IAM: Die Identitäten von Maschinen sicher verwalten

Identitäten von Maschinen sind ein kritischer Faktor

Unternehmen benötigen ein solides und sicheres Management der Identitäten ihrer Maschinen, um jederzeit den Überblick über sie zu behalten und um sicherzustellen, dass jede über die passenden Zugangsberechtigungen verfügt. Ein Mensch muss sich nur einmal bei seiner Online-Bank einloggen, um seinen Kontostand zu prüfen. Im Hintergrund setzen sich dabei aber manchmal Hunderte von Maschinen in Bewegung, um die Anfrage zu bearbeiten. Sie alle benötigen sichere Authentifizierungsmöglichkeiten.

Die für die Maschinen benötigten Zertifikate und Schlüssel sollten daher über das gesamte Netzwerk aus physischen und virtuellen Geräten proaktiv gemanagt werden. Abgelaufene Schlüssel können zu schweren Systemfehlern führen, die möglicherweise auch kritische Dienste beeinträchtigen. Außerdem können Hacker nicht ausreichend geschützte Schlüssel für ihre Zwecke missbrauchen.

So war zum Beispiel im Jahr 2020 ein abgelaufenes TLS-Zertifikat (Transport Layer Security) dafür verantwortlich, dass der US-Bundesstaat Kalifornien für mehr als eine Woche keine offiziellen Daten über durchgeführte Covid-19-Tests mehr veröffentlichen konnte. Der Supply-Chain-Angriff auf SolarWinds führte unter anderem dazu, dass durch Mimecast ausgestellte digitale Zertifikate kompromittiert wurden. Diese werden zum Beispiel benötigt, um sich an Microsoft-365-Exchange-Diensten anzumelden.

Mit Hilfe gestohlener oder gefälschter Identitäten von Maschinen können sich Cyberkriminelle einen Zugriff auf fremde Netzwerkressourcen verschaffen. Die von ihnen angenommenen Identitäten wirken aber trotzdem seriös und vertrauenswürdig, so dass sie nur schwer zu entdecken sind. Die Identitätsdaten eines Benutzers verschaffen einem Angreifer Zugang zu seinen Daten. Mit der Identität einer Maschine erlangt er jedoch möglicherweise den Zugang zu geschäftskritischen Systemen oder auch zu enormen Mengen an vertraulichen Daten.

Wichtige Maßnahmen zum Schutz der Identitäten von Maschinen

Das Management der Maschinenidentitäten ist also eine kritische Komponente in nahezu jedem Cyber-Security-Programm. Bedauerlicherweise ist es aber keine leichte Aufgabe, den Lebenszyklus von Identitäten zu verwalten. Das liegt zum einen an der exponentiell wachsenden Zahl und Vielfalt dieser Maschinen. Zum anderen sind sie oft auch noch abhängig von den genutzten Kommunikationsprotokollen oder Anfragen und benötigen daher unterschiedliche Schlüssel und Zertifikate.

Außerdem wurde die Gültigkeitsdauer der digitalen Zertifikate in den vergangenen zehn Jahren immer wieder verändert. 2011 wurde sie von einer ursprünglichen Gültigkeitsdauer von acht Jahren auf einen Zeitraum zwischen drei und fünf Jahren verkürzt. Im Jahr 2020 wurde die Dauer von TLS-Zertifikaten nach einer Abstimmung im Certification Authority Browser Forum auf nur noch 398 Tage reduziert.

Unternehmen benötigen deshalb ein solides Managementprogramm, das bewährte Best Practices über den gesamten Lebenszyklus jedes einzelnen Schlüssels durchsetzt. Dazu gehören die Erstellung, das Provisioning, die Erneuerung bis zum Zurückziehen eines Schlüssels. Außerdem sollten sie ihre Mitarbeiter darüber aufklären, welche Prozesse am Lebenszyklus einer Maschinenidentität beteiligt sind.

Voraussetzungen für ein Programm zum Management von Maschinenidentitäten

Ein Programm zum Management von Maschinenidentitäten kann für Transparenz in der gesamten IT-Umgebung eines Unternehmens sorgen. Ein manuelles Verwalten der für den Lebenszyklus der Maschinenidentitäten benötigten Zertifikate ist in Anbetracht der komplexen und dynamischen modernen IT-Systeme aber nicht mehr durchführbar. Folgende Maßnahmen sind besser geeignet:

Erstellen Sie ein Inventar der digitalen Zertifikate und Schlüssel

Setzen sie zunächst ein geeignetes Scanning-Tool ein, um automatisiert nach dem Speicherort und den Aktivitäten jedes einzelnen Schlüssels in Ihrem Netzwerk zu suchen. Das Programm sollte auch in der Lage sein, Identitäten und Geräte aufzuspüren, die sich außerhalb Ihres Netzwerkperimeters befinden. Denken Sie dabei zum Beispiel an IoT-Umgebungen (Internet of Things) oder an die Cloud.

