Was ist adaptiver Zugriffskontrolle?

Adaptive Zugriffskontrolle passt die Zugriffsanforderungen an das Risiko an, das mit einer Zugriffsanfrage verbunden ist. Ein Benutzer, der sich beispielsweise von einem unbekannten Gerät oder einem ungewöhnlichen Standort anmeldet, muss möglicherweise zusätzliche Authentifizierungsschritte durchführen. Wenn sich der Kontext nach der ersten Anmeldung ändert, können die Zugriffsentscheidungen neu bewertet werden, was zusätzliche Authentifizierung an bestimmten Kontrollpunkten erfordert, wenn sensible Aktionen durchgeführt werden oder nach einer Sitzungsaktualisierung.

Adaptive Zugriffskontrolle kann eine Vielzahl von Signalen nutzen, um das Risiko zu bewerten, einschließlich der Gerätehaltung, des Benutzerverhaltens, des Identitätsrisikos, der Sensibilität der Ressourcen und des Standortkontexts. Wenn eine Zugriffsanfrage als riskant eingestuft wird, kann das System eine verstärkte Überprüfung verlangen, den Zugriff und die Berechtigungen des Benutzers einschränken oder die Sitzung vollständig blockieren oder beenden.

Wie sich adaptive Zugriffskontrolle von traditioneller Zugriffskontrolle unterscheidet

Traditionelle Zugriffskontrolle beinhaltete oft eine einzige Zugriffsentscheidung zu Beginn der Sitzung des Benutzers. Sobald der Zugriff genehmigt ist, gibt es keine fortlaufende Überwachung, und die Benutzer sind nur durch die Zugriffsrechte und Berechtigungen eingeschränkt, die ihrem Konto zugewiesen sind.

Dieser Ansatz zur Identitäts- und Zugriffsverwaltung (IAM) birgt erhebliche Risiken, wenn ein Angreifer die anfängliche Authentifizierung täuschen oder eine genehmigte Sitzung übernehmen kann. Adaptive Zugriffskontrolle führt eine kontinuierliche, kontextbewusste Überwachung durch, die es ermöglicht, Zugriffsentscheidungen während der Sitzung eines Benutzers zu treffen, anstatt nur zu Beginn.

Was ändert sich, wenn der Zugriff risikobasiert wird?

Traditionelles Zugriffsmanagement basierte oft ausschließlich auf Rollen und Gruppen. Die rollenbasierte Zugriffskontrolle (RBAC) weist Berechtigungen einer bestimmten Rolle zu und den Benutzern dieser Rolle ebenfalls. Wenn ein authentifizierter Benutzer eine Anfrage stellt, wird diese basierend auf den Berechtigungen bewertet, die dieser Rolle zugewiesen sind.

Bei risikobasierten Zugriffsentscheidungen werden zusätzliche Signale und Kontexte in die Zugriffsentscheidung einbezogen. Zugriffsanfragen mit höherem Risiko, wie solche von einem unbekannten Gerät, können zusätzliche Überprüfungen erfordern als dieselbe Anfrage von einem bekannten Gerät und einem normalen Standort.

Wie steht adaptive Kontrolle im Verhältnis zu RBAC und ABAC?

RBAC und attributbasierte Zugriffskontrolle (ABAC) definieren das Basisrichtlinienmodell für das Zugriffsmanagement. Sie geben an, ob ein Benutzer Zugriff haben sollte oder nicht, wenn das System hinsichtlich der Identität des Benutzers zuversichtlich ist.

Adaptive Zugriffskontrolle baut darauf auf, indem sie das Risiko einer Fehlidentifizierung berücksichtigt. Je ungewöhnlicher und riskanter die Anfrage ist, desto größer ist die Beweislast, um das Vertrauen in die Identität des Nutzers zu erreichen.

Risikosignale, die in Entscheidungen zur adaptiven Zugriffskontrolle verwendet werden

Adaptive Zugriffskontrolle kann eine Vielzahl unterschiedlicher Signale nutzen, um das Risiko einer Zugriffsanfrage zu bewerten. Einige der häufigsten Signaltypen sind:

• Gerätezustand
• Nutzerverhalten
• Standortkontext
• Identitätsrisiko
• Ressourcensensitivität

Diese Signale können helfen zu bestimmen, ob eine Anfrage besonders riskant ist und ob ein Nutzer wahrscheinlich derjenige ist, der er vorgibt zu sein. Die Qualität und Abdeckung der Signale sind jedoch von erheblicher Bedeutung, da Daten von geringer Qualität oder unvollständige Daten zu einem ungenauen Risikowert führen können.

