Die Trends im Identity- und Access-Management (IAM) entwickeln sich weiter. Ja, Bereiche wie Single Sign-on (SSO) und Zero Trust bleiben von entscheidender Bedeutung. Doch neue Einflussfaktoren kommen hinzu.
Hier sind einige der wichtigsten Trends im IAM-Markt:
Die Maschinenidentität ist die nächste Grenze des IAM
Zero Trust dreht sich um die Absicherung von IT-Infrastruktur und Daten durch ein Framework, das den Schutz von Remote-Mitarbeitern, hybriden Cloud-Umgebungen und der IT im Allgemeinen gewährleistet. Es basiert auf der Annahme, dass jedes Netzwerk jederzeit durch interne oder externe Angriffe gefährdet ist.
„Das Thema des Jahres 2022 lautet: Sichern Sie Ihre Benutzer und die Geheimnisse Ihrer Infrastruktur mit Zero-Trust-Netzwerkzugriff“, sagte Darren Guccione, Mitgründer und CEO von Keeper Security.
Zero Trust bedeutet, dass eine Person nicht allein deshalb vertrauenswürdig ist, weil sie sich im Netzwerk befindet. Sie muss ihre Identität nachweisen und erhält nur begrenzten Zugriff auf die Systeme, die sie benötigt. Doch neben dem Schutz und der Überprüfung individueller Identitäten besteht die nächste Herausforderung nun darin, Maschinenidentitäten zu verifizieren.
„Unternehmen haben in IAM investiert, soweit es um Menschen geht. Initiativen wie Zero Trust erfordern jedoch auch starke Identitäten für Maschinen, die verwaltet werden müssen“, sagte Chris Hickman, CSO bei Keyfactor.
„Das treibt die Einführung von Zertifikaten im gesamten Unternehmen weiter voran. Wie die Identität von Menschen müssen auch Maschinenidentitäten konsistent verwaltet werden, um Risiken zu minimieren.“
Identitäten über alle Umgebungen hinweg ermitteln
Hickman von Keyfactor sagte, dass der Bedarf an Identitäten über alle Umgebungen hinweg wächst.
„Die Cloud-Transformation verschiebt die Grenzen der Identität weiter“, sagte Hickman.
„Die passenden Lösungen zu finden, die Identitäten sowohl von Menschen als auch von Geräten in hybriden Umgebungen ermöglichen, ist eine Herausforderung. Es bleibt entscheidend, dass die Lösungen zudem agil sind, um zeitnah auf Vorfälle oder Sicherheitsverletzungen reagieren zu können.“
Um Identitäten über alle Umgebungen hinweg zu ermitteln, ist Automatisierung der Schlüssel zur Skalierung.
„Manuelle Prozesse und Konfigurationsmanagement bremsen das Wachstum und binden Ressourcen, die für andere kritische Aufgaben benötigt werden“, sagte Hickman.
„Die weitgehend manuelle Verwaltung von Menschen- und Maschinenidentitäten schränkt die Skalierungsfähigkeit eines Unternehmens erheblich ein.“
Zero Trust beschleunigt
All dies wird den Hype um Zero Trust weiter anheizen. Je mehr Unternehmen sich dieser Philosophie verschreiben, desto mehr auf Zero Trust basierende Sicherheitstechnologie werden sie einsetzen müssen.
„Cloud Computing, verteilte Belegschaften und die Remote-Konnektivität für Anbieter und Partner werden die Einführung von Zero-Trust-Netzwerkzugriff weiter beschleunigen“, sagte Guccione von Keeper Security.
Zero-Trust-Netzwerkzugriff ist schließlich die einzige praktikable Lösung in einer Welt, in der der Netzwerkperimeter nicht mehr existiert. Neben der Absicherung der Netzwerkkonnektivität für ihre verteilten Belegschaften müssen Unternehmen sicherstellen, dass sich Drittanbieter und Geschäftspartner sicher mit den benötigten Netzwerkressourcen verbinden können. Ein Zero-Trust-Ansatz umfasst eine starke Benutzer- und Geräteauthentifizierung, eine rollenbasierte Zugriffskontrolle (RBAC) mit Zugriff nach dem Prinzip der geringsten Rechte sowie eine umfassende Passwortsicherheit. Dazu gehören starke, eindeutige Passwörter für jedes Benutzerkonto und eine Multi-Faktor-Authentifizierung (MFA), sagte Guccione.
