Privileged Access Management muss nicht kompliziert sein

Damit adressiert Kyvion ein Problem, das in vielen mittelständischen IT-Umgebungen bislang pragmatisch, aber sicherheitstechnisch unbefriedigend gelöst wird. Benötigt beispielsweise ein externer Dienstleister Zugriff auf einen Server, eine ERP-Umgebung, eine Produktionsanwendung oder ein Administrationssystem, erhält er häufig einen VPN-Zugang. Nach erfolgreicher Verbindung befindet sich sein Endgerät damit zumindest teilweise innerhalb des Unternehmensnetzes. Zusätzliche Firewall-Regeln, Netzwerksegmentierung und Berechtigungskonzepte sollen anschließend verhindern, dass aus dem notwendigen Fernzugriff ein unnötig weitreichender Netzwerkzugriff wird.

Dabei ist die eigentliche Anforderung meistens viel einfacher: Eine bestimmte Person soll für einen bestimmten Zweck auf ein bestimmtes System zugreifen können.

Nicht das Netzwerk freigeben, sondern die benötigte Anwendung

Kyvion Secure Access setzt genau an dieser Stelle an. Anstatt einem Benutzer zunächst Zugang zum Netzwerk zu geben, wird ihm ausschließlich die benötigte Ressource zur Verfügung gestellt. RDP-, SSH-, VNC- sowie webbasierte Anwendungen können über einen aktuellen Browser erreichbar gemacht werden. Auf dem Arbeitsplatz des Anwenders muss dafür kein klassischer VPN-Client installiert werden.

Das verändert auch die Betrachtung privilegierter Zugriffe. Der externe Administrator benötigt beispielsweise keinen allgemeinen VPN-Zugang mehr, nur weil er eine RDP-Sitzung zu einem Windows-Server aufbauen muss. Ein Softwarepartner muss nicht zwangsläufig Zugriff auf ein komplettes Kundennetz erhalten, wenn seine Aufgabe lediglich darin besteht, eine bestimmte Anwendung zu administrieren. Und für einen Supporteinsatz muss kein dauerhaft nutzbarer Fernzugang eingerichtet werden, wenn eigentlich nur eine klar definierte Verbindung benötigt wird.

Gerade für kleinere IT-Abteilungen kann diese Reduzierung entscheidend sein. Denn Sicherheit entsteht nicht automatisch durch möglichst viele Komponenten. Je komplexer eine Zugriffsarchitektur wird, desto größer wird gleichzeitig der Aufwand für Konfiguration, Pflege, Dokumentation und regelmäßige Kontrolle.

Privilegierte Konten müssen nicht beim Dienstleister liegen

Besonders kritisch sind administrative Zugangsdaten. In der Praxis verfügen externe Dienstleister nicht selten über Benutzerkonten oder Kennwörter für Systeme ihrer Kunden. Damit entsteht neben dem technischen auch ein organisatorisches Problem: Das Unternehmen verliert einen Teil der Kontrolle darüber, wo privilegierte Zugangsdaten gespeichert sind, wer sie kennt und wie sie verwendet werden.

Mit Kyvion Secure Access lassen sich Benutzer und die für das Zielsystem verwendeten Konten voneinander trennen. Dadurch muss ein externer Benutzer die tatsächlichen Zugangsdaten des Zielsystems nicht zwingend kennen. Er authentifiziert sich für seinen freigegebenen Zugang und erhält anschließend die für ihn vorgesehene Verbindung.

Für Unternehmen bedeutet das einen wichtigen Paradigmenwechsel: Nicht mehr das Kennwort oder das privilegierte Konto wird an einen Dienstleister weitergegeben, sondern die Berechtigung zur Nutzung einer definierten Verbindung.

Dieser Ansatz orientiert sich am Least-Privilege-Prinzip. Benutzer erhalten nur den Zugriff, den sie für ihre konkrete Aufgabe benötigen. Gleichzeitig lässt sich der Zugang wieder entziehen, ohne dass deswegen zwingend Zugangsdaten auf den Zielsystemen geändert oder VPN-Konfigurationen angepasst werden müssen.

Nachvollziehbarkeit wird bei privilegierten Zugriffen immer wichtiger

Bei administrativen Zugriffen geht es nicht ausschließlich darum, einen unberechtigten Zugang zu verhindern. Unternehmen müssen zunehmend auch nachvollziehen können, was während eines berechtigten Zugriffs geschehen ist.