Welche Gerätesignale deuten auf ein höheres oder niedrigeres Vertrauen hin?

Gerätesignale enthalten Informationen über das Gerät selbst, die darauf hinweisen können, ob es ein Risiko für das Unternehmen darstellt und ob es wahrscheinlich ein legitimes Gerät ist. Wichtige Überlegungen umfassen:

• Verwaltete vs. nicht verwaltete Geräte
• Vorhandensein von Unternehmenssicherheitsagenten
• Patch-Status
• Indikatoren für gerootete oder jailbreakte Geräte
• Zertifikatsstatus

Wenn verfügbar, bietet diese Information Einblick in das Sicherheitsniveau des Geräts, das die Zugriffsanfrage stellt. Wenn diese Informationen nicht gesammelt werden können, sind möglicherweise zusätzliche Authentifizierungsmaßnahmen erforderlich, oder das System kann die Menge der Aktionen, die der Nutzer mit diesem Gerät durchführen darf, einschränken. Beispielsweise können authentifizierte Benutzer auf einem unbekannten Gerät nur Lesezugriff auf bestimmte Datentypen erhalten.

Welche Verhaltenssignale deuten auf Kompromittierung oder Missbrauch hin?

Verhaltenssignale konzentrieren sich auf Hinweise, dass ein Benutzerkonto oder ein Gerät von einem Angreifer kompromittiert wurde. Häufige Signale sind:

• Unmögliche Reisen
• Abnormale Zugriffszeiten
• Ungewöhnliche Zugriffsverhalten auf Ressourcen
• Wiederholte fehlgeschlagene Überprüfungen

Diese Arten von Signalen werden häufig verwendet, um zu bestimmen, ob eine verstärkte Authentifizierung oder eine Sitzungsbeschränkung erforderlich ist. Beispielsweise können Zugriffsanfragen außerhalb der normalen Geschäftszeiten zusätzliche Authentifizierungsschritte erfordern.

Welche Standort- und Netzwerk-Kontextsignale sind am wichtigsten?

Adaptive Authentifizierungssysteme können auch Standort- und Netzwerk-Kontexte für ihre Zugriffsentscheidungen nutzen. Diese können Folgendes umfassen:

• Unbekannte Geolokalisierung
• Risikobehaftetes autonomes System (ASN)
• Risikobehafteter Hosting-/Provider-Fußabdruck
• Verwendung von Anonymisierern
• Unerwartete Netzwerktypen

Standortinformationen sind oft ungenau, können jedoch Hinweise darauf geben, dass ein Konto von einem Angreifer kompromittiert wurde. Aus diesem Grund sollten diese Daten mit anderen Signalen kombiniert werden, um Risikobewertungen vorzunehmen. Zum Beispiel könnten Zugriffsanforderungen von ungewöhnlichen Standorten ein versuchter Angriff oder ein reisender Mitarbeiter sein, der remote arbeitet.

Welche Identitätsrisikosignale sind wichtig? 

Identitätsrisikosignale helfen dabei, Konten zu identifizieren, die mit höherer Wahrscheinlichkeit von einem Angreifer kompromittiert werden. Beispiele sind:

• Passwörter, die in früheren Datenpannen enthalten waren
• Anzeichen von MFA-Müdigkeit
• Verwendung riskanter Authentifizierungsmethoden
• Anomale Nutzung von Authentifizierungstoken
• Zugriffsanforderungen von bekannten schlechten IP-Adressen
• Wiederholte fehlgeschlagene Authentifizierungsanfragen

Diese Signale helfen dabei, Konten zu identifizieren, die ein hohes Risiko aufweisen. Diese Signale konzentrieren sich auf die Sicherheit von Konten und Anmeldeinformationen und nicht auf die Gerätestellung.

Wie verändert sich die Durchsetzung durch die Sensitivität von Ressourcen?

Eine Risikobewertung kann auch von der Sensitivität der angeforderten Vermögenswerte beeinflusst werden. Beispiele für hochriskante Vermögenswerte sind:

• Lohn- und Gehaltsdaten
• Admin-Konsolen
• Kundendaten (PII)
• Finanzielle Transaktionen
• Massenexporte von Daten

Anfragen für diese Aktionen können zusätzliche Authentifizierung erfordern, einfach aufgrund des zusätzlichen Risikos, das sie für das Unternehmen darstellen. Dies umfasst die Anwendung strengerer Kontrollen, selbst für denselben Benutzer und dasselbe Gerät wie bei Anfragen mit geringerem Risiko.

