: Endpoint Privilege Management für Linux (ausgereift)

BeyondTrust Endpoint Privilege Management für Linux stellt den höchsten Reifegrad bei der Linux-Privilegienverwaltung dar. Mit Endpoint Privilege Management werden alle Richtlinien von einem zentralen Policy-Server aus erstellt, gespeichert und verwaltet sowie alle Anfragen für erhöhte Zugriffsrechte auf einem zentralen Log-Server protokolliert. Beide Server sind vom lokalen Endpunkt getrennt.

Diese Zentralisierung bringt erhebliche Vorteile für Sicherheits- und Governance-Verantwortliche:

• Mehr Kontrolle — Durch die zentrale Verwaltung von Richtlinien in Endpoint Privilege Management verfügen Sicherheitsteams bei der Implementierung auf Tausenden Endpunkten über verbesserte Kontrollmöglichkeiten.
• Höhere Sicherheit — Die Trennung der Anfrage- und Genehmigungsprozesse erhöht die Sicherheit, da sie von unterschiedlichen Personen durchgeführt werden. Einige Kunden definieren Richtlinien, ohne dass eine explizite Genehmigung erforderlich ist. Andere Organisationen fügen weitere Regeln hinzu, die eine Genehmigung durch einen Drittanbieter erfordern, bevor eine Anfrage zur Erhöhung von Berechtigungen gewährt wird.
• Verbesserte Auditierung und Forensik — Alle Anfragen werden zentral protokolliert, so dass Teams nur eine einzige Quelle für Compliance-Audits oder forensische Untersuchungen abfragen müssen. Die Log-Server sind dabei manipulationssicher vom Endpunkt getrennt und können problemlos an andere Sicherheitsverantwortliche (zum Beispiel SOC-Teams) weitergeleitet werden.

Neben den Vorteilen einer zentralen Richtlinienverwaltung bietet BeyondTrust Endpoint Privilege Management einzigartige Funktionen, welche die Sicherheit und Flexibilität verbessern. Eine zusätzliche Schutzebene verhindert die Ausführung bestimmter Funktionen im Unternehmen, beispielsweise das Bearbeiten kritischer Dateien wie der Hosts-Datei bei Root-Logins. Rollenbasierte Richtlinien sorgen für eine zusätzliche Kontrolle, indem sich Richtlinienbeschränkungen je nach Uhrzeit, Wochentag und Standort festlegen lassen. Auf diese Weise werden die Bedingungen eingeschränkt, unter denen mit erhöhten Berechtigungen gearbeitet werden kann.

Mit integrierten Skripten zur Rechteausweitung vereinfacht BeyondTrust Endpoint Privilege Management den Ersatz von sudo, so dass Kunden nahtlos die nächste Stufe beim Privilege Management erreichen können. Diese Funktionalität beschleunigt Bereitstellungsprozesse, reduziert die Komplexität und sorgt für einen schnellen Return on Investment. Endpoint Privilege Management stellt damit eine effiziente und skalierbare Enterprise-Lösung für Linux-Umgebungen dar.