Whitepapers

Die meisten Privileged Access Management (PAM)-Lösungen auf dem Markt sind für Großunternehmen konzipiert. Trotz vieler Funktionen und großer Flexibilität eignen sie sich wegen ihrer Komplexität und Kosten nicht für KMU. PAM ist jedoch entscheidend für die Absicherung von Organisationen jeder Art und Größe, und die Funktionen beliebter PAM-Lösungen für Unternehmen sind auch für KMU relevant. Achten Sie bei der Suche nach der richtigen PAM-Lösung für Ihr Unternehmen darauf, dass sie wichtige Funktionen zur Absicherung privilegierter Konten enthält.

In diesem Whitepaper stellt Devolutions 6 Funktionen vor, auf die KMU bei einem PAM-Produkt achten sollten.

1. Einfache Bereitstellung und Verwaltung

Active Directory (AD) ist heute die am weitesten verbreitete Identity-Management-Lösung und alle PAM-Produkte integrieren sich damit. Microsoft bietet eine eigene PAM-Lösung basierend auf Windows Server 2016 und Microsoft Identity Manager (MIM). Die Bereitstellung erfordert das Hinzufügen eines AD-Walds zu Ihrer bestehenden Infrastruktur und mindestens einen Server mit MIM. Dies bringt erhebliche Komplexität mit sich und es gibt viele bewegliche Teile, was die Bereitstellung nicht nur erschwert, sondern auch die Verwaltungs- und Administrationskosten erhöht.

Bei der Suche nach einer PAM-Lösung stellen Sie sicher, dass keine Änderungen an Ihrer bestehenden Active Directory-Infrastruktur erforderlich sind und dass sie sich mit Azure AD integriert, wenn Sie Office 365 nutzen. Es sollte die Möglichkeit geben, Komponenten auf mehrere Server zu verteilen, um die Leistung bei größeren Bereitstellungen zu verbessern. Eine einfache, assistentengesteuerte Bereitstellung ist vorzuziehen, ebenso wie eine grafische Verwaltungskonsole, die intuitiv zu bedienen ist. Schließlich gilt: Wenn etwas schiefgeht, ist Zeit Geld. Stellen Sie daher sicher, dass Backup und Wiederherstellung Ihrer gewählten PAM-Lösung unkompliziert sind.

2. Sicheres Passwort-Tresor

Passwörter sind eine unvollkommene Lösung, aber ob man sie mag oder nicht, sie sind nach wie vor das Standardmittel zur Absicherung des Zugangs zu IT-Ressourcen. Im Laufe der Jahre haben Menschen Wege gefunden, Passwörter einfacher zu verwalten, z. B. indem sie sie auf Haftnotizen schreiben und an Monitore kleben oder dasselbe Passwort auf mehreren Websites verwenden. Keine dieser Methoden wird empfohlen.

Die Speicherung von Passwörtern an mehreren Orten wie Excel-Tabellen, Textdateien und Remote-Desktop-Sitzungen erschwert die Integration in eine PAM-Lösung und macht Konten anfälliger für Offenlegung, da Dateien nicht für die Passwortverwaltung konzipiert sind.

Ob es sich um einen Endbenutzer handelt, der Anmeldedaten sicher speichern muss, oder um eine Organisation, die Passwörter für den Zugang zu IT-Ressourcen absichern möchte: Ein sicheres Passwort-Tresor gibt allen die Gewissheit, dass Passwörter sicher sind und bei Bedarf abgerufen werden können. Suchen Sie nach einer PAM-Lösung mit einem sicheren zentralisierten Passwort-Tresor, der gemeinsam genutzt und von überall aus zugegriffen werden kann.

3. Protokollierung und Berichterstattung

Ein Einblick in Ihre IT-Infrastruktur ermöglicht es Ihnen, auf Probleme zu reagieren und sie zu verhindern. PAM bildet keine Ausnahme, und es ist wichtig zu verstehen, wie privilegierte Konten in Ihrer Organisation genutzt werden. Jede PAM-Lösung, die Sie in Betracht ziehen, sollte erfassen können, was, wer, wann und wo Anmeldedaten verwendet werden.

Protokolle sind jedoch nur nützlich, wenn Sie die benötigten Informationen bei Bedarf extrahieren können. Eine PAM-Lösung muss nicht nur alle passwortbezogenen Aktivitäten erfassen, einschließlich Anmeldeversuche und Verlauf, sondern sollte auch fertige Berichte enthalten, mit denen Sie Informationen schnell sichtbar machen können. Bei jedem System, das viele Daten erfasst, ist es wichtig, dass Sie mit erweiterten Suchfunktionen das Rauschen herausfiltern können. Die Möglichkeit, Berichte anzupassen und Daten in verschiedenen Formaten zu exportieren, ist ebenfalls etwas, worauf Sie achten sollten.

