Einrichten einer Access- und Identitätsdisziplin

Dieser Artikel hilft Sicherheits- und Technologieteams beim Einrichten und Modernisieren einer Disziplin der Sicherheitsarchitektur, die eine klare, end-to-End-technische Vision für Sicherheit in der gesamten Organisation bietet.

Sicherheitsdisziplinen sind Gruppierungen verwandter Sicherheitsaufgaben, die Organisationen dabei helfen, sicherheitsrelevante Ergebnisse konsistent in der gesamten Technologieumgebung zu erzielen. Im Rahmen des Modells der Sicherheitsakzeptanz helfen Disziplinen dabei, eine Brücke zwischen Geschäftsszenarien und technischer Implementierung zu bieten und sicherzustellen, dass Sicherheitsinvestitionen im Rahmen des Sicherheitsakzeptanzmodells zu echten messbaren Ergebnissen führen.

Warum diese Disziplin?

Der Zugriff und die Identität sind die Sicherheitsdisziplin, mit der die meisten Personen zuerst interagieren – und am häufigsten. Jeder Benutzer macht diese Erfahrung jedes Mal, wenn er sich an einem Gerät anmeldet, auf eine Anwendung zugreift, eine Datei freigibt, eine Remoteverbindung herstellt oder physische Zutrittsausweise verwendet, um ein Gebäude zu betreten.

Da Zugriffssteuerungen an der Schnittmenge von Sicherheit und Produktivität liegen, beeinflussen sie sowohl das Organisationsrisiko als auch die Benutzererfahrung direkt.

Die Disziplin Zugriff und Identitäten:

-

• Verringert das Risiko durch die Gestaltung und Steuerung von Zugriffspfaden zu Geschäftsressourcen, um sicherzustellen, dass die richtigen Entitäten unter den richtigen Bedingungen über den richtigen Zugriff verfügen und gleichzeitig Den Missbrauch durch Angreifer verhindern.
• Ermöglicht produktives Arbeiten durch einheitlichen, reibungslosen Zugriff, der unsichere Umgehungslösungen und Schatten-IT verhindert
• Bietet eine gemeinsame Strategie, an der sich Sicherheitsverantwortliche und Fachkräfte orientieren und die sie organisationsweit einheitlich umsetzen können.

Dies ist eine strategische Priorität, da Identitäten der häufigste Einstiegspunkt für Angriffe sind und da die Kompromittierung von privilegiertem Zugriff die Auswirkungen von Angriffen drastisch verstärkt. Techniken wie Password-Spraying, Phishing und Token-Diebstahl werden regelmäßig eingesetzt, um sich einen ersten Zugang zu verschaffen. Pass-the-Hash-, Pass-the-Ticket- und ähnliche Angriffe zur Kompromittierung von Identitäten kommen regelmäßig zum Einsatz, um sich seitlich im Netzwerk zu bewegen, Berechtigungen auszuweiten und hochwertige Zielressourcen zu erreichen.

Ohne eine effektive Access- und Identitätsdisziplin haben Organisationen ein erhöhtes Risiko von:

• Externe Kompromittierung: Angreifer können schnell legitime Benutzer- oder Dienstidentitäten, einschließlich privilegierter Konten, übernehmen und diese verwenden, um Geschäftsressourcen zu ermitteln und auszunutzen.
• Missbrauch von Insidern und Missbrauch von Rechten: Böswillige, fahrlässige oder kompromittierte Insider können erhöhte Rechte für den Zugriff auf vertrauliche Systeme und Daten missbrauchen.
• Produktivitätsverlust und unsichere Workarounds: Übermäßig restriktive oder inkonsistente Zugriffskontrollen frustrieren Benutzer und begünstigen den Einsatz von Schatten-IT mit schwächeren Sicherheitskontrollen und geringerer Transparenz, wodurch sich Risiko und potenzielles Schadensausmaß erhöhen.

Mission und Ergebnisse

Eine effektive Access- und Identitätsdisziplin basiert auf zwei ergänzenden strategischen Zielen:

• Sicherer allgemeiner Zugriff – Erhöhen Sie die grundlegende Sicherheit für alle Unternehmensressourcen, indem Sie die Mindestsicherheitssicherheit für den täglichen Zugriff konsequent erzwingen.
• Sicherer privilegierter Zugriff – Schützen Sie den Zugriff, der wesentliche geschäftliche Auswirkungen haben kann, einschließlich wertvoller Geschäftsressourcen, IT-Verwaltungskonten, Workloadidentitäten und Artefakten, die umfassende oder tiefe Kontrolle gewähren.