Wie adaptive Zugriffskontrolle funktioniert

Adaptive Zugriffskontrolle verwaltet kontinuierlich den Zugriff auf die Ressourcen einer Organisation. Sie sammelt Signale, berechnet einen Risikowert, ergreift alle notwendigen Durchsetzungsmaßnahmen und wiederholt diesen Prozess während der Sitzung des Benutzers.

Wie werden Signale gesammelt und normalisiert?

Signale werden aus einer Vielzahl unterschiedlicher Quellen gesammelt. Einige stammen vom Gerät des Benutzers, während andere Informationen über deren Identität verfolgen oder aus Drittquellen kommen.

Adaptive Zugriffskontrollsysteme normalisieren diese Daten, indem sie die Informationen aus mehreren Quellen in konsistente Eingaben für die Richtlinien-Engine umwandeln. Im Falle fehlender Daten werden diese Lücken ausdrücklich behandelt, anstatt als sicher angenommen zu werden.

Wie werden Risikobewertungen getroffen?

Risikobewertungen können auf verschiedene Arten getroffen werden. Einige können Risikoschwellen oder -niveaus beinhalten, während andere Anforderungen für spezifische Szenarien haben können. Zum Beispiel kann der Zugriff auf hochsensible Ressourcen immer eine verstärkte Authentifizierung auslösen, selbst wenn der Gesamtrisikowert relativ niedrig ist.

Diese Risiken können auch auf Basis von Benutzer, Gerät, Sitzung oder Ressource bewertet werden. Dies kann die Erstellung einer Richtlinienmatrix oder Schwelle umfassen, um die verschiedenen Situationen und erforderlichen Durchsetzungsmaßnahmen zu definieren.

Wo kann die Durchsetzung stattfinden?

Durchsetzungsmaßnahmen können beim Login oder an verschiedenen Punkten während der Sitzung des Benutzers erfolgen. Zum Beispiel kann das System eine verstärkte Authentifizierung während der Sitzung verlangen oder die Aktionen einschränken, die ein Benutzer während seiner gesamten Sitzung durchführen könnte.

Es besteht auch die Möglichkeit, dass Zugriffsanforderungen vollständig blockiert oder dass eine Sitzung vorzeitig beendet wird. Dies ist jedoch am häufigsten bei Hochrisikobewertungen oder bei riskanten Anfragen an hochsensible Ressourcen der Fall.

Häufige adaptive Durchsetzungsmaßnahmen

Adaptive Durchsetzungsmaßnahmen können von der Stärkung der Authentifizierung bis hin zur vollständigen Ablehnung einer Zugriffsanforderung reichen. Richtlinien sollten die geeignete Durchsetzungsmaßnahme für verschiedene Szenarien definieren.

Wann sollten Richtlinien eine verstärkte Überprüfung auslösen?

Die verstärkte Überprüfung erfordert zusätzliche Authentifizierungsschritte, wie die Durchführung von MFA. Sie ist darauf ausgelegt, die Reibung im Benutzererlebnis zu minimieren, indem diese zusätzlichen Schritte nur dann erforderlich sind, wenn die Risikobewertungen dies rechtfertigen. 

Zum Beispiel können Zugriffsanforderungen von einem neuen Gerät oder für eine sensible Aktion zusätzliche Überprüfungen erfordern. Dies bietet eine risikoarme Möglichkeit, Risiken zu managen, ohne das Benutzererlebnis zusätzlich zu beeinträchtigen.

Wann sollten Richtlinien Maßnahmen einschränken, anstatt den Zugriff zu blockieren?

Die Einschränkung der Aktionen, die ein Benutzer innerhalb einer Sitzung durchführen kann, bietet einen Mittelweg zwischen vollem Zugriff und der Beendigung der Sitzung. Zum Beispiel sind das Angebot von schreibgeschütztem Zugriff, das Blockieren von Downloads oder das Einschränken von Administrationsoperationen Möglichkeiten, die potenziellen Auswirkungen eines kompromittierten Kontos zu steuern.