Kyvion Secure Access unterstützt deshalb die Aufzeichnung von Sitzungen. Dadurch können besonders sensible administrative Zugriffe nachvollziehbarer gestaltet werden. Dies ist beispielsweise dann relevant, wenn externe Dienstleister Systeme warten, Administratoren auf besonders schützenswerte Server zugreifen oder Unternehmen ihre internen Sicherheits- und Compliance-Anforderungen verbessern möchten.

Gerade im Umfeld von Tier-0- und Tier-1-Systemen, Active Directory, Virtualisierungsplattformen, Serveradministration und geschäftskritischen Anwendungen sollte deshalb nicht nur die Frage gestellt werden, wer sich anmelden darf, sondern auch welches konkrete Ziel dieser Benutzer erreichen darf und wie der Zugriff kontrolliert wird.

PAM für den Mittelstand muss zur tatsächlichen Infrastruktur passen

Umfassende Enterprise-PAM-Plattformen haben ihre Berechtigung. Sie bieten Funktionen für große Organisationen mit komplexen Rollenmodellen, zahlreichen administrativen Konten, umfangreichen Compliance-Anforderungen und entsprechend spezialisierten Security-Teams.

Für einen mittelständischen Betrieb mit wenigen Administratoren und einigen externen IT-Partnern kann eine solche Plattform jedoch erheblich umfangreicher sein als die eigentliche Aufgabenstellung.

„Viele Unternehmen benötigen nicht zuerst eine möglichst große PAM-Plattform. Sie benötigen vor allem Kontrolle darüber, wer auf welches kritische System zugreifen kann“, sagt Michael Hochgesang, Geschäftsführer der Kyvion GmbH. „Wenn ein Dienstleister ausschließlich einen bestimmten Server administrieren soll, stellt sich die Frage, warum wir ihm dafür zunächst einen Zugang zum Netzwerk geben müssen. Unser Ansatz ist deshalb: so wenig Zugriff wie möglich und genau so viel wie notwendig.“

Kyvion Secure Access soll bestehende Enterprise-PAM-Lösungen dabei nicht pauschal ersetzen. Vielmehr bietet die Lösung Unternehmen eine Möglichkeit, zentrale Anforderungen an kontrollierte privilegierte Zugriffe mit einer vergleichsweise schlanken Architektur umzusetzen.

Browserbasierter Zugriff als Baustein einer Zero-Trust-Strategie

Die Grundidee passt gleichzeitig zu modernen Zero-Trust-Konzepten. Ein erfolgreicher Login bedeutet nicht automatisch, dass einem Endgerät oder Benutzer umfassender Netzwerkzugriff eingeräumt werden muss. Stattdessen kann die erreichbare Ressource von vornherein begrenzt werden.

Der Browser wird damit zur kontrollierten Zugangsebene zwischen Benutzer und Zielsystem. Bestehende Server, Anwendungen und Infrastrukturen können weiterverwendet werden, während der externe Zugriff neu organisiert wird.

Für viele Unternehmen ist das auch wirtschaftlich interessant. Bestehende Anwendungen müssen nicht allein deshalb in die Cloud migriert oder vollständig ersetzt werden, weil Mitarbeiter, Administratoren oder Dienstleister einen sicheren Remote-Zugriff benötigen. Gerade gewachsene ERP-Systeme, Windows-Anwendungen, Administrationsoberflächen und interne Webanwendungen können weiterhin im eigenen Rechenzentrum oder in einer privaten Infrastruktur betrieben werden.

Weniger Angriffsfläche statt mehr Fernzugriff

Die zentrale Frage bei Privileged Access Management sollte deshalb nicht lauten, wie sich möglichst viele Sicherheitskomponenten miteinander kombinieren lassen. Entscheidend ist, wie sich die Angriffsfläche eines privilegierten Zugriffs möglichst weit reduzieren lässt.

Wenn ein Benutzer keinen allgemeinen Netzwerkzugriff benötigt, sollte er ihn nicht erhalten. Wenn ein Administrator ein Kennwort nicht kennen muss, sollte es ihm nicht mitgeteilt werden. Wenn ausschließlich eine einzelne Anwendung benötigt wird, sollte nicht gleichzeitig ein ganzes Netzwerksegment erreichbar sein.

Privileged Access Management muss deshalb nicht zwangsläufig kompliziert sein. Für viele mittelständische Unternehmen kann der erste und wichtigste Schritt darin bestehen, privilegierte Zugriffe konsequent von allgemeinen Netzwerkzugängen zu trennen.

Kyvion Secure Access verfolgt genau dieses Prinzip: Nicht den Benutzer ins Netzwerk bringen – sondern ihm kontrolliert genau die Ressource bereitstellen, die er benötigt.