Was ist Just-in-Time-Zugriff (JIT)?

Just-in-Time (JIT) löst das Problem übermäßiger Berechtigungen, indem es erhöhte Berechtigungen nach Bedarf und in begrenztem Umfang zuweist. Dies beseitigt Konten mit dauerhaften, erhöhten Berechtigungen in Unternehmenssystemen.

Viele Cyberangriffe betreffen kompromittierte privilegierte Konten, die von Angreifern ins Visier genommen werden, um von ihrem erweiterten Zugriff zu profitieren. JIT-Zugriff hilft, dieses Risiko zu beseitigen, indem der Zugriff, den ein Konto hat, reduziert und das Zugriffsmanagement mit dem Prinzip der minimalen Berechtigung und dem Zero-Trust-Sicherheitsmodell in Einklang gebracht wird.

Warum Just-in-Time-Zugriff wichtig ist

Überprovisionierte Konten sind eine häufige Herausforderung für die Sicherheit von Unternehmen. Die meisten Cyberangriffe beinhalten, dass Angreifer Zugriff auf ein privilegiertes Konto erhalten und dann die damit verbundenen Berechtigungen nutzen, um ihre Ziele zu erreichen. Wenn Benutzern Berechtigungen zugewiesen werden, die sie nicht benötigen – oder nicht immer benötigen – erweitert dies die Anzahl der Konten, die ein Angreifer ins Visier nehmen kann.

JIT-Zugriff ist wichtig, da er hilft, das Risiko im Zusammenhang mit privilegierten Konten zu reduzieren. Anstatt dauerhafte, „immer aktive“ Berechtigungen zuzulassen, bietet JIT Zugriff nach Bedarf an. Dies ermöglicht es, privilegierten Zugriff standardmäßig zu deaktivieren und nur nach Abschluss einer Risikoüberprüfung zu aktivieren.

JIT-Zugriff ist auch wichtig für die Einhaltung von regulatorischen Anforderungen und Unternehmensprogrammen für Zero Trust. Überprovisionierte Konten können gegen Anforderungen verstoßen, den Zugriff auf geschützte Daten zu kontrollieren, und erhöhen das Risiko einer meldepflichtigen Datenpanne für eine Organisation.

Kernkomponenten des Just-in-Time-Zugriffs

JIT-Zugriff wird durch eine Kombination aus temporären Berechtigungen implementiert, die über automatisierte kontextabhängige Richtlinien sowie Bereitstellung und Deaktivierung verwaltet werden. Darüber hinaus müssen diese Richtlinien durch Sicherheitskontrollen unterstützt werden, um sicherzustellen, dass der Zugriff nach Bedarf gewährt werden kann, während das Risiko von Umgehungen der Zugriffskontrolle beseitigt wird.

Schlüsselelemente des Just-in-Time-Zugriffs

Komponente	Beschreibung	Sicherheits- / Geschäftsauswirkungen
Temporäre Berechtigungen	Zugriff nur für eine begrenzte Sitzung oder einen definierten Zeitraum gewährt	Reduziert die ständige Exposition; begrenzt das seitliche Risiko
Kontextbewusste Richtlinien	Durchsetzung basierend auf Identität, Gerät, Standort und Risikofaktoren	Blockiert abnormale oder riskante Zugriffsversuche
Automatisierte Bereitstellung	Berechtigungen werden automatisch nach Genehmigung gewährt	Minimiert IT-Verzögerungen; gewährleistet schnellen, sicheren Zugriff
Automatisierte Deprovisionierung	Berechtigungen werden automatisch widerrufen, wenn die Zeit abläuft	Eliminiert Lücken durch menschliche Fehler oder Übersehen
Audit & Protokollierung	Kontinuierliche Aufzeichnung, wer was, wann und warum zugegriffen hat	Vereinfacht die Compliance-Berichterstattung; erhöht das Vertrauen
Granulare Ressourcensteuerungen	Zugriff ist an spezifische Apps/Ressourcen gebunden, nicht an breite Systeme	Reduziert den Explosionsradius von Kontonutzung
Zentralisierte Protokollierung & Berichterstattung	Einheitliche Berichterstattung über alle Zugriffsereignisse	Vereinfacht Audits, beschleunigt die Compliance

