So ermöglicht Keeper Privileged Cloud Zero-Standing-Privilegien

Keeper Privileged Cloud bietet Zero-Standing-Privilegien (ZSP) durch die Erweiterung des JIT-Zugriffsframeworks (Just-In-Time) von KeeperPAM® auf Cloud-Identitätsplattformen. Ein Benutzer erhält erweiterte Berechtigungen erst, nachdem eine Anfrage genehmigt wurde. Diese Berechtigungen gelten für einen festgelegten Zeitraum und werden von Keeper automatisch widerrufen, sobald dieser Zeitraum abgelaufen ist. Somit bleiben keine dauerhaften Berechtigungen bestehen.

Dieser Blogbeitrag behandelt die Bedeutung von Zero-Standing-Privilegien, der Funktionsweise des Keeper Privileged Cloud-Workflows und den von Keeper Privileged Cloud unterstützten Plattformen.

Warum Zero-Standing-Privilegien wichtig sind

Jede dauerhafte Admin-Berechtigung vergrößert Ihre Angriffsoberfläche, unabhängig davon, ob sie genutzt wird oder nicht. Berechtigungen sammeln sich durch die schleichende Ausweitung von Privilegien (Privilege Creep) an, alte Admin-Zugriffe bleiben noch lange aktiv, nachdem sie niemand mehr benötigt, und jede ungenutzte Berechtigung vergrößert den Schadensradius, wenn Zugangsdaten gestohlen werden. Je mehr dauerhafte Zugriffsrechte ein Unternehmen besitzt, desto mehr Berechtigungen erhält ein Angreifer in dem Moment, in dem er sich Zugriff verschafft.

Zero-Standing-Privilegien beseitigen diese Angriffsoberfläche. Keine Identität verfügt über einen dauerhaften privilegierten Zugriff. Ein Konto erhält nur für einen genehmigten, zeitlich begrenzten Zeitraum erweiterte Berechtigungen. Nach Ablauf dieses Zeitraums erlischt der Zugriff, sodass keine Ressourcen ungenutzt bleiben, die ein Angreifer aufspüren oder missbrauchen könnte.

Der JIT-Zugriff macht ZSP erst wirklich praktikabel. JIT gewährt Berechtigungen, sobald jemand sie benötigt, und widerruft sie anschließend wieder, anstatt sie dauerhaft zuzuweisen. Die beiden sind nicht austauschbar: JIT regelt, wann Zugriff gewährt wird, während ZSP bedeutet, dass keine dauerhafte Berechtigung mehr besteht, sobald die Aufgabe eines Benutzers abgeschlossen ist.

So setzt Keeper Privileged Cloud Zero-Standing-Privilegien durch

Keeper Privileged Cloud setzt Zero-Standing-Privilegien mit einem Anfrage- und Genehmigungsworkflow durch: Ein Benutzer fordert Zugriff auf eine bestimmte Ressource an, ein Genehmiger gibt die Anfrage frei, Keeper erweitert die Rechte des Benutzers für einen festgelegten Zeitraum und entzieht diesen Zugriff automatisch nach Ablauf des Zeitraums wieder.

Keeper Privileged Cloud ist Teil von KeeperPAM, der Plattform für Identitätssicherheit von Keeper, und wendet dasselbe JIT-Framework auf Ihre Cloud-Identitätsanbieter (IdPs) an. Es unterstützt drei Datensatztypen: PAM-Cloud-Ressource, PAM-Maschine und PAM-Datenbank. Für jeden Datensatz sind zwei Konfigurationen erforderlich, bevor der Zugriff beantragt werden kann: JIT-Einstellungen, die festlegen, wie der Zugriff gewährt wird, und Workflow-Einstellungen, die die Genehmigungsvoraussetzungen, den Zeitraum, den Grund und die Ticketnummer festlegen.

Zunächst müssen einige Voraussetzungen erfüllt sein: eine konfigurierte Keeper Secrets Manager-Anwendung, ein bereitgestelltes KeeperPAM-Gateway, ein aktivierter Workflow-basierter Zugriff sowie eine PAM-Konfiguration für einen unterstützten IdP. Das Gateway ist ein ressourcenschonender Dienst, den Sie in Ihrem eigenen Netzwerk mithilfe von Docker unter Linux oder Windows ausführen und der den ausgehenden Zugriff auf Ihre Zielinfrastruktur ermöglicht.

Nach der Einrichtung wird der Workflow wie folgt ausgeführt:

Wird eine Anfrage abgelehnt, wechselt der Datensatz wieder in den Status „Zugriff anfordern“, und der Benutzer kann die Anfrage erneut senden.

Die Erweiterung erfolgt auf Gruppen- oder Rollenebene, entweder beim IdP oder direkt bei der Ressource. Keeper Privileged Cloud unterstützt die Identitätsanbieter (IdPs), die die meisten Unternehmen bereits nutzen: AWS IAM, Microsoft Entra ID, Google Cloud Platform, Okta und Active Directory sowie alle Anwendungen, die über diese Anbieter integriert sind. Keeper verwaltet diese Identitäten direkt auf der Ressource oder über einen verbundenen Anbieter.

Nachdem der Zugriff genehmigt wurde, gibt es zwei Möglichkeiten für den Zugriff auf die Ressource. Zum einen über die Remote Browser Isolation von Keeper, die aus dem Keeper-Tresor gestartet wird. Zum anderen über eine Standardanmeldung über das AWS-Portal, die Befehlszeilenschnittstelle (CLI) oder Terraform.

Was Keeper Privileged Cloud Sicherheitsteams bietet

Da dieser Workflow über die Keeper Privileged Cloud ausgeführt wird, müssen Sicherheitsteams weniger privilegierte Zugriffe schützen und verfügen über ein klares Audit-Protokoll für gewährte Zugriffe.

Eine kleinere Angriffsoberfläche

Ein Angreifer kann zwischen den Aufgaben kein ruhendes Privileg ausnutzen. Da jede Erweiterung nur vorübergehend ist, besteht die privilegierte Angriffsoberfläche nur so lange, wie der Zugriff genutzt wird.

Ein Zugriff, der genehmigungsbasiert, zeitlich begrenzt und überprüfbar ist

Jede Erweiterung wird angefordert, genehmigt und aufgezeichnet. Dadurch erhalten die Sicherheitsteams ein Protokoll darüber, wer den Zugriff beantragt hat, wer ihn genehmigt hat und wann er abgelaufen ist. Dieses Audit-Protokoll erfüllt die Anforderungen an den Nachweis der Zugriffskontrolle im Rahmen von Frameworks wie SOC 2, CMMC und NIST 800-53 sowie im Rahmen routinemäßiger interner Überprüfungen.

Konsistente Durchsetzung über eine einzige Plattform

Derselbe Workflow wird für jede Cloud und jeden verbundenen IdP ausgeführt, sodass Sie nicht für AWS, Entra ID und Okta jeweils separate Kontrollen verwalten müssen.

Eliminieren Sie dauerhafte Berechtigungen mit Keeper

Mit Keeper Privileged Cloud wird privilegierter Zugriff erst gewährt, nachdem jemand ihn beantragt, genehmigt bekommen und innerhalb eines festgelegten Zeitraums genutzt hat. Nach Ablauf dieses Zeitraums gibt es nichts mehr zu sichern oder zu stehlen.

Um zu erfahren, wie Keeper Privileged Cloud mit Ihrer Cloud- und Identitätskonfiguration funktioniert, fordern Sie eine Demo für KeeperPAM an.