4. Integrierte Zwei-Faktor-Authentifizierung

Unabhängig davon, ob Sie einen Passwort-Manager, einen sicheren Passwort-Tresor nutzen und/oder Best Practices zur Passwortsicherheit befolgen: Wenn Anmeldedaten kompromittiert werden, kann ein Angreifer sie für unbefugten Zugriff nutzen. Die Zwei-Faktor-Authentifizierung fügt eine zusätzliche Schutzebene hinzu, die erfordert, dass Benutzer neben ihrem Passwort etwas in ihrem Besitz haben. Eine der beliebtesten Methoden zur Implementierung der Zwei-Faktor-Authentifizierung ist die Verwendung einer Authenticator-App wie Google Authenticator, die einen Code bereitstellt, den Benutzer zusätzlich zu ihrem Passwort eingeben müssen, bevor der Zugriff auf eine Ressource gewährt wird.

Da Passwörter auf so viele Arten kompromittiert werden können und ein 100-prozentiger Schutz nicht möglich ist, ist die Zwei-Faktor-Authentifizierung ein unverzichtbares Instrument zur Absicherung privilegierter Konten. Suchen Sie nach Zwei-Faktor-Unterstützung mit verschiedenen Authentifizierungsoptionen wie Google Authenticator, SMS, E-Mail, RADIUS und Yubikey.

5. Vermitteltes Konto

Eine gute PAM-Lösung speichert Passwörter nicht nur sicher und kontrolliert den Zugriff darauf. Sie vermittelt Passwörter auch zwischen dem Passwort-Server und der Client-Software, sodass Benutzer das tatsächliche Passwort eines privilegierten Kontos nie kennen müssen. Das bedeutet, dass eine Passwort-Rotation nicht unbedingt erforderlich ist, d. h. die automatische Generierung eines neuen Passworts bei jedem Auschecken von Anmeldedaten, da das Passwort vom Benutzer nicht wiederverwendet werden kann. Dennoch ist die Passwort-Rotation in der Regel auch bei vorhandener Konto-Vermittlung enthalten.

Die Konto-Vermittlung verhindert auch, dass Benutzer auf Ressourcen außerhalb eines von der PAM-Lösung bereitgestellten Workflows zugreifen, was das Risiko von Missbrauch von Anmeldedaten potenziell verringert. Benutzer sind oft das schwächste Glied in der Sicherheitskette. Suchen Sie daher nach einem PAM-Produkt mit Konto-Vermittlung.

6. Rollenbasierter Zugriff auf Anmeldedaten

Role-based access control (RBAC) vereinfacht die Verwaltung durch eine Reihe von Rollen, die Benutzern zugewiesen werden können und ihnen nur Zugriff auf die privilegierten Anmeldedaten gewähren, die sie nutzen dürfen. RBAC erleichtert es Organisationen, Aufgaben zu trennen und andere Kontrollen zu implementieren, um sicherzustellen, dass Anmeldedaten nicht versehentlich unbefugten Benutzern zur Verfügung gestellt werden. Die Definition von Rollen und die anschließende Konfiguration feingranularer Zugriffsberechtigungen für Sitzungen ist der einfachste und sicherste Weg, privilegierte Anmeldedaten zu schützen und versehentliche Offenlegung an die falschen Personen zu verhindern.

Da die meisten Organisationen bereits Active Directory verwenden, suchen Sie nach einer PAM-Lösung mit RBAC und AD-Integration, damit Sie bestehende Benutzer und Gruppen nutzen können. Die Verwaltung von Zugriffsberechtigungen, Benutzern und Gruppen kann schnell kompliziert werden, auch in kleinen Unternehmen. RBAC kann den Prozess straffen und die laufende Verwaltung einer PAM-Lösung erleichtern, während Sie gleichzeitig die Gewissheit haben, dass der Zugriff auf privilegierte Anmeldedaten stets ordnungsgemäß kontrolliert wird.

Devolutions Privileged Access Management

Die Devolutions Privileged Access Management-Lösung bietet alle oben genannten Funktionen und mehr. Sie ist speziell auf die Bedürfnisse von KMU zugeschnitten und bietet unternehmensgerechte Funktionen für ein Schutzniveau, das normalerweise nur Großunternehmen vorbehalten ist, bei gleichzeitig einfacher Bereitstellung und Verwaltung. KMU können die Risiken durch Insider-Bedrohungen und Datenschutzverletzungen, die oft auf Missbrauch oder Kompromittierung von Anmeldedaten zurückzuführen sind, reduzieren und Devolutions Privileged Access Management zur Erfüllung von Berichts- und Compliance-Anforderungen nutzen.

Andere Produkte von Devolutions integrieren sich mit PAM zu einer umfassenden Lösung für KMU, darunter Remote Desktop Manager (RDM), der Benutzern und der IT bei der Verwaltung des Zugangs zu Remote-Sitzungen hilft, die die Nutzung privilegierter Anmeldedaten erfordern.