Darüber hinaus müssen Unternehmen ihr Management von IT-Geheimnissen stärken, da Datenumgebungen komplexer werden und die Zahl der verbundenen Geräte und Apps exponentiell wächst. Durch die kontinuierliche Abkehr vom On-Premises-Computing hin zu Multi-Cloud- und hybriden Cloud-Umgebungen sowie von monolithischen Anwendungen hin zu modernen Microservices verbinden sich immer mehr Geräte und Anwendungen mit den Unternehmensnetzwerken. Diese Entwicklung hat zu einem Anstieg von Geheimnissen in der IT-Infrastruktur geführt, etwa Zertifikaten, API-Schlüsseln und Anmeldedaten für das Remote Desktop Protocol (RDP).
„Die Absicherung menschlicher Benutzer mit Zero-Trust-Netzwerkzugriff ist von entscheidender Bedeutung. Ebenso wichtig ist jedoch die Absicherung von Infrastrukturgeheimnissen, die den Zugriff auf hochprivilegierte Systeme und Daten ermöglichen und es Geräten und Apps gestatten, Cloud-Ressourcen zu nutzen und sensible Geschäftsprozesse auszuführen“, sagte Guccione.
„Aus diesem Grund sind Geheimnisse für Cyberkriminelle zur Durchführung hochkomplexer Cyberangriffe besonders wertvoll. So befanden sich unter den riesigen Datenmengen, die während des NVIDIA-Sicherheitsvorfalls befanden sich Codesignaturzertifikate, die Bedrohungsakteure nun zur Verbreitung von Malware in freier Wildbahn verwenden.“
Daher können es sich Unternehmen nicht leisten, beim Management von Geheimnissen unstrukturiert vorzugehen. Sie müssen umfassende Zero-Trust-Lösungen für das Management von Geheimnissen einsetzen, um ihre Infrastrukturgeheimnisse zu organisieren und zu schützen.
Multi-Faktor-Authentifizierung
Sobald Sie einen klaren Überblick über die Daten in Ihrem Unternehmen haben, besteht der nächste Schritt darin, diese Daten zu nutzen, um die Angriffsflächen so weit wie möglich zu reduzieren. Eine Möglichkeit besteht darin, eine identitätsbasierte Zero-Trust-Architektur und Multi-Faktor-Authentifizierung zu implementieren.
Bei diesem Ansatz müssen alle Benutzer – unabhängig davon, ob sie sich innerhalb oder außerhalb des Unternehmensnetzwerks befinden – authentifiziert, autorisiert und kontinuierlich auf ihre Sicherheitskonfiguration und ihren Sicherheitsstatus überprüft werden, bevor ihnen Zugriff auf Anwendungen und Daten gewährt wird oder sie diesen behalten dürfen. Dazu gehört auch die Echtzeitprävention identitätsbasierter Angriffe durch den Einsatz bedingter Zugriffsrichtlinien.
„Lösungen sollten konsistente risikobasierte Richtlinien durchsetzen, um die Authentifizierung für jede Identität automatisch zu blockieren, zu erlauben, zu auditieren oder zu verstärken – und gleichzeitig eine reibungslose Anmeldung für legitime Benutzer sicherzustellen“, sagte Patrick McCormack, SVP of Platform Engineering bei CrowdStrike.
„Diese Richtlinien werden in Echtzeit auf Grundlage von Authentifizierungsmustern, Verhaltens-Baselines und individuellen Risikowerten definiert und durchgesetzt, um Identitäten mithilfe einer verstärkten Authentifizierung wie der Multi-Faktor-Authentifizierung zu verifizieren.“