Temporäre Berechtigungen

JIT-Zugriff ersetzt dauerhafte Berechtigungen durch temporäre, zeitlich begrenzte. Anstelle von dauerhaftem Zugriff hat ein Konto für einen bestimmten Zeitraum oder die Dauer einer bestimmten Sitzung Zugriff. Dies eignet sich gut für Administrationsaufgaben, den Zugriff von Drittanbietern und andere Szenarien, in denen bestimmte Berechtigungen nur zeitweise benötigt werden.

Dies verringert die Auswirkungen eines kompromittierten Kontos, indem die Menge an Schaden, die damit angerichtet werden kann, reduziert wird. Wenn der Zugriff verweigert oder abläuft, hat der Angreifer keinen privilegierten Zugriff, im Gegensatz zu „immer aktiven“ Berechtigungen. 

Kontextbewusste Richtlinien

JIT-Zugriff unterscheidet sich von dauerhaften Berechtigungen, da der Zugriff nach Bedarf gewährt wird. Damit dies jedoch eine nützliche Unterscheidung ist, benötigt das System ein Mittel zur Bestimmung, ob eine Zugriffsanforderung legitim ist.

JIT-Zugriff verwendet kontextuelle Informationen (Benutzer, Gerät, Standort und andere Risikosignale), um einen Risikowert für eine Anfrage zu definieren, der verwendet wird, um zu bestimmen, ob die Anfrage genehmigt werden sollte oder ob zusätzliche Authentifizierung erforderlich ist. Richtlinien können auch so festgelegt werden, dass der Zugriff unter bestimmten Szenarien immer blockiert wird, wie zum Beispiel Zugriffsanforderungen außerhalb der Geschäftszeiten oder von unbekannten Geräten.

Automatisierte Bereitstellung und Deaktivierung

Nachdem eine Zugriffsentscheidung getroffen wurde, müssen die Berechtigungen dem Konto zugewiesen und am Ende des Zeitfensters oder der Sitzung entzogen werden. Automatisierung ist entscheidend, um dies zu tun, ohne den normalen Geschäftsbetrieb negativ zu beeinflussen.

Durch Automatisierung reduziert JIT-Zugriff die IT-Kosten und verbessert die Sicherheitslage. Die automatische Deaktivierung beseitigt das Risiko, dass Berechtigungen am Ende einer Benutzersitzung bestehen bleiben. Darüber hinaus verbessert die Protokollierung und Prüfung aller Zugriffsentscheidungen und -aktionen die Sichtbarkeit und vereinfacht die Einhaltung.

Wie Just-in-Time-Zugriff in der Praxis funktioniert

In der Praxis ist JIT-Zugriff ein automatisierter Prozess, der für den Benutzer weitgehend unsichtbar sein sollte. Betrachten Sie beispielsweise den Fall, dass ein Auftragnehmer für zwei Stunden Zugriff auf Unternehmensressourcen benötigt, um eine Aufgabe abzuschließen. 

Das würde ungefähr so aussehen:

• Der Auftragnehmer stellt eine Anfrage für den Zugriff.
• Der Zugriffsantrag wird basierend auf dem Kontext und den Unternehmensrichtlinien bewertet.
• Wenn genehmigt, werden die Berechtigungen automatisch dem Benutzer gewährt.
• Der Auftragnehmer hat für zwei Stunden Zugriff.
• Am Ende von zwei Stunden werden die Berechtigungen automatisch und sofort widerrufen.

Mit JIT-Zugriff kann der Auftragnehmer auf alle Unternehmensressourcen zugreifen, die er aus legitimen Gründen benötigt, sowohl in der Cloud als auch vor Ort und an entfernten Standorten. Das Risiko für das Unternehmen ist jedoch begrenzt, da der Zugriff auf eine einzelne Sitzung oder einen bestimmten Zeitraum beschränkt ist und fallweise gewährt wird.

