Bewährte Verfahren für die Sicherheit | Blog

Integrationen für Backup and Recovery sind auf sichere Anmeldeinformationen für Workloads angewiesen. Schon eine einzige kompromittierte Anmeldeinformation kann den Zugriff weit über ein einzelnes System hinaus ermöglichen – und Angreifer wissen das.

Die beste statische Anmeldeinformation ist die, die Sie gar nicht erst haben. Stellen Sie, wo immer möglich, von einer auf Geheimnissen basierenden Authentifizierung auf verwaltete Identitäten oder andere „geheimnislose“ Ansätze um, sodass Anmeldeinformationen von der Plattform ausgestellt, geschützt und rotiert werden, anstatt manuell gespeichert und verwaltet zu werden. Wir sind uns jedoch bewusst, dass dies bei einigen Altsystemen und Konfigurationen nicht immer möglich ist.

Die gute Nachricht: Selbst bei der Verwendung von langlebigen Geheimnissen können Sicherheitsmaßnahmen Ihr Risiko und den Schadensumfang verringern.

Dieser Beitrag beschreibt eine praktische Vorgehensweise, die dazu beitragen kann, die Cyber-Resilienz Ihres Unternehmens zu gewährleisten: Rotieren Sie Anmeldedaten, minimieren Sie den Umfang und setzen Sie, wo immer möglich, bedingten Zugriff durch.

Die Grundlage: Drei zentrale Kontrollmaßnahmen

Eine solide Hygiene bei Anmeldedaten stützt sich auf drei Säulen: Rotation, das Prinzip der geringsten Berechtigungen und bedingter Zugriff. Auch wenn Sie nicht immer alle drei für jeden Anmeldedatentyp umsetzen können, sind dies die richtigen Ansatzpunkte für jede Umgebung:

Rotation und Überwachung: Wechseln Sie die Anmeldedaten regelmäßig aus und überprüfen Sie die Authentifizierungsaktivitäten auf Unregelmäßigkeiten.
Prinzip der geringsten Berechtigungen: Beschränken Sie die Berechtigungen so, dass die Anmeldedaten nur die erforderlichen Sicherungs- und Wiederherstellungsvorgänge ausführen können. Zu den praktischen Maßnahmen gehören:
- Trennen Sie Anmeldedaten nach Arbeitslasten.
- Beschränken Sie die Berechtigungen auf das erforderliche Minimum an Datensätzen, Standorten, Postfächern und Datenbanken.
- Vermeiden Sie weitreichende Administratorrollen, sofern dies nicht unbedingt erforderlich ist.
Zugriffskontrolle: Sofern unterstützt, legen Sie Richtlinien fest, um einzuschränken, wann und wo Anmeldedaten verwendet werden dürfen, beispielsweise:
- Vertrauenswürdige Standorte und IP-Bereiche
- Risikosignale
- Geräte-/Sitzungskontrollen

Wenn bedingter Zugriff nicht möglich ist, dient die Rotation als Ausgleichsmaßnahme

Nicht jeder Anmeldedaten-Typ erfüllt die Anforderungen des bedingten Zugriffs. In diesen Fällen begrenzt die Rotation die Nutzungsdauer gestohlener Anmeldedaten, und die Überwachung hilft Ihnen, Missbrauch schnell zu erkennen.Die Commvault-Richtlinienlegen Wert darauf, Passwörter, Geheimnisse und Anmeldedaten regelmäßig in allen Umgebungen zu rotieren. Für Single-Tenant-Azure-App-Registrierungen zum Schutz von M365-/D365-/Entra ID-Workloadsempfiehlt Commvault90-tägige Rotationszyklen. Viele gängige Sicherheits- und Compliance-Rahmenwerke (PCI DSS, ISO 27001, SOC 2, NIST) verlangen zudem ein konsequentes Passwortmanagement, einschließlich regelmäßiger Rotation und Überprüfung der Zugriffsrechte.

Wenden Sie sich an Ihr Sicherheitsteam

Die Hygiene bei Anmeldedaten ist am effektivsten, wenn sie konsequent umgesetzt wird. Stimmen Sie sich mit Ihrem Sicherheitsteam ab bezüglich:

Rotationsintervalle (nach Art der Anmeldedaten und Risikostufe).
Gestaltung der Richtlinien für bedingten Zugriff (was ist durchsetzbar, ohne die Automatisierung zu beeinträchtigen).
Regeln für privilegierten Zugriff, Protokollierungsanforderungen und Überprüfungszyklen.

Ressourcenleitfaden

Die folgenden Ressourcen bieten zusätzliche Hintergrundinformationen und umgebungsbezogene Anleitungen zum Schutz von Anmeldedaten und zu Zugriffskontrollen.