Identitätssicherheit steht derzeit im Rampenlicht, und es ist leicht zu verstehen, warum. Der jüngste Verizon Data Breach Investigations Report ergab, dass 61 % aller Sicherheitsverletzungen Zugangsdaten betreffen.
Ob diese Zugangsdaten von Endgeräten gestohlen, durch Social Engineering erlangt oder im Darknet gekauft wurden – die Botschaft ist dieselbe: Das Eindringen in ein Netzwerk mithilfe einer kompromittierten Identität ist eine äußerst erfolgreiche Taktik für Angreifer von heute. Solange Unternehmen nicht beweisen, dass sie dies zuverlässig verhindern können, haben Angreifer wenig Anlass, diese Technik aufzugeben.
Ein großer Teil der Diskussion über Identitäten dreht sich um Benutzeridentitäten. Und obwohl Benutzeridentitäten angreifbar sind, bevölkern heute buchstäblich Milliarden nichtmenschlicher Entitäten die Netzwerke.
Im Jahr 2020 veröffentlichte Cisco einen Bericht mit der Schätzung, dass bis 2023 weltweit fast 30 Milliarden vernetzte Geräte im Einsatz sein werden – gegenüber 18 Milliarden noch wenige Jahre zuvor. Nichtmenschliche Identitäten sind heute den menschlichen Benutzern zahlenmäßig deutlich überlegen, und der größte Teil der heutigen Kommunikation über das Internet findet nicht zwischen Menschen statt, sondern zwischen Maschinen.
Leider kann eine kompromittierte Maschinenidentität ebenso schwerwiegende Folgen haben wie eine kompromittierte menschliche Identität. Unternehmen müssen dieses Problem erkennen – und angehen –, bevor es zu spät ist.
Siehe auch: The Successful CISO: How to Build Stakeholder Trust
Maschinenidentitäten verstehen
Der Begriff Benutzeridentität ist recht intuitiv, doch Maschinenidentität kann für eine große Bandbreite von Geräten, Anwendungen und Prozessen stehen.
Im Wesentlichen ist eine Maschinenidentität alles, was über das Internet arbeiten oder kommunizieren kann und kein Mensch ist. Dazu gehören Smartphones, Laptops, Webanwendungen, Server, Datenbanken, industrielle Steuerungssysteme und unzählige andere nichtmenschliche Entitäten. Diese Geräte kommunizieren ständig miteinander. Daher müssen sie überprüfen können, dass die Entität, mit der sie kommunizieren, tatsächlich das ist, was sie vorgibt zu sein.
Wie oft hat sich ein durchschnittlicher Benutzer von einem neuen Laptop (oder sogar nur einem neuen Browser) aus bei einem Onlinekonto angemeldet und wurde mit der Meldung „Dieses Gerät ist nicht bekannt“ begrüßt? In diesem Fall fordert das System den Benutzer zur erneuten Authentifizierung auf. Sobald die Identität des Kontoinhabers überprüft wurde, speichert die Anwendung die ID des neuen Geräts und erkennt es künftig wieder.
Die Notwendigkeit einer ordnungsgemäßen Authentifizierung wird noch deutlicher, wenn Bereiche wie die kritische Infrastruktur betrachtet werden. In einer Fertigungsanlage könnten Hunderte verschiedener Maschinen an einer Montagelinie arbeiten, und in der Regel gibt es ein strukturiertes System, das als Steuerung für mehrere darunterliegende Systeme dient.
Diese Systeme müssen jedes Gerät auf dem Fabrikgelände authentifizieren können. Denn wenn ein Gerät eine Anweisung erhält, muss es sicher sein, dass das System, von dem diese Anweisung stammt, über die erforderliche Berechtigung verfügt. Ohne diese Authentifizierung wäre es für einen Eindringling einfach, einem Gerät falsche oder sogar schädliche Anweisungen zu geben.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Warum Angreifer Maschinenidentitäten ins Visier nehmen
Wird eine Maschinenidentität kompromittiert, eröffnet dies die Tür zu verschiedenen Angriffsaktionen. Angreifer könnten das Gerät für Man-in-the-Middle-Angriffe nutzen oder Daten abhören, die über das Netzwerk hin- und herübertragen werden, und Informationen stehlen. Andere könnten Sabotageakte ausführen, wie im Beispiel mit dem Fabrikgelände. Wieder andere könnten die kompromittierte Identität nutzen, um sich lateral im Netzwerk auszubreiten – genauso, wie sie es mit einer kompromittierten Benutzeridentität tun würden.
