Tag IAM

Michael Gießelbach, Regional Director DACH bei Radware

Das Identity and Access Management (IAM) wird in der Cloud oft noch stiefmütterlich behandelt, warnen die Sicherheitsspezialisten von Radware. Und dies, obwohl nach einer eigenen Studie bereits 70% aller Produktivanwendungen in öffentlichen Clouds betrieben werden. Das bedeutet, dass Cloud-Sicherheit zunehmend zum Synonym für Cybersicherheit wird. Laut Gartner werden bis 2023 drei Viertel aller Sicherheitsmängel in der Cloud auf eine unzureichende Verwaltung von Identitäten, Zugriffen und Berechtigungen zurückzuführen sein.

In der öffentlichen Cloud gehostete Workloads sind jetzt per Definition remote. Der gesamte Zugriff erfolgt über eine Remote-Verbindung unter Verwendung von Mechanismen und APIs, die vom Hosting-Anbieter der öffentlichen Cloud bereitgestellt werden. Administratoren haben keine physische Kontrolle mehr über ihre Ressourcen, und der gesamte Zugriff auf ihre Ressourcen erfolgt aus der Ferne. Hacker, böswillige Akteure und andere nicht autorisierte Dritte können jedoch grundsätzlich über dieselben standardisierten Protokolle, APIs und Zugriffsmethoden auf dieselben Ressourcen zugreifen. Der Schutz vor Bedrohungen in der öffentlichen Cloud beginnt daher laut Radware mit der Sicherung von Berechtigungen und dem Identitäts- und Zugriffsmanagement.

In der Praxis zeigen sich dabei jedoch hauptsächlich 3 Herausforderungen:

Übermäßige Berechtigungen für Benutzer, die nicht benötigt werden
Fehlkonfigurationen von Cloud-Umgebungen und Sicherheitsrichtlinien des Kunden
Öffentliche Freigabe von Assets ohne angemessene (oder gar keine) Sicherheitskontrollen

Exzessive Berechtigungen

Die Verwaltung von Zugriffsrechten ist ein wichtiges Thema für die IT-Sicherheit, unabhängig davon, wo Anwendungen gehostet werden. Um möglichst agiles Arbeiten zu ermöglichen, erteilen Cloud-Administratoren den Benutzern jedoch häufig weitreichende Berechtigungen. Tatsächlich nutzen die meisten Benutzer nur einen kleinen Teil davon und haben keinen geschäftlichen Bedarf an allen Berechtigungen. Dies stellt eine schwerwiegende Sicherheitslücke dar, wenn diese Benutzeranmeldeinformationen in böswillige Hände fallen; Angreifer hätten dann umfassenden Zugriff auf sensible Daten und Ressourcen.

IAM-Fehlkonfigurationen

Aufgrund des schnellen Wandels in der Cloud und der Ungewissheit, wer für welche Sicherheitsaspekte verantwortlich ist, sind viele Organisationen anfällig für Fehlkonfigurationen in der Cloud. IAM ist dabei für viele ein besonderes Problem, da es etliche Konfigurationsmöglichkeiten und potenzielle Fallstricke gibt, darunter Passwortrichtlinien, Fehlkonfigurationen bei der Benutzerauthentifizierung, Protokollierungs- und Berichtslücken usw.

Öffentliche Zugänglichkeit

Das nächste Problem ist die öffentliche Exposition von Assets, also die versehentliche Offenlegung von Workloads ohne angemessene Sicherheitsmaßnahmen. Durch die Verlagerung in die Cloud befinden sich Systeme und Anwendungen außerhalb des unmittelbaren Einflussbereichs des Unternehmens. Ein zentrales Problem ist daher der Schutz vor der öffentlichen Zugänglichkeit dieser Ressourcen und die Gewährleistung, dass nur diejenigen Zugriff haben, die auch Zugriff haben sollen. Die Migration in die Cloud wird jedoch häufig von dem Wunsch nach mehr Agilität und Flexibilität angetrieben. Das hat zur Folge, dass Unternehmen den Zugang zu ihren Systemen nicht immer richtig absichern. Laut Gartner wird bis 2021 die Hälfte aller Unternehmen unwissentlich und fälschlicherweise IaaS-Speicherdienste, -Anwendungen oder -APIs direkt dem öffentlichen Internet ausgesetzt haben.

„Wenn mehr als zwei Drittel aller produktiven Anwendungen in der Cloud laufen, gibt es für sie keinen Perimeter-Schutz mehr“, so Michael Gießelbach, Regional Manager DACH bei Radware. „Hier nimmt das Identity and Access Management eine Schlüsselposition bei der gesamten Cybersecurity ein. Wer Zugangsrechte nicht auf das Nötigste beschränkt und die Zugangsdaten nicht adäquat sichert, präsentiert Angreifern seine Anwendungen auf dem Silbertablett.“

Radware® (NASDAQ: RDWR) ist ein weltweit führender Lösungsanbieter im Bereich Anwendungsbereitstellung und Cybersicherheit für virtuelle, cloudbasierte und softwaredefinierte Rechenzentren. Das preisgekrönte Portfolio des Unternehmens sichert die unternehmensweite IT-Infrastruktur sowie kritische Anwendungen und stellt deren Verfügbarkeit sicher. Enterprise- und Carrier-Kunden weltweit profitieren von Radware-Lösungen zur schnellen Anpassung an Marktentwicklungen, Aufrechterhaltung der Business Continuity und Maximierung der Produktivität bei geringen Kosten.