Gerade letztere ist ein Ort, an dem häufig schlecht konfigurierte SSH-Dienste zu finden sind. Der Scanvorgang reduziert Probleme mit Zertifikaten, da er Details wie ihren Ort, die eingesetzte Certificate Authority (CA, Zertifizierungsstelle) und das Ablaufdatum offenbart. Überlegen Sie zudem, ob Sie Ihre Zertifikate nicht nach ihrem Typ, dem Ablaufdatum, der Bedeutung und anderen für Sie relevanten Kriterien gruppieren sollten. Dieser Schritt erleichtert es später, zentrale Gruppenrichtlinien für Geräte, Workloads und Umgebungen einzuführen.

Mehrere Anbieter haben sich auf Lifecycle-Key-Management-Lösungen spezialisiert, Mit ihnen lassen sich die vorhandene Schlüssel inventarisieren und Vertrauensbeziehungen offenlegen. Unter anderem sind es:

• SSH Communications Security
• Userify
• Venafi
• Sectigo
• Centrify
• Keyfactor

Darüber hinaus können Unternehmen auch Open-Source-Projekte wie CloudSploit oder die Scout Suite nutzen, um mit ihrer Hilfe mögliche Fehlkonfigurationen und Sicherheitsrisiken aufzuspüren.

Scannen Sie regelmäßig nach Sicherheits-Token

Regelmäßig durchgeführte Audits der verwendeten Sicherheits-Token leisten gute Dienste, um Sicherheitslücken wie schwache Passwörter, abgelaufene oder nicht mehr genutzte Schlüssel sowie gefälschte Zertifikate zu finden.

Durch den Aufbau eines aktuellen Inventars können Unternehmen außerdem viele Probleme mit Zertifikaten vermeiden, wie etwa, dass ehemalige Mitarbeiter oder Lieferanten auf nicht sofort gesperrte Schlüssel zugreifen können oder noch Schlüssel einsetzen, die nicht mehr den aktuellen Sicherheitsvorgaben im Unternehmen entsprechen. Alle Schlüssel sollten deshalb in einem zentralen, sicheren Repository wie zum Beispiel einem Hardware-Sicherheitsmodul gespeichert werden. Der Zugriff auf dieses Repository sollte aber wiederum mit starken Passwörtern und Rollen-basierten Maßnahmen geschützt werden.

Erlauben Sie den Abteilungen selbstständig Zertifikate einzusetzen

Ein zentrales Management der Maschinenidentitäten kann jedoch die Entwicklung und den Einsatz von Maschinen, Anwendungen und Diensten verlangsamen. Um dies zu vermeiden, sollten Sie ausgewählten Abteilungen erlauben, selbst das Provisioning, Erneuern und Zurückziehen von Zertifikaten zu erledigen. Nichtsdestotrotz sollte die IT-Abteilung für diese Prozesse sehr enge Grenzen setzen. So darf ein Selbstsignieren von Zertifikaten keinesfalls erlaubt werden. Die Richtlinien sollten zudem vorgeben, dass etwa Microservices und Container über Zertifikate zur Identifizierung, Authentifizierung und Verschlüsselung von Daten verfügen. Diese Maßnahme ermöglicht eine sichere Kommunikation mit anderen Containern, Microservices, der Cloud und dem Internet.

Erstellen Sie einen Reaktionsplan für sicherheitsrelevante Vorfälle

Schlussendlich sollte die IT-Abteilung auch einen Reaktionsplan für sicherheitsrelevante Vorfälle erstellen und ihn auch ausgiebig erproben. Das Sicherheitsteam muss genau wissen, wie es auf bestimmte Ereignisse wie zum Beispiel ein gefälschtes Zertifikat oder eine kompromittierte Certificate Authority reagieren kann. Ein geeignetes Key-Management-Programm kann dann automatisch auch im großen Maßstab Änderungen an allen betroffenen Zertifikaten und Schlüsseln über zahlreiche Maschinen hinweg vornehmen.

Ein Programm zum Management von Maschinenidentitäten ist heutzutage eine unverzichtbare Maßnahme, um sicherzustellen, dass die kontinuierlich zunehmenden Verbindungen zwischen verschiedenen Maschinen die Sicherheit der Unternehmensdaten und die Fortführung der Geschäfte nicht gefährden. Firmen haben in Anbetracht der engen Verbindungen zwischen vielen Diensten und der Abhängigkeit von ihrer ununterbrochenen Verfügbarkeit eine Verantwortung gegenüber sich selbst und ihren Partnern, ihre Maschinenidentitäten besonders sorgfältig zu verwalten.