Diese Einschränkungen werden in der Regel für hochsensible Ressourcen oder wenn riskante Signale während einer Sitzung beobachtet wurden, angewendet. Sie steuern die Risikobelastung der Organisation, während sie weniger Störungen für das Geschäft verursachen als eine vollständige Blockade.

Wann ist die Sitzungscontainment die richtige Wahl?

Sitzungscontainment ist ein Werkzeug, um die potenzielle Bedrohung durch eine riskante Sitzung zu begrenzen. Dies kann die Implementierung kurzer Sitzungslebensdauern, das Erzwingen einer Reauthentifizierung oder das Beenden von Sitzungen bei Bedarf umfassen.

Häufig wird das Sitzungscontainment in Situationen eingesetzt, in denen die Risikobewertungen während einer Sitzung steigen. Diese Kontrollen reduzieren die potenziellen Auswirkungen eines Angriffs und vereinfachen die Reaktion auf Vorfälle.

Wo adaptive Zugriffskontrolle den größten Wert liefert.

Adaptive Zugriffskontrolle ist darauf ausgelegt, das Prinzip der geringsten Privilegien umzusetzen und das Risiko von Missbrauch oder Kontoübernahmeangriffen zu verringern. Wenn sie richtig implementiert wird, balanciert sie Sicherheit und Benutzererfahrung und reduziert die Belastung für IT-Helpdesks und Sicherheitsteams.

Wie verringert sie die Auswirkungen von Kontoübernahmen?

Adaptive Zugriffskontrolle überwacht kontinuierlich Benutzersitzungen und kann während einer Benutzersitzung Durchsetzungsmaßnahmen ergreifen. Wenn das Konto eines Benutzers kompromittiert ist, erhöht sich die Wahrscheinlichkeit der Entdeckung und die Fähigkeit des Angreifers, böswillige Aktionen durchzuführen und lateral im Netzwerk zu agieren, wird eingeschränkt.

Wie verbessert sie den Zugang für Auftragnehmer und Dritte?

Der Zugang von Auftragnehmern und Dritten birgt Risiken, da er den Zugriff auf Unternehmensressourcen von unbekannten und nicht verwalteten Geräten ermöglicht. Adaptive Zugriffskontrolle hilft, die Identität zu überprüfen und das Risiko für den Drittbenutzer und das Gerät zu bewerten. Darüber hinaus können Organisationen den Zugang und die Berechtigungen einschränken und zeitlich begrenzten Zugang implementieren, um das Risiko für diese Sitzungen zu managen.

Häufige Fallstricke und wie man sie vermeidet

Adaptive Zugriffskontrolle benötigt qualitativ hochwertige Daten und eine sorgfältige Konfiguration, um erfolgreich zu sein. Andernfalls besteht das Risiko von falsch positiven oder falsch negativen Erkennungen, die die Benutzererfahrung oder die Unternehmenssicherheit beeinträchtigen.

Was verursacht falsch positive Erkennungen und Benutzerfriktionen?

Falsch positive Erkennungen können unnötige Benutzerfriktionen verursachen, da Benutzer zusätzliche Verifizierungen durchführen müssen und möglicherweise nicht auf die angeforderte Funktionalität zugreifen können. Häufige Ursachen für diese Probleme sind:

• Geräuschhafte Signale
• Inkonsistente Baselines
• Übermäßig strenge Schwellenwerte

Zum Beispiel kann der Risikowert eines reisenden oder remote arbeitenden Mitarbeiters zusätzliche Durchsetzungsmaßnahmen auslösen. Wenn dies der Fall ist, kann es die Produktivität beeinträchtigen, die Akzeptanz der Lösung untergraben oder dazu führen, dass Benutzer nach Workarounds suchen, die zusätzliche Risiken für das Unternehmen einführen.

Was erzeugt blinde Flecken?

Adaptive Zugriffskontrolle kann einige Signalblinde Flecken aufweisen, wie unvollständige Sichtbarkeit eines Geräts, fehlende Telemetrie oder undefinierte Richtlinien für bestimmte Apps. Darüber hinaus können Richtlinien veraltet sein, wenn sich Umgebungen und Systeme ändern.

Wenn Daten fehlen, sollten diese Unbekannten als Zeichen potenzieller Risiken betrachtet werden, anstatt ignoriert zu werden. Andernfalls könnten Signalunterbrechungen und blinde Flecken absichtlich ausgenutzt werden, um Warnsignale zu verbergen und Unternehmensrichtlinien zu unterlaufen.

