PAM erklärt: Sichern • Erkennen • Genehmigen • Aufzeichnen

Kleine IT-Teams benötigen kein Wirrwarr an Sicherheitstools: sie benötigen Schutzplanken, die schnell implementiert werden können und schwer zu umgehen sind. Devolutions PAM bietet die vier wesentlichen Funktionen - Sichern, Erkennen, Genehmigen, Aufzeichnen - und Remote Desktop Manager (RDM) sowie Devolutions Gateway machen sie im Alltag nutzbar. Das Ergebnis ist eine Just-in-time (JIT)-Erhöhung der Berechtigungen gemäß dem Prinzip der geringsten Berechtigungen (PoLP) und ein klarer Weg hin zur Vermeidung ständig bestehender Berechtigungen (Zero Standing Privilege - ZSP).

Sichern und rotieren: Passwörter zentral verwalten und nach Gebrauch ändern

Speichern Sie Ihre privilegierten Konten im PAM-Tresor und starten Sie Sitzungen von RDM aus mit dem Einfügen der Anmeldeinformationen, sodass Administratoren das Konto nutzen können, ohne jemals das Passwort einzusehen. Nach Sitzungsende kann PAM das Passwort automatisch rotieren - entweder beim Check-in der Anmeldeinformationen oder nach einem festgelegten Zeitplan. PAM aktualisiert außerdem alle Orte, an denen das Konto referenziert wird (Dienste, geplante Aufgaben, Verbindungseinträge), sodass keine Fehler auftreten.

Warum das wichtig ist: Keine Passwörter, die durchsickern können, ein winziges Zeitfenster für die Wiederverwendung und da die Erhöhung der Berechtigungen konstruktionsbedingt nur von kurzer Dauer ist, erfolgt nach jeder Sitzung wieder ein Abgleich mit dem Prinzip der geringsten Berechtigungen (PoLP).

Erkennen: Privilegierte Konten inventarisieren und verwalten

Führen Sie die Erkennung dort durch, wo erhöhte Zugriffsrechte tatsächlich vorhanden sind - Verzeichnisse, Server, Endpunkte, Datenbanken und Cloud-Rollen - und klassifizieren Sie die Ergebnisse nach Risikostufe. Verschieben Sie Konten mit hohem Risiko direkt in den PAM-Tresor, legen Sie eine Rotationsrichtlinie fest und fordern Sie zeitlich begrenzte Genehmigungen sowie Sitzungsaufzeichnungen ein. Führen Sie Erkennungen regelmäßig durch, damit neue Konten gekennzeichnet und registriert werden, anstatt verloren zu gehen.

Für segmentierte Netzwerke und MSP-Szenarien empfiehlt sich die Erkennung über Devolutions Gateway - einen authentifizierten Gateway-Endpunkt mit richtliniengesteuertem Zugriff.

Warum das wichtig ist: Sie beseitigen blinde Flecken, registrieren schnell risikoreiche Konten und verhindern, dass neue Konten unkontrolliert bleiben. Dies unterstützt ZSP (keine bestehenden Berechtigungen), indem sichergestellt wird, dass die Erhöhung nur dann erfolgt, wenn sie benötigt wird und nur für so lange wie nötig.

Genehmigen: Erhöhung von Rechten gezielt (und schnell) gestalten

Verwenden Sie Genehmigungsprozesse, die der tatsächlichen Arbeitsweise entsprechen. In RDM (einschließlich RDM mobile) gibt der Anfragende einen Grund oder ein Ticket an und die Anfrage wird gemäß der Richtlinie an die Genehmiger weitergeleitet. Diese gewähren ein zeitlich begrenztes Fenster - vordefiniert (z. B. 5/15/60 Minuten) oder nutzerdefiniert - und der Zugriff läuft danach automatisch ab. Die Genehmiger können direkt in RDM (einschließlich RDM mobile) oder über Devolutions Workspace antworten; Sie können mehrere Genehmiger bestimmen, die während der Arbeitszeit benachrichtigt werden, um eine schnelle Genehmigung zu gewährleisten. Dies ist standardmäßig eine Just-in-Time-Erhöhung ohne unbegrenzte Berechtigungen.