Vorteile des Just-in-Time-Zugriffs

Während Unternehmen daran arbeiten, Zero Trust zu übernehmen, ist JIT-Zugriff entscheidend, um Zugriff mit minimalen Rechten in großem Maßstab umzusetzen. Durch die Umsetzung erreichen Organisationen nicht nur ihre Ziele im Bereich Zero Trust, sondern können auch die Sicherheit, die Einhaltung von Vorschriften und die betriebliche Effizienz verbessern.

Sicherheits- und Compliance-Vorteile des JIT-Zugriffs

Vorteil	Beispielszenarien	Organisatorischer Wert
Angriffsfläche reduzieren	Die Admin-Berechtigungen laufen nach 2 Stunden ab.	Begrenzt die Möglichkeiten für Angreifer, Schwachstellen auszunutzen.
Verteidigung gegen Identitätsdiebstahl	Ein gestohlenes Konto ist nutzlos, sobald das Zugriffsfenster endet.	Neutralisiert die Auswirkungen kompromittierter Anmeldeinformationen.
Minderung von Insider-Bedrohungen	Der Anbieter kann keinen fortlaufenden Zugriff aufrechterhalten.	Reduziert das Potenzial für Missbrauch durch Insider.
Einhaltung von Vorschriften	Protokolle zeigen, wer auf sensible Daten zugegriffen hat und wann.	Beweist die Einhaltung von GDPR, HIPAA, SOX.
Erleichtert die Auditbereitschaft.	Detaillierte Aufzeichnungen sind zur Einsicht verfügbar.	Reduziert Zeit und Kosten während Compliance-Audits.
-Effizienz	Automatisierte Deprovisionierung von temporären Konten.	Reduziert die Arbeitslast der IT; verhindert menschliche Fehler.
Benutzerproduktivität.	Zugriffsanforderungen auf Abruf werden sofort genehmigt.	Ermöglicht Arbeiten ohne Überprovisionierung.
Zentralisierte Cato-Auditberichte.	Eindeutige Informationsquelle für Regulierungsbehörden.	Beschleunigt die Auditbereitschaft und reduziert Strafen.

Sicherheitsvorteile.

JIT-Zugriff ist hauptsächlich darauf ausgelegt, die Sicherheitslage einer Organisation zu verbessern. Einige der wichtigsten Vorteile, die er bietet, sind:

• Reduziertes Risiko von Account-Übernahme (ATO)-Angriffen.
• Erkennung und Verhinderung von seitlicher Bewegung von Angreifern innerhalb der Umgebung einer Organisation.
• Verringerung des Risikos im Zusammenhang mit Insider-Bedrohungen.

Compliance- und Auditvorteile.

Neben der Verringerung des Risikos von Datenverletzungen und anderen meldepflichtigen Vorfällen bietet der JIT-Zugriff auch zusätzliche Compliance-Vorteile, darunter:

• Audit-Protokolle für Zugriffsanfragen
• Ausrichtung an den Anforderungen des Zugriffsmanagements gemäß GDPR, PCI DSS, HIPAA und anderen Vorschriften
• Nachweis des Zugriffsmanagements mit minimalen Rechten
• Verringerung des Risikos von Geldstrafen und Sanktionen aufgrund unbefugten Zugriffs auf geschützte Daten

Operative Effizienz

Der JIT-Zugriff ist darauf ausgelegt, die Sicherheit zu erhöhen, ohne zusätzliche Arbeitslast für die Betriebsteams einzuführen. Wesentliche Elemente davon sind:

• Automatisierte Bereitstellung und Deaktivierung von Rechten
• Erkennung von überprovisionierten Konten
• Unterstützung bei der Erkennung und Behebung von Vorfällen