Wie sollten Richtlinien eingeführt und angepasst werden?

Richtlinien sollten schrittweise eingeführt werden, damit sie überwacht, getestet und angepasst werden können, bevor zur nächsten Phase übergegangen wird. Alle Informationen über diesen Prozess sollten ebenfalls dokumentiert werden, um zukünftige Fehlersuche zu unterstützen.

Nach der Bereitstellung des Systems sollten regelmäßige Überprüfungen durchgeführt werden, um potenzielle Probleme und veraltete Richtlinien zu identifizieren. Darüber hinaus sollten Organisationen Richtlinien und Verfahren zur Verwaltung von Ausnahmen definieren, um sicherzustellen, dass sie zeitlich begrenzt und notwendig sind und die Sicherheit nicht untergraben.

Häufig gestellte Fragen zur adaptiven Zugriffskontrolle

Ist adaptive Zugriffskontrolle dasselbe wie bedingte Zugriffskontrolle?

Adaptive Zugriffskontrolle und bedingte Zugriffskontrolle nutzen beide den Kontext, um bei der Entscheidungsfindung über den Zugriff während der Anmeldung zu helfen. Allerdings funktioniert die adaptive Zugriffskontrolle auch während einer aktiven Sitzung und bewertet bei Bedarf neu, basierend auf Änderungen der Risikobewertungen.

Erfordert adaptive Zugriffskontrolle immer MFA?

MFA ist eine mögliche Durchsetzungsmaßnahme für adaptive Zugriffskontrolle, aber nicht die einzige Option. Weitere mögliche Maßnahmen umfassen die Einschränkung von Aktionen während einer Sitzung, die Verkürzung der Sitzungsdauer oder das vollständige Blockieren von Hochrisiko-Zugriffsversuchen.

Welche Signale sind am wichtigsten, wenn die Gerätestellung unbekannt ist?

Unbekannte Gerätestellung sollte als höheres Risiko behandelt werden, da sie hochriskante Signale maskieren könnte. Um diese Probleme auszugleichen, kann adaptive Authentifizierung eine verstärkte Authentifizierung, eine Reduzierung der Berechtigungen oder eine Zugangskontrolle zu sensiblen Informationen erfordern. Gerätevertrauen ist oft grundlegend für das Zugriffsmanagement, da ein kompromittiertes Gerät die Organisation selbst in den Händen eines legitimen, vertrauenswürdigen Benutzers gefährden könnte.

Wie sollten Richtlinien Reisen ohne ständige Sperrungen handhaben?

Richtlinien können Reisen auf verschiedene Arten handhaben, mit der Möglichkeit, die Durchsetzung und Herausforderungen nach Bedarf zu eskalieren. Eine Richtlinie kann beispielsweise eine verstärkte Authentifizierung erfordern oder den Zugriff für reisende Geräte einschränken. Risiken können auch durch die Kombination von Standort mit anderen Signalen und durch strenge Regelungen zur Nutzung temporärer Richtlinienausnahmen gemanagt werden.

Wie sollten Organisationen adaptive Zugriffssteuerungsrichtlinien implementieren?

Adaptive Zugriffssteuerungsrichtlinien sollten über einen gestuften, kontrollierten Prozess implementiert werden. Wichtige Schritte umfassen:

• Identifizierung sensibler Ressourcen, die geschützt werden sollen
• Auswahl von Signalen zur Erfassung und Analyse
• Definition von Risikoständen basierend auf erfassten Signalen
• Zuordnung von Durchsetzungsmaßnahmen zu Risikoständen
• Durchführung von Tests vor der Bereitstellung
• Schrittweise Einführung
• Testen und Anpassen der Richtlinien in der Produktion

Während dieses Prozesses ist Governance entscheidend für die Sicherheit. Organisationen sollten alle Aktionen protokollieren, regelmäßige Überprüfungen durchführen, die Erklärbarkeit aller Richtlinien sicherstellen und alle Ausnahmen einschränken und regeln.

Nach der Bereitstellung sollte die adaptive Zugriffssteuerung vorhersehbare Durchsetzungsmaßnahmen mit einer niedrigen Rate an Fehlalarmen haben. Darüber hinaus sollte ein effektives System messbare Verbesserungen in Bezug auf Bedrohungscontainment, Benutzererfahrung und IT-Helpdesk-Anfragen im Zusammenhang mit Anmeldungen aufweisen.