Das Konzept des Cleanroom für eine sichere Administration

Eine Bastion ist ein militärisches Bauwerk, das aus einer Festungsanlage hervorragt. Wir können daraus schließen, dass im Bereich Informatik der Begriff „Bastion” ein Host ist, der einem externen (nicht vertrauenswürdigen) Netzwerk ausgesetzt ist. Im Normalfall zielt ein Bastion Host darauf ab, ein Netzwerk oder einen Teil des Netzwerkes vor externen Bedrohungen zu schützen; er stellt folglich das am meisten ausgesetzte Element dar, welches von der höchsten Anzahl an externen Angriffen bedroht wird.  Wenn eine Bastion „fällt”, ist die ganze Organisation betroffen.

Die privilegierten Zugänge zum Informationssystem einer Organisation waren schon immer ein kritischer Punkt. Dennoch haben sich die Gewohnheiten geändert mit der Weiterentwicklung der Beschränkungen und Herausforderungen (Gruppierung von Verwaltungen, Zentralisierung etc.). Heutzutage wird eine Administrations-Aufgabe nicht immer in einem internen oder dedizierten Netzwerk durchgeführt, sondern potenziell von außen oder sogar von einem externen Dienstleister, dessen Umgebung (technisch und operativ) nicht unbedingt vom Auftraggeber beherrscht wird.

Nach dieser Präsentation von Antworten, die eine klassische PAM-Lösung (Privileged Access Management) auf die Sicherheits-Herausforderungen der privilegierten Zugänge bietet, präsentiert der vorliegende Artikel innovative Antworten, die Systancia mit der Lösung Systancia Cleanroom (ehemals IPdiva Cleanroom) bietet, die Administrator-Zugänge mit einer isolierten und kontrollierten Arbeitsumgebung zur Einmalverwendung sichert.

PAM-Lösung oder sogenannter Bastion Host

Es ist unausweichlich für jede Organisation, die Aktionen der Power User, die sich in einem externen oder internen Netzwerk befinden, zu verfolgen ([01]). Die Antwort auf die Problematik der Beherrschung und der Kontrolle solcher Aktionen ist der Einsatz eines Produkts des Typen PAM.

Eine PAM-Lösung kann als ein Bastion Host in der IT angesehen werden, der es ermöglicht, die Power User zu verfolgen und zu überwachen (mit oder ohne Video-Aufzeichnung) sowie eventuell in Echtzeit die Daten und das Verhalten zu analysieren, um verdächtige oder anormale Aktionen aufzudecken. Ein PAM-Produkt kann auch Funktionen eines Tresors oder die Verwaltung sekundärer Logins oder Kennungen bieten (in Verbindung mit den administrierten Ressourcen). Eine PAM-Lösung kann darüber hinaus bei der Aufdeckung von Cyber-Attacken vom ersten Versuch bis zur nachträglichen Analyse helfen.

Zusammenfassend kann man sagen, dass eine PAM-Lösung technisch interessant ist für die Verwaltung und Überwachung der privilegierten (internen und/oder externen) Konten. Die französische Datenschutzbehörde ANSSI erinnert in [02] daran, dass es wichtig ist, bei der Wahl, dem Einsatz und dem Betrieb einer solchen Lösung wachsam zu sein. 

Wie kann jedoch der Fall eines IT-Dienstleisters oder der Remote-Administration von einem nicht beherrschten PC behandelt werden? Es ist in der Tat illusorisch zu glauben, dass ein dedizierter PC für jedes administrierte Netzwerk verwendet wird. Als Beispiel erwähnt der Artikel [01] die Ausbreitung eines Virus zwischen zwei verschiedenen Netzwerken, die von dem gleichen Dienstleister administriert werden.

Das Konzept des Cleanroom

Als Spezialist der Virtualisierung, der Sicherheit der Informationssysteme und des digitalen Vertrauens hat Systancia die Technologien VDI (Virtual Desktop Infrastructure), VPN (Virtual Private Network), PAM (Privileged Access Management) SSO (Single Sign-On) kombiniert, um eine innovative und globale Sicherheits-Lösung anzubieten, die über einen klassischen Bastion Host hinausgeht: Systancia Cleanroom.