Gemeinsam stellen diese Ziele sicher, dass die Zugriffssicherheit mit dem Geschäftswert und dem Risiko mitwächst und so dort starken Schutz bietet, wo er am wichtigsten ist, ohne die tägliche Arbeit unnötig zu behindern.

Das folgende Diagramm veranschaulicht diese beiden ergänzenden Ziele:

So wenden Sie diese Disziplin an

Um die Access- und Identity-Disziplin effektiv anzuwenden, konzentrieren Sie sich auf die Schaffung eines konsistenten, identitätsorientierten Ansatzes für die Verwaltung des Zugriffs in der gesamten Organisation:

1. Definieren eines identitätsorientierten Zugriffsmodells, das auf Geschäftsrisiken ausgerichtet ist
   Richten Sie einen klaren Ansatz für den Zugriff von Benutzern, Geräten, Anwendungen und Workloads auf Organisationsressourcen basierend auf Risiken und geschäftlichen Auswirkungen ein.
2. Sicherstellen einer konsistenten Überprüfung des Zugriffs in allen Umgebungen
   Wenden Sie einen einheitlichen Ansatz zur Überprüfung von Identitäts-, Geräte- und Zugriffsbedingungen an, unabhängig vom Standort, der Anwendung oder dem Netzwerk.
3. Standardisieren von Zugriffssteuerungen und -richtlinien in der gesamten Organisation
   Stellen Sie klare Anleitungen bereit, um sicherzustellen, dass Zugriffsentscheidungen konsistent angewendet werden und die Fragmentierung über Systeme und Umgebungen hinweg reduziert wird.
4. Ausrichten der Zugriffsverwaltung an Geschäftsszenarien und kritischen Ressourcen
   Priorisieren Sie Zugriffssteuerungen, die hochwertige Ressourcen schützen und wichtige Szenarien unterstützen, z. B. sichere Remotearbeit und Schutz kritischer Systeme.
5. Kontinuierlicher Überwachung und Verfeinerung des Zugriffs basierend auf Risiko und Aktivität
   Verwenden Sie Einblicke aus Zugriffsmustern, Risikosignalen und Sicherheitsereignissen, um Kontrollen zu stärken und die Exposition im Laufe der Zeit zu reduzieren.

Verwalten von Änderungen

Herkömmliche Zugriffssteuerungsmodelle konzentrieren sich auf Netzwerkperimeter, Layering-Identitätssysteme und VPNs um ein vertrauenswürdiges internes Netzwerk. Diese Modelle erfüllen nicht mehr die Anforderungen moderner Unternehmen, die in cloud-, SaaS-, mobilen, KI- und Hybridumgebungen arbeiten. Veraltete Ansätze führen häufig zu Folgendem:

• Fragmentierte Lösungen über Identitäts-, Netzwerk- und Anwendungsebenen hinweg.
• Schwacher oder inkonsistenter Schutz vor privilegiertem Zugriff.
• Schlechte Integration in Sicherheitsvorgänge und Erkennung.
• Lücken, die Angreifer routinemäßig ausnutzen.

Das folgende Diagramm veranschaulicht diese Einschränkung:

Eine moderne Access- und Identitätsdisziplin geht über einzelne Technologien hinaus. Sie konzentriert sich auf Geschäftsprioritäten, Integration und Vollständigkeit auf allen Zugangspfaden und erzwingt dabei eine einzige, kohärente Zugangsstrategie. Moderne Zugriffssteuerung muss folgendes sein:

• Sichern Sie: Überprüfen Sie Benutzer, Geräte und Workloads explizit anhand umfangreicher Signale. Verhindern Sie eine nicht autorisierte Berechtigungseskalation, und schützen Sie privilegierten Zugriff.
• Einheitlich und umfassend: Decken Sie alle Zugriffspfade – menschlich und unmenschlich – ab und wenden Sie Sicherheitsvorkehrungen einheitlich an, um Lücken zu beseitigen und die Benutzererfahrung zu verbessern.
• Integriert: Verwenden Sie zentrale Richtlinien und eine minimale Anzahl von Policy-Engines, um Kontrollen in großem Maßstab konsistent durchzusetzen und Konfigurationsdrift zu vermeiden.
• Identitätsorientiert: Priorisieren Sie identitätsbasierte Steuerelemente, die einen umfassenderen Kontext als nur Netzwerksignale bieten. Verwenden Sie Netzwerksteuerelemente als ergänzende Ebene, nicht als primäre Vertrauensgrenze.

