Minimale Rechte und Just-in-Time-Zugriff

Die Beschreibung folgt dem Werkzeug Privileged Identity Management von Microsoft, einem Beispiel unter mehreren. Ein Administrator weist einem Benutzer, einer Gruppe oder einer Dienstidentität eine Rolle zu. Die Zuweisung legt den Geltungsbereich fest (die Rolle gilt nur für eine bestimmte Menge von Ressourcen), ihren Typ (berechtigt oder aktiv) und ihre Dauer, mit Start- und Enddatum oder ohne Begrenzung².

Um eine berechtigte Rolle zu aktivieren, wählt der Benutzer eine Aktivierungsdauer innerhalb der von den Administratoren gesetzten Grenzen und nennt den Grund seiner Anfrage². Das Werkzeug kann eine Genehmigung verlangen, Multifaktor-Authentifizierung erzwingen, bei der Aktivierung Benachrichtigungen senden und einen Prüfverlauf aufbewahren². MITRE nennt außerdem die kurzlebigen Rollen anderer Cloud-Anbieter, um erhöhte Berechtigungen zeitlich begrenzt zu vergeben⁶.

Microsoft empfiehlt, mehrere Kontrollen zu kombinieren, da keine einzelne Funktion alle Fälle abdeckt. Das Beispiel: eine benutzerdefinierte Rolle, die auf eine Verwaltungseinheit beschränkt ist, damit ein regionaler Support-Administrator nur die Kennwörter seiner Region zurücksetzen kann. Die Aktivierung läuft dann über PIM mit Genehmigung, und der bedingte Zugriff verlangt anschließend ein konformes Gerät und Multifaktor-Authentifizierung³.

Das britische NCSC definiert den „Zero-Trust“-Ansatz so: Das dem Netzwerk innewohnende Vertrauen wird entzogen, das Netzwerk gilt als feindlich, und jede Anfrage wird anhand einer Zugriffsrichtlinie geprüft⁷. Die CISA verbindet damit Zugriffsentscheidungen nach dem Prinzip der minimalen Rechte, Anfrage für Anfrage⁸.

• Beantragen Sie den Zugriff erst, wenn Sie ihn brauchen, mit einer zur Aufgabe passenden Dauer und einer genauen Begründung. Die bei der Aktivierung angegebene Begründung dient dazu, nachzuvollziehen, warum die Rolle genutzt wurde².
• Nutzen Sie die enge Rolle, die zur Aufgabe passt. Microsoft rät davon ab, breitere Rollen oder Rollen mit größerem Geltungsbereich zuzuweisen, auch wenn sie praktischer erscheinen³.
• Behalten Sie Ihre Administratorrechte für sich. Eine Rollenaktivierung erfolgt durch einen Benutzer, löst eine Benachrichtigung aus und bleibt im Prüfverlauf erhalten². OWASP weist darauf hin, dass sich ein Zugriffsverstoß ohne ordnungsgemäße Protokollierung unter Umständen keiner Person zuordnen lässt⁵.
• Wenn Sie das Team oder den Auftrag wechseln, beantragen Sie die Entfernung der Rechte Ihrer früheren Funktion. Microsoft stellt fest, dass Personen, die das Team wechseln, ohne Prüfung unnötige Zugriffe ansammeln³.
• Beantworten Sie Zugriffsüberprüfungen: Sie dienen dazu festzustellen, ob Benutzer ihre Rollen noch brauchen².
• Aktivieren Sie die Multifaktor-Authentifizierung für Administrationskonten. Laut Microsoft ist ein Konto nach dessen Studien damit zu 99,9 % weniger wahrscheinlich kompromittiert³.

Sich ansammelnde Rechte. OWASP nennt „Privilege Creep“ den Fall, dass die Rechte von Benutzern über die ursprünglich festgelegten hinausgehen. Es empfiehlt eine regelmäßige Überprüfung und weist darauf hin, dass es leichter ist, Berechtigungen hinzuzufügen als zu entziehen⁵.

Dauerhafte Administrationskonten. Dauerhafter privilegierter Zugriff ist das, was PIM für Benutzer in privilegierten Rollen beseitigen will³. Microsoft empfiehlt, die Rolle des globalen Administrators weniger als fünf Personen zu geben und die Zuweisungen privilegierter Rollen auf weniger als 10 zu begrenzen, weil diese Rollen eine Rechteausweitung ermöglichen³. Es sieht eine Ausnahme vor: zwei Notfallzugriffskonten, die dauerhaft zugewiesen, nicht an Personen gebunden und für „Break-Glass“-Situationen reserviert sind³.

Vergessene Konten. MITRE weist darauf hin, dass Angreifer inaktive Konten missbrauchen können, etwa die von Personen, die die Organisation verlassen haben, weil der frühere Inhaber nicht mehr da ist, um ungewöhnliche Aktivität zu bemerken⁴. MITRE empfiehlt außerdem, Konten nach einer Inaktivitätsphase zu deaktivieren (30 Tage als Beispiel) und Konten ohne Eigentümer bei Audits zu löschen⁹.

Zu mächtige Dienstkonten. Rollenzuweisungen können sich auf Dienstprinzipale oder verwaltete Identitäten beziehen, ebenso wie auf Personen². Für Administratoren unterscheidet Microsoft drei Aspekte einer Rollenzuweisung: einen bestimmten Satz von Berechtigungen, für einen bestimmten Geltungsbereich, für einen bestimmten Zeitraum³.

Überall dieselben Zugangsdaten. MITRE sieht die Überschneidung von Berechtigungen zwischen lokalen Konten, Domänenkonten und Cloud-Konten kritisch: Ein Angreifer kann von einem Konto zum nächsten wechseln, bis er eine hohe Zugriffsstufe erreicht, etwa als Domänenadministrator⁴.

2015: der Angriff auf das ukrainische Stromnetz

Laut MITRE nutzte die Gruppe Sandworm Team beim Angriff von 2015 auf das ukrainische Stromnetz gültige Konten im Unternehmensnetzwerk, um ihre Rechte auszuweiten, sich seitlich zu bewegen und sich dort dauerhaft einzurichten⁴. Die Quelle nennt nicht im Einzelnen, welche Rechte diese Konten hatten.