Die Verbindung dieser Identitäten mit dem ordnungsgemäß autorisierten Zugriff auf legitime Ressourcenanfragen übernimmt Microsofts Active Directory (AD). Es ist gewissermaßen wie ein GPS – ein Verzeichnis von Informationsquellen mit äußerst komplexer Struktur. Mehr als 90 % der Unternehmen nutzen AD heute als Identitätsdienst, und Angreifer nehmen AD häufig ins Visier, um ihre Berechtigungen noch weiter auszuweiten.
Die rasant steigende Zahl der heute eingesetzten Maschinenidentitäten macht deren Absicherung erheblich schwieriger. Es ist nicht einfach sicherzustellen, dass jedes System kontinuierlich gepatcht und aktualisiert wird. Identitäten werden mithilfe digitaler Zertifikate abgesichert, und auch diese Zertifikate müssen verwaltet werden. Einige Unternehmen verwenden heute Millionen solcher Zertifikate. Die Ablauf- und Verlängerungsdaten im Blick zu behalten, kann in großem Maßstab eine erhebliche Herausforderung darstellen.
Automatisierte Tools haben dabei geholfen, einige dieser Probleme zu lösen, fügen jedoch auch eine Komplexitätsebene hinzu, die ihrerseits Schwachstellen schafft. Denn je komplexer ein System ist, desto schwieriger lässt sich erkennen, wenn etwas nicht stimmt. Den meisten Unternehmen fehlt bereits der Überblick über die Maschinenidentitäten in ihren Netzwerken. Das bedeutet, dass ein Angreifer, der eine Maschinenidentität kompromittiert, Daten sammeln könnte, wo niemand hinsieht – oft über einen langen Zeitraum hinweg.
Siehe auch: Die besten Website-Scanner
Maschinenidentitäten absichern
Ein Bereich, in dem Automatisierung ihre Stärken ausspielt, ist die Identifizierung und Nachverfolgung von Schwachstellen. Bei Millionen von Maschinenidentitäten ist es schlicht nicht möglich, jede einzelne manuell zu erfassen. Stattdessen können Unternehmen moderne Cybersicherheitstools nutzen, um den Prozess der Nachverfolgung von Zugangsdaten zu automatisieren.
Da Active Directory aufgrund seiner Beschaffenheit notorisch schwer abzusichern ist, gibt es außerdem automatisierte Tools, die AD auf potenzielle Angriffspfade und sogar laufende Angriffe überwachen können. Die Sicherheit von Maschinenidentitäten erfordert die Fähigkeit, AD und andere Bereiche kontinuierlich auf Schwachstellen und Fehlkonfigurationen zu überwachen. Diese Probleme zu erkennen und zu beheben, bevor ein Angreifer sie ausnutzen kann, bleibt eine der effektivsten Methoden, um Identitäten – ob Maschinenidentitäten oder andere – abzusichern.
Angreifer können sich Maschinenidentitäten auf verschiedene Arten aneignen. Die Möglichkeit, potenzielle Angriffspfade zu schließen und ungewöhnliches Verhalten in Echtzeit zu erkennen, kann das Risiko für ein Unternehmen jedoch erheblich verringern. Angreifer werden nicht so bald aufhören, Identitäten ins Visier zu nehmen. Versierte Unternehmen sollten daher sicherstellen, dass ihre Tools für Identitätssicherheit über die erforderliche Transparenz und die nötigen Schutzfunktionen verfügen, um sowohl ihre Maschinenidentitäten als auch ihre Benutzeridentitäten zu schützen.
Über den Autor:
Tony Cole, CTO bei Attivo Networks