Jede genehmigte Sitzung kann aufgezeichnet werden und die Anmeldedaten werden beim Check-in oder nach Zeitplan rotiert, um einen geschlossenen Kreislauf zu gewährleisten. Die Aktivitätsberichte können für eine lückenlose und revisionssichere Dokumentation Ticketnummern, Anfragen, Genehmiger und Zeitstempel enthalten.

Warum das wichtig ist: Die Erhöhung der Berechtigungen wird dadurch gezielt, nachvollziehbar und schnell genug, um sie jederzeit nutzen zu können.

Aufzeichnen: Vertrauen in Beweise umwandeln

Wenn Sie den Ablauf nicht rekonstruieren können, verlassen Sie sich auf Ihr Gedächtnis. Die Sitzungsaufzeichnung für RDP/SSH verknüpft Aktionen mit den Anfragen, Genehmigungen und der Rotation. Exportieren Sie in Minuten ein komplettes Beweispaket - Anfrage, Genehmigung, Sitzungsmetadaten/-aufzeichnung und Rotation. Dies setzt das Prinzip der geringsten Berechtigungen (PoLP) in die Praxis um: Berechtigungen bestehen nur während genehmigter Sitzungen.

Warum das wichtig ist: Sie erstellen eine lückenlose Beweiskette für Prüfungen und Vorfälle.

Von der Anfrage zum Beweis: Gesteuerte Erhöhung der Rechte auf einen Blick

• Anfragen werden an Genehmiger weitergeleitet.
• Genehmigung des Zugriffs für ein zeitlich begrenztes Fenster (z. B. 5/15/60 Minuten oder nutzerdefiniert); der Zugriff läuft automatisch ab.
• Starten von RDP/SSH über Devolutions Gateway durch Einfügen der Anmeldeinformation. Kein Anzeigerecht für Passwörter erforderlich.
• Aufzeichnung der Sitzung; alle Aktivitäten sind mit der ursprünglichen Anfrage und Genehmigung verknüpft.
• Rotation beim Check-in (oder nach Zeitplan); Aktualisierungen werden an Dienste, Aufgaben und Verbindungen weitergegeben.

Was „fertig" bedeutet: Die Passwortrotation wird erzwungen; Genehmigungen laufen automatisch ab; privilegierte Sitzungen werden aufgezeichnet; alle privilegierten Konten unterliegen den Richtlinien. Das ist die Anwendung des Prinzips der geringsten Berechtigungen (PoLP) in der Praxis, mit ZSP als Standardeinstellung.

Warum es leichter ist - und wie wir uns entscheiden

Viele PAM-Suiten für große Unternehmen setzen auf einen breiten Funktionsumfang, was oft zu einem erhöhten Arbeitsaufwand führt. Unser Ansatz ermöglicht kleinen Teams innerhalb weniger Stunden eine verbesserte Kontrolle und einen exportierbaren Prüfungspfad sowie einen klaren Weg zu erweiterten Kontrollfunktionen, wann immer Sie diese benötigen.

Devolutions PAM zeichnet sich durch die vier wesentlichen Merkmale aus:

• RDM-nativer Arbeitsablauf: Anfrage → genehmigen → starten → rotieren - kein Kontextwechsel.
• Gateway-Reichweite: Vermittelte RDP/SSH über segmentierte Netzwerke - keine Wartung einer Jump-Host-Farm.
• Time-to-value: Von der Installation bis zur ersten Rotationsrichtlinie in einer einzigen Arbeitssitzung; wöchentliche Erweiterung mit Erkennung.
• Beweisführung per Konzept: Jede Sitzung erzeugt einen Bericht mit Abfrage → Genehmigung → Aufzeichnung → Rotation, den Sie innerhalb weniger Minuten exportieren können.

Probieren Sie Devolutions PAM in einem On-Demand-Labor aus