Was ist Secrets Management?

• IAM-Glossar
• Was ist Secrets Management?

Secrets Management bezeichnet das Organisieren, Verwalten und Schützen von IT-Infrastrukturgeheimnissen. Ein Secrets Manager ist ein sicheres Speichersystem und eine „Single Source of Truth“ (SSOT) bzw. eine verlässliche Datenquelle für privilegierte Zugangsdaten, API-Schlüssel und andere streng vertrauliche Informationen, die in IT-Infrastrukturen verwendet werden.

Lesen Sie weiter, um mehr über die Verwaltung von Geheimnissen und die Möglichkeiten zu erfahren, wie Sie die Datenumgebung Ihres Unternehmens schützen können.

Was ist ein Geheimnis?

In einer IT-Datenumgebung sind Geheimnisse nicht-menschliche privilegierte Zugangsdaten. Es sind meistens Daten, die von Systemen und Anwendungen zur Authentifizierung oder als Eingabe für einen kryptografischen Algorithmus verwendet werden. Geheimnisse schalten Anwendungen, Dienste und IT-Ressourcen frei, die streng vertrauliche Informationen und privilegierte Systeme enthalten.

Häufige Arten von Geheimnissen:

• Nicht-menschliche Zugangsdaten
• Datenbankverbindungsdaten
• Kryptografische Schlüssel
• Zugangsdaten für Cloud-Dienste
• API-Schlüssel
• Zugriffstoken
• SSH-Schlüssel

Warum ist Secrets Management wichtig?

Secrets Management ist eine bewährte Methode, um für mehr Cybersicherheit zu sorgen. Mit Secrets Management können Sicherheitsrichtlinien für nicht-menschliche Authentifizierungsdaten konsequent umgesetzt werden. Dies wiederum stellt sicher, dass nur authentifizierte und autorisierte Personen auf vertrauliche Ressourcen zugreifen können.

Wenn Unternehmen wachsen, stoßen IT- und DevOps-Teams häufig auf ein Problem namens „Secrets Sprawl“. Im Prinzip sind hierbei Infrastrukturgeheimnisse an mehreren Standorten verteilt, wobei einzelne Abteilungen, Teams und sogar Teammitglieder die Geheimnisse eigenständig verwalten. IT-Administratoren hingegen fehlt es an Transparenz, sie können die Geheimnisse nicht prüfen und erhalten keine Warnmeldungen bei auffälligem Verhalten.

Bewährte Methoden für Secrets Management

Da Geheimnisse in großer Anzahl vorkommen – schon allein die Anzahl der SSH-Schlüssel kann weit in die Tausende gehen – ist eine Lösung zur Verwaltung von Geheimnissen wie der Keeper Secrets Manager unumgänglich. Laut einer Studie, der 2021 Global Encryption Trends Study des Ponemon Institute, verwenden 28 % der Unternehmen eine Secrets-Management-Lösung, um ihre Geheimnisse zu schützen, und 33 % der Unternehmen haben vor, innerhalb des nächsten Jahres eine derartige Lösung zu integrieren.

Eine Software kann jedoch auch nicht mehr, als ihre vorgesehene Aufgabe erfüllen. Nutzen Sie daher Ihre Secrets-Management-Lösung in Kombination mit den folgenden bewährten Methoden:

Geeignete Zugriffskontrolle einrichten

Nachdem Sie Ihre Geheimnisse mit einer Lösung zur Verwaltung von Geheimnissen zentralisiert und gesichert haben, müssen Sie im nächsten Schritt sicherstellen, dass nur befugte Personen und Systeme darauf zugreifen können. Dies wird durch eine rollenbasierte Zugriffskontrolle (RBAC) in Kombination mit einer privilegierten Zugriffsverwaltung (PAM) und einem Zugriff mit den geringsten Rechten erreicht.

Geheimnisse rotieren und Just-in-Time-Zugriff verwenden

Viele Geheimnisse wie Schlüssel und Zertifikate erfordern eine regelmäßige Rotation, in der Regel alle 30 bis 90 Tage. Ein Tool wie Keeper Secrets Manager kann diesen Prozess für Sie automatisieren.

Verwenden Sie neben der Rotation von Geheimnissen wann immer möglich den Just-in-Time-Zugriff. Dies gewährt Benutzern und Anwendungen bei Bedarf Zugriff auf privilegierte Systeme, allerdings nur für eine bestimmte Dauer. Dadurch kann verhindert werden, dass privilegierte Zugangsdaten in falsche Hände gelangen.

Zwischen Geheimnissen und Identifikatoren unterscheiden

Ein Identifikator ist im Prinzip eine Kennung, über die ein Identitätsmanagementsystem oder eine andere Entität auf eine digitale Identität verweist. Benutzernamen und E-Mail-Adressen sind gängige Beispiele für Identifikatoren. Identifikatoren werden oft frei innerhalb einer Organisation und sogar extern geteilt.

Geheimnisse hingegen sind streng vertraulich. Wenn ein Geheimnis in falsche Hände gelangt, können Angreifer damit auf hochprivilegierte Systeme zugreifen. Die Organisation könnte daraufhin großen Schaden erleiden.