Dieses Diagramm aus dem Enterprise Access-Modell veranschaulicht alle verschiedenen Arten von Zugriffspfaden, die eine Organisation für mehrere Workloads, mehrere Clouds, verschiedene Geschäftsempfindlichkeitsstufen und den Zugriff von Personen und Geräten sichern muss.

Disziplinierungsrollen und Mitarbeiter

Die Planung und Umsetzung des Bereichs „Zugriff und Identitäten“ liegt in der Regel bei Teams, die für Identitäten, Zugriffe und Netzwerke verantwortlich sind. In größeren Organisationen werden Zuständigkeiten über formale Rollen und Prozesse verteilt. In kleineren Organisationen können Rollen kombiniert und informeller behandelt werden. In jedem Fall empfiehlt es sich, die Zugriffs- und Identitätsstrategie zu dokumentieren, während sie sich weiterentwickelt.

Zu den primären Rollen gehören:

• Access-Architekten: Definieren Sie end-to-End-Zugriffsstrategie und Design über Identitäts-, Netzwerk-, Anwendungs- und Plattformebenen hinweg.
• Identitäts- und Netzwerktechniker und -betreiber: Implementieren, Betreiben und Verwalten von Identitätssystemen, Zugriffserzwingung und unterstützender Infrastruktur.

Architekten müssen alle Zugangstechnologien ganzheitlicher verstehen. Ingenieure verfügen in der Regel über umfassende Kenntnisse in Identitäts- und/oder Netzwerksystemen.

Zu den wichtigsten internen Mitarbeitern gehören:

• Sicherheits- und Unternehmensarchitekten, um Zugriffssteuerungen an breitere Sicherheitsarchitektur und -prioritäten auszurichten
• Engineering- und Betriebsteams, die Zugriffsanforderungen in Plattformen und Workloads implementieren**
• Sicherheitsverantwortliche (CISO und Beauftragte), die die Richtung vorgeben und die Aufsicht übernehmen
• Entwickler, die Anwendungen mit modernen Identitäts- und Zugriffsmustern entwerfen und erstellen

Keine einzelne Rolle hat alleinigen Zugriff. Die erfolgreiche Zugriffssteuerung hängt von gemeinsamer Verantwortung und Koordination in allen Teams ab.

Strategiekomponenten

Eine effektive Zugriffs- und Identitätsstrategie sichert den vollständigen Lebenszyklus autorisierter Aktionen. Konzeptionell spiegelt dies die Struktur eines Satzes wider:

• Identitätsbetreff – wer oder was Zugriff anfordert.
• Access-Verb – die aktion, die ausgeführt wird.
• Access-Objekt – auf die Ressource zugegriffen wird.

Identitätssubjekt (wer)

Die Zugriffssicherheit beginnt mit dem Wissen, wer oder was Zugriff anfordert:

• Alle Identitätstypen: Geschützte Benutzerkonten, Workloadidentitäten, KI-Agenten, Anwendungen, Dienstprinzipale, Zertifikate und kryptografische Schlüssel.
• • Der vollständige Identitätslebenszyklus1: Verwalten Sie Identitäten von keinem Zugriff über die Identitätserstellung, Änderungen und Rechteerweiterungen bis hin zur Deprovisionierung und zur Rückkehr zu keinem Zugriff, wenn dieser nicht mehr erforderlich ist.
• Identitätsquellen: Definieren Sie, welche internen und externen Identitätsanbieter vertrauenswürdig sind, wie Identitäten gesteuert werden, und wie Lebenszyklussteuerelemente in diesen Quellen erzwungen werden.

Zugriffsverb (wie)

Die Zugriffserzwingung muss alle Ressourcen und Zugriffspfade über den gesamten Zugriffszyklus hinweg abdecken.

• Umfassende Abdeckung: Erzwingen Sie Richtlinien für Cloud-, lokale, SaaS-, AI-, OT/IoT-Objekte für interaktiven Zugriff, APIs und Computer-zu-Computer-Kommunikation.
• Zwischensysteme: Sichere Geräte, Verzeichnisse, Gateways, VPNs und Zugriffsproxys, die den Zugriff vermitteln.
• Konsistente Richtlinie: Die Richtlinie einheitlich für allgemeinen Zugriff, privilegierten Zugriff, Netzwerkzugriff, externen Zugriff und Autorisierungsmodelle auf Workload-Ebene anwenden.
• Adaptiver Zugriff: Überprüfen Sie kontinuierlich, ob Identitäten bekannt, vertrauenswürdig und mithilfe von Echtzeitsignalen zulässig sind, und beenden Sie Sitzungen, wenn sich das Risiko ändert.
• Starke Authentifizierung: Erzwingen sie phishingsichere Authentifizierung und Mechanismen, die kennwortbasierte Angriffe mindern.
• Moderne Zugriffsmechanismen: Erzwingen Sie die geringsten Berechtigungen auf Anwendungsebene und ersetzen Sie ältere Perimetertechnologien durch identitätsorientierte Ansätze wie Security Service Edge (SSE).

