Matt MillerPrivilegierter Zugriff ist der „Schlüssel zum Königreich". Sobald Angreifer gültige Anmeldedaten mit erweiterten Berechtigungen erlangt haben, reichen Perimeterverteidigung und Multi-Faktor-Authentifizierung (MFA) allein nicht mehr aus, insbesondere in Umgebungen, in denen privilegierte Konten über Jahre hinweg durch schnelle Lösungen und Notfallmaßnahmen unbemerkt Rechte angehäuft haben. Für moderne IT-Teams sind die Vermeidung ständig bestehender Berechtigungen (ZSP) und das Prinzip der geringsten Rechte (PoLP) unerlässlich für die Sicherheit und Regelkonformität.
Just-in-Time (JIT) ist das Herzstück der praktischen Umsetzung von ZSP. In diesem Artikel betrachten wir zwei sich ergänzende Ansätze, JIT-Erhöhung und JIT-Bereitstellung, und zeigen, wie Devolutions PAM Sie bei der Nutzung beider Ansätze unterstützt, um die Angriffsfläche zu verringern, ohne Ihr Team auszubremsen.
Just-in-Time-Erhöhung: Temporäre Erhöhung der Berechtigungen eines bestehenden Kontos
Die JIT-Erhöhung ermöglicht es Ihnen, einem bestehenden Nutzerkonto nur dann erweiterte Berechtigungen zu erteilen, wenn dies erforderlich ist und nur so lange, wie es notwendig ist. Anstatt Administratoren umfassende, dauerhafte Rechte zu gewähren, werden ihre Berechtigungen vorübergehend für eine spezifische Aufgabe erhöht und nach deren Abschluss automatisch wieder auf die Standardberechtigung zurückgesetzt. Dies verhindert eine schleichende Ausweitung der Berechtigungen und schränkt die Offenlegung sensibler Zugriffsrechte ein.
Bei Devolutions PAM funktioniert die JIT-Erhöhung typischerweise durch die dynamische Anpassung von Gruppenmitgliedschaften oder Rollenzuweisungen in Active Directory oder Entra ID (Azure AD):
- Ein Nutzer beantragt Zugriff für eine privilegierte Aufgabe.
- Ein Genehmigungsprozess wird ausgelöst.
- Beim Check-out fügt Devolutions PAM das Konto vorübergehend erforderlichen Gruppen oder Rollen hinzu.
- Beim Check-in werden erhöhte Anmeldedaten oder Rollen automatisch widerrufen.
Dies unterstützt sowohl Konten mittlerer Ebene, die gelegentlich mehr Rechte benötigen, als auch ZSP-Konten, die im Ruhezustand über keine Berechtigungen verfügen und alle Rechte erst durch JIT-Erhöhung erhalten.
Sie möchten sehen, wie es in Ihrer Umgebung funktioniert?
Starten Sie eine 30-tägige PAM-Testversion und probieren Sie die JIT-Erhöhung und die JIT-Bereitstellung im Ökosystem von Devolutions aus.
Just-in-Time-Bereitstellung: Einmalig verwendbare privilegierte Konten
Die JIT-Bereitstellung geht noch einen Schritt weiter. Anstatt ein bestehendes Konto zu erweitern, erstellt sie ein neues, temporäres Konto mit erweiterten Rechten für die jeweilige Aufgabe und löscht es anschließend wieder. Dadurch wird das Risiko vergessener oder inaktiver Administratorkonten in Ihrem Verzeichnis drastisch reduziert.
Bei Devolutions PAM:
- Beim Check-out wird ein neues Konto (z. B. in Active Directory) mit genau den von Ihnen definierten Berechtigungen erstellt.
- Das Konto besteht nur für den genehmigten Check-out-Zeitraum.
- Beim Check-in wird das Konto aus dem Verzeichnis entfernt.
Sie können dieses Verfahren aktivieren, indem Sie den entsprechenden PAM-Anbieter konfigurieren und beim Hinzufügen eines neuen Nutzereintrags im PAM-Tresor die Option „Just-In-Time (JIT)-Konto" auswählen, sodass Bereitstellung und Bereinigung automatisch und vollständig protokolliert erfolgen.
Erhöhung vs. Bereitstellung: Wichtigste Unterschiede und jeweilige Anwendungsfälle
Auch wenn beide Strategien den dauerhaften Zugriff unterbinden, so kontrollieren sie doch unterschiedliche Aspekte.
Stellen Sie sich die JIT-Erhöhung so vor, als würden Sie einem Kollegen für drei Stunden eine „Super-Schlüsselkarte" leihen und ihm anschließend den zusätzlichen Zugriff wieder entziehen. Die Karte selbst bleibt bestehen. Die JIT-Bereitstellung hingegen ist wie das Drucken einer Einweg-Schlüsselkarte für einen einzelnen Auftrag, die danach vernichtet wird. Es bleibt nichts zurück.
| Kontrollschwerpunkt | Bestehendes Risiko | |
|---|---|---|
| JIT-Erhöhung | Das Konto ist dauerhaft; die Berechtigungen sind temporär. | Entfernt bestehende Administratorrechte, das Basiskonto bleibt jedoch erhalten. |
| JIT-Bereitstellung | Das Konto ist temporär; die Berechtigungen sind temporär. | Entfernt bestehende Berechtigungen und bestehende privilegierte Identitäten für diese Aufgabe. |
Verbesserung der Sicherheit und Regelkonformität mit Devolutions PAM
Durch die Kombination von JIT-Erhöhung und JIT-Bereitstellung können IT-Teams in KMUs und bei Managed Service-Anbietern (MSPs) das Prinzip der geringsten Rechte (PoLP) und das Prinzip der Vermeidung dauerhaft bestehender Berechtigungen (ZSP) auf eine Weise umsetzen, die den realen Abläufen im Betrieb entspricht: weniger Risiko, mehr Kontrolle und weniger Kompromisse zwischen Agilität und Sicherheit. Die Begrenzung der Gültigkeitsdauer privilegierter Konten und Berechtigungen hilft Unternehmen außerdem dabei, sich den Sicherheitsrahmenwerken wie NIST, SOC 2 und ISO/IEC 27001 sowie den immer strengeren Anforderungen zur Cybersicherheit anzupassen.
Devolutions PAM ist als Cloud-gehostete oder selbst-gehostete Lösung verfügbar und bietet einen einheitlichen Arbeitsablauf für privilegierten Zugriff. Ob Sie einem bekannten Betreiber vorübergehende Rechte gewähren oder ein temporäres privilegiertes Konto für eine risikoreiche Aufgabe erstellen, Devolutions PAM sorgt dafür, dass jede privilegierte Aktion kontrolliert, geprüft und zeitlich begrenzt ist.
Starten Sie eine kostenlose 30-tägige PAM-Testversion oder probieren Sie Devolutions PAM in einer kostenlosen, browser-basierten Laborsitzung aus, um zu sehen, wie wir IT-Experten dabei unterstützen, in ihrem Unternehmen eine hervorragende PAM-Abdeckung mit weniger ständigen Zugriffsrechten zu erreichen.
Marc Beausejour
Adam Listek