Die Lösung Systancia Cleanroom ist für die Sicherheit der Administrator-PCs zugeschnitten; insbesondere trennt sie die Administrations-Umgebung von der gewöhnlichen Arbeitsumgebung. Das Angebot Systancia Cleanroom ermöglicht eine sichere Administration eines Informationssystems und bietet die folgenden Funktionalitäten:

• Bereitstellung eines virtuellen PCs, der komplett abgedichtet ist (das heißt ohne Anbindung an den PC, auf dem er ausgeführt wird) vollständig durch die administrierte Organisation kontrolliert wird, und (vor allem) zur Einmalverwendung dient;
• Überwachung der von einem Administrator an den Ressourcen durchgeführten Aktionen mit Video-Aufzeichnung für eine nachträgliche Analyse, aber auch zur Analyse in Echtzeit des Verhaltens (mit Alarmen und Vorsichtsmaßnahmen);
• Verstärkung der Verbindungen auf die Ressourcen (Abdeckung der Passwörter und Anmeldedaten) und der Passwort-Strategie (Verwaltung der geheimen Elemente);
• Antwort auf die Erwartungen für sichere Mobilität eines Administrators mit einer Anmeldung, die Vertraulichkeit und Integrität des Datenflusses gewährleistet.

Die Lösung Systancia Cleanroom ist disruptiv, denn ihr Ansatz einer Arbeitsumgebung zur Einmalverwendung bricht mit dem Einsatz einem sogenannten Bastion Host als PAM-Lösung. Der virtuelle wird PC bei jeder Anmeldung auf Basis eines von der Organisation definierten Master generiert. So ist es möglich, auf verschiedene Master mit den geeigneten Mitteln zur Administration von Datenbanken, Business-Applikationen, Servern etc. zu definieren. Wenn der Power User seine Arbeit beendet, wird der PC gelöscht, auf dem die Arbeit durchgeführt wurde, und bei der nächsten Anmeldung wird eine neue Umgebung (auf der Basis des Master) zur Verfügung gestellt – ohne Spuren der vorherigen Arbeiten.

Durch die Kombination der Bausteine Virtualisierung (VDI), Cybersicherheit (VPN und PAM) sowie digitales Vertrauen (SSO) bietet Systancia Cleanroom eine technische Antwort auf die Trennung von Benutzer und Administrator (die zu administrierende Organisation stellt den oder die Administrations-PCs über personalisierbare Master bereit), aber auch auf missbräuchliche Öffnung externer Zugänge auf ein Informationssystem (ein einziger angebotener Zugang ermöglicht es, den Power User zu identifizieren und anzumelden und seinen Datenfluss zu schützen). Schließlich ermöglicht das Bauteil SSO, das in Systancia Cleanroom implementiert ist, die Gefahren im Zusammenhang mit dem Turnover der Power User sowie die Gefahren des „Post-It”-Effekts zu vermeiden. Tatsächlich hat ein Power User, der Systancia Cleanroom verwendet, keine Kenntnis der Passwörter für Zugang zu den administrierten Ressourcen, sondern nur der notwendigen Kopplung für Identifizierung und Anmeldung an Systancia Cleanroom.

In [03] kündigt Sunzi an: „Die Kunst […] besteht darin, den Feind von Ihrem Lager fernzuhalten und von allen Posten, die Ihnen in einiger Konsequenz erscheinen.” Systancia Cleanroom verschreibt sich auf natürliche Weise dieser Logik und bietet die einzige Lösung, die den wachsenden Sicherheitsanforderungen der Administrator-PCs entspricht.

Entdecken Sie Systancia Cleanroom

Referenzen

[01]        Wie kann man den Administrator-PC sichern?

[02]        Empfehlungen zur sicheren Administration von Informationssystemen, ANSSI, Version 2.0 vom 24.04.2018

[03]       Die Kunst des Krieges, Sunzi.