Weitere Informationen finden Sie unter www.radware.com

Firmenkontakt
Radware GmbH
Michael Gießelbach
Robert-Bosch-Str. 11a
63225 Frankfurt am Main
+49-6103-70657-0
radware@prolog-pr.com
https://www.radware.com

Pressekontakt
Prolog Communications GmbH
Achim Heinze
Sendlinger Str. 24
80331 München
089 800 77-0
achim.heinze@prolog-pr.com
https://www.prolog-pr.com/radware

tenfold Screenshot Rezertifizierung / ©tenfold

Die tenfold Software GmbH, ein auf mittelständische Organisationen spezialisierter Anbieter für IT-Security-Produkte aus Österreich, gibt die neue Version seiner gleichnamigen Software tenfold für die Verwaltung von IT-Zugriffsrechten bekannt. tenfold 2021 R2 enthält verschiedene neue Funktionen für die Berechtigungsverwaltung in Microsoft 365 sowie ein neues Plugin zur Integration von Helpdesk-Systemen. Mit den neuen Funktionen haben Kunden nun die Möglichkeit, die Rezertifizierung von Berechtigungen auch innerhalb von Microsoft 365 vollumfänglich und automatisiert umzusetzen. Mithilfe des neuen Helpdesk-Plugins lassen sich zudem einzelne manuelle Prozesse beim Berechtigungsmanagement schnell und einfach durchführen.

Regelmäßige Kontrolle von Azure Active Directory®-Berechtigungen

Um sicherzustellen, dass in einem Unternehmen alle IT-Benutzer über richtig eingestellte Zugriffsrechte verfügen, müssen die zugeordneten Berechtigungen regelmäßig überprüft werden. Aufgrund der enormen Datenmenge lässt sich diese sogenannte „Rezertifizierung“ aber kaum manuell umsetzen. Mit tenfold können alle Schritte der Rezertifizierung – von der Information der Fachverantwortlichen bis zum automatischen Entzug nicht mehr benötigter Berechtigungen – automatisiert werden. Mit dem Update der Software ist diese Funktion nun neben allen bisher unterstützten Systemen, wie lokales Active Directory, Fileserver, oder Anwendungen wie SAP ERP® und Dynamics NAV®, auch für Berechtigungen im Cloudverzeichnis Azure Active Directory von Microsoft verfügbar.

Automatisierte Rezertifizierung für Microsoft 365

Die Erweiterung der Rezertifizierungsfunktion von tenfold für Azure Active Directory kommt genau zum richtigen Zeitpunkt, wie Helmut Semmelmayer, Senior Manager Channel Sales der tenfold Software GmbH, ausführt: „Wir erleben gerade, dass die Möglichkeit, IT-Zugriffsrechte durch den Fachbereich zu kontrollieren und gegebenenfalls gleich entfernen zu lassen, auf der Wunschliste vieler Unternehmen ganz oben steht. Die meisten Unternehmen treiben die intensive, produktive Nutzung von Microsoft 365 derzeit im Eiltempo voran – nicht zuletzt aufgrund der Covid-19-Pandemie. Damit Kunden in Zukunft sämtliche Funktionen und Bereiche der Plattform in einem automatisierten Rezertifizierungsprozess berücksichtigen können, haben wir unsere bewährte tenfold IAM-Software entsprechend erweitert.“

Neues Plugin für ManageEngine Service Desk Plus®

Die neue tenfold-Version enthält zudem ein Plugin für das Helpdesk-System Service Desk Plus. „Auch bei hochautomatisierten Vorgängen kann es vorkommen, dass einzelne Schritte im Zugriffsmanagement manuell zu erledigen sind. Das ist beispielsweise dann der Fall, wenn ein System nur unzureichende Schnittstellen zur Automatisierung bereitstellt“, erläutert Helmut Semmelmayer die Hintergründe für die Anpassung. „Durch die Integration mit Helpdesk-Systemen können IT-Administratoren nun ganz einfach aus tenfold heraus manuelle Prozesse anstoßen.“

Hierfür wird, wo notwendig, automatisch über die API des Helpdesk-Systems ein neues Ticket erfasst. Das Ticket erhält alle erforderlichen Anweisungen zur Durchführung der manuellen Tätigkeit – die entsprechenden Text-Templates können in tenfold hinterlegt werden. Sobald der Bearbeiter das Ticket im Helpdesk-System schließt, wird der aktualisierte Status mit tenfold synchronisiert. „Wir freuen uns, mit Service Desk Plus nun ein zusätzliches, weit verbreitetes Ticketsystem zu unterstützen“, so Helmut Semmelmayer. „Neben Plugins für JIRA, TopDesk und OTRS ist das nun bereits das vierte tenfold-Plugin mit diesen Funktionen. Für unsere Kunden aus dem Mittelstand ist die Integration wichtig, damit durch die Aufgaben in tenfold und im Ticketsystem keine parallelen Strukturen bedient werden müssen.“

Die tenfold Software GmbH ist ein Hersteller von IT-Security-Software aus Wien in Österreich. Die vom Unternehmen angebotene Software „tenfold“ hilft mittelständischen Organisationen dabei, Ihre IT-Zugriffsrechte richtig einzustellen und die Vergabe von Zugriffsrechten besser nachvollziehen zu können. Damit wird die IT-Sicherheit innerhalb der Organisation verbessert. tenfold gehört mit über 1.000 aktiven Installationen zu den führenden Anbietern im DACH-Gebiet. Zu den Märkten zählen daneben Großbritannien und Nordamerika. Weitere Informationen zur tenfold Software GmbH finden sich unter https://www.tenfold-security.com/ueber-uns/.

Firmenkontakt
tenfold Software GmbH
Maggy Fituch
Seidengasse 9
1070 Wien
+43 1 66 50 633
info@tenfold-security.com
www.tenfold-security.com

Pressekontakt
Schwartz Public Relations
Carmen Ritter
Sendlinger Str. 42a
80331 München
+49 89 211 871 56
tenfold@schwartzpr.de
www.schwartzpr.de