Cato Networks und Just-in-Time-Zugriff

Die Cato SASE Cloud-Plattform implementiert den JIT-Zugriff als Teil ihrer konvergierten, identitätsbewussten Zero Trust Network Access (ZTNA) Funktion. ZTNA ist in jedem der globalen PoPs von Cato enthalten und ermöglicht nahtloses, skalierbares Identitäts- und Zugriffsmanagement (IAM) sowie die Durchsetzung von Richtlinien in der gesamten IT-Umgebung einer Organisation. Diese Integration beseitigt die Notwendigkeit für punktuelle Sicherheitslösungen und ermöglicht die Durchsetzung von Richtlinien in Echtzeit mit kontinuierlicher Validierung.

Häufig gestellte Fragen zum Just-in-Time-Zugriff

Welches Problem löst der Just-in-Time-Zugriff?

Der Just-in-Time (JIT)-Zugriff befasst sich mit dem Problem überprovisionierter Konten, die häufig von Cyberangreifern ins Visier genommen und genutzt werden. Der JIT-Zugriff gewährt einen eingeschränkten Zugang nach Bedarf und widerruft diesen automatisch nach Ablauf, wodurch der Schaden, den ein kompromittiertes Konto anrichten kann, begrenzt wird.

Wie unterscheidet sich der JIT-Zugriff von traditionellen Zugriffsmodellen?

Traditionelle Zugriffsmodelle gewähren dauerhaften Zugang zu verschiedenen Ressourcen, selbst wenn dieser Zugang nur sporadisch benötigt wird. Im Gegensatz dazu erzwingt JIT das Prinzip der minimalen Berechtigung und widerruft den Zugriff nach einer festgelegten Zeit. Daher ist der JIT-Zugriff stärker mit den Prinzipien der Zero-Trust-Sicherheit und sicherer verbunden.

Unterstützt der JIT-Zugriff die Compliance-Anforderungen?

Ja, der JIT-Zugriff entspricht den Anforderungen an den minimalen Berechtigungszugriff, die von verschiedenen Vorschriften vorgeschrieben sind, und erstellt Prüfprotokolle aller Zugriffsanforderungen. Dies erleichtert es Organisationen, nachzuweisen, dass sie den Zugriff auf geschützte Daten und Ressourcen ordnungsgemäß kontrolliert haben.

Ist der JIT-Zugriff nur für Administratoren?

Nein, der JIT-Zugriff gilt für alle digitalen Konten, einschließlich IT-Administratoren, Drittanbietern und Endbenutzern. Zum Beispiel kann einem Auftragnehmer vorübergehender Zugriff auf bestimmte Anwendungen innerhalb der Umgebung einer Organisation gewährt werden. Das Ziel des JIT-Zugriffs ist es, das Prinzip der minimalen Berechtigung universell anzuwenden, nicht nur für Administratoren.

Wie ermöglicht Cato den Just-in-Time-Zugriff?

Die Cato SASE Cloud-Plattform implementiert den JIT-Zugriff als Teil ihrer ZTNA-Funktion und wendet identitätsbewusste, kontextgesteuerte Richtlinien an. Der Zugriff wird nur für bestimmte Anwendungen und für definierte Zeitfenster gewährt. Richtlinien werden global über das SASE-Cloud-Backbone mit sofortigem Widerruf durchgesetzt.

Kann der JIT-Zugriff mit MFA funktionieren?

Ja, der JIT-Zugriff kann mit MFA kombiniert werden, um ein stärkeres Zugriffsmanagement zu gewährleisten. Cato integriert sich mit IAM/MFA-Anbietern für eine nahtlose Durchsetzung von Richtlinien.

Wie skaliert JIT über hybride und Multi-Cloud-Umgebungen?

Die Cato SASE Cloud-Plattform implementiert JIT einheitlich über Cloud, Rechenzentren und Remote-Zugriff. Die zentrale Durchsetzung vermeidet die Inkonsistenzen und den Aufwand, die mit zusätzlichen oder punktuellen JIT-Zugriffslösungen verbunden sind.