Zugriffsobjekt (was)

Die Zugriffsrichtlinie muss den Geschäftlichen Wert, die Vertraulichkeit und die Governanceanforderungen widerspiegeln:

• Richten Sie die Richtlinie am Geschäft aus: Klassifizieren Sie Assets und stimmen Sie Zugriffskontrollen auf deren Wert und Risiko ab.
• Verwalten von Kontrollbeziehungen: Access-Strategien müssen transitive Kontrollbeziehungen im Sicherheitsdiagramm berücksichtigen. Wenn A B kontrolliert und B C kontrolliert, kontrolliert A damit effektiv auch C – wodurch sich der Schadensradius drastisch vergrößert.
• Technische Schulden abbauen: Mustern Sie unsichere veraltete Protokolle und Kryptoverfahren (z. B. LM/NTLM) aus, die die Absicherung von Zugriffsprozessen untergraben. Dies erfordert häufig eine koordinierte Aktion über Identität, Endpunkte und Infrastruktur hinweg.

Ausrichtung mit anderen Disziplinen

Die Disziplin für Zugriffs- und Identitätsmanagement arbeitet nicht unabhängig. Sie richtet sich eng an andere Sicherheitsdisziplinen, darunter:

• Strategie, Integration und Governance. Zugriffsentscheidungen gestalten Geschäftsrisiko und Priorisierung.
• Sicherheitsarchitektur: Zugriffssteuerungen erzwingen Architekturentscheidungen.
• Sicherheitsbetrieb: Identitäts-Telemetriedaten und Zugriffssignale fließen in Erkennung, Untersuchung und Reaktion ein.
• Endpunktsicherheit: Der Gerätestatus wirkt sich direkt auf die Zugriffsvertrauensstellung aus.
• Datensicherheit: Zugriffsrichtlinien spiegeln die Vertraulichkeit und Governance von Daten wider.

Diese Ausrichtung stellt sicher, dass Zugriffsentscheidungen End-to-End-Sicherheitsergebnisse unterstützen, nicht fragmentierte Steuerelemente.

Ausrichtung auf technologische Säulen

Die Disziplin "Access" und "Identitäten" umfasst alle Technologiepfeiler und dient als vereinheitlichende Kontrollebene, wie in diesem Diagramm dargestellt.

Die Disziplin gliedert sich wie folgt:

• Identitäten: Authentifizierung, Autorisierung, Lebenszyklusverwaltung und Berechtigungskontrollen definieren, wer unter welchen Bedingungen auf Ressourcen zugreifen kann.
• Endpunkte: Endpunktstatus und Schutz von Anmeldeinformationen beeinflussen Zugriffsvertrauensentscheidungen. Kompromittierte Geräte untergraben Identitätskontrollen.
• Infrastruktur: Identitätssysteme und Administrative Schnittstellen werden auf der Infrastruktur ausgeführt und erfordern einen starken privilegierten Zugriff.
• Apps: Anwendungen müssen moderne Identitätsmuster verwenden und den Zugriff auf die geringsten Rechte für Benutzer, APIs und Pipelines erzwingen.
• Daten: Identitätsbasierte Zugriffssteuerungen steuern, wer vertrauliche Daten lesen, ändern oder exfiltrieren kann.
• Netzwerk: Netzwerksteuerungen ergänzen den identitätszentrierten Zugriff, indem sie Angriffe auf Altsysteme eindämmen und Security-Service-Edge-(SSE)-Muster unterstützen.
• KI: KI-Agents und -Dienste stellen neue Identitätstypen vor, die Lebenszyklusverwaltung, geringste Berechtigungen und Überwachung erfordern.

Nächste Schritte

• Microsoft Unified bietet Cybersicherheitsreferenzarchitekturen, Zero Trust Anleitungen und von Experten geleitete Workshops, um Organisationen bei der End-to-End-Sicherheitsarchitektur zu unterstützen. Erfahren Sie mehr.

  

• Überprüfen Sie andere Sicherheitsdisziplinen.