Jenseits der Netzwerkgrenzen: Umsetzung von Zero-Trust-IAM in Hybrid- und Multi-Cloud-Umgebungen

Moderne Umgebungen basieren auf Cloud-Plattformen, SaaS-Anwendungen und hybriden Infrastrukturen, wodurch Netzwerkgrenzen an Bedeutung verlieren. Die Identitätsverwaltung bietet den einheitlichsten Kontrollpunkt über alle Dienste, Anwendungen und Umgebungen hinweg. 

Eine Identitätszersplitterung entsteht, wenn Konten, Anmeldedaten und Berechtigungen auf voneinander getrennte Plattformen verteilt sind, was zu blinden Flecken und einer unzureichenden Governance führt. 

Die Anzahl der Maschinen identitäten steigt schneller als die Zahl der Mitarbeiter, und oft fehlt es an einem Lebenszyklusmanagement, einer Rotation und einer Überwachung– was ihren manuellen Schutz erschwert. 

Durch die Vereinheitlichung von Identitätssystemen, die Durchsetzung einer starken Authentifizierung, die kontinuierliche Überprüfung des Zugriffs unddie Beseitigung impliziter Vertrauensbeziehungen zwischen Systemen. 

Erfassen Sie alle Identitäten, konsolidieren Sie Plattformen, setzen Sie die Multi-Faktor-Authentifizierung (MFA) durch, automatisieren Sie die Governance, segmentieren Sie den Zugriff und wenden Sie Richtlinien zur kontinuierlichen Überprüfung an.

Sehen Sie sichhierdas Video mit dem zeitgestempelten Transkript an

Hallo zusammen, willkommen bei „Beyond the Perimeter“.

Ich finde, diese Sitzung hat einen tollen Titel.

Das wäre ein toller Titel für einen Film, aber äh, in dieser Sitzung werden wir nicht über
etwas aus einem Film zitieren.

Wir werden über Ihr IAM-System sprechen und darüber, wie Zero Trust Ihnen
dazu beitragen kann, Ihre IAM-Systeme zu schützen und Ihre Netzwerke sicherer zu machen.

Hier sind einige der wichtigsten Ziele, die wir in dieser Präsentation behandeln werden.

Wir werden darüber sprechen, warum Identität heute der neue Sicherheitsperimeter ist.

Außerdem werden wir alle zentralen Zero-Trust-IAM-Prinzipien behandeln, die unserer Meinung nach für
die für Ihr Identitäts- und Zugriffsmanagementsystem am wichtigsten sind.

Außerdem werden wir einige Strategien erörtern, mit denen wir den Zugriff in Ihrem Identitäts- und Zugriffsmanagementsystem vereinheitlichen und absichern können
und überprüfen können.

Am Ende werde ich Ihnen außerdem einen Fahrplan vorstellen, der Ihnen
hoffentlich praktische Ratschläge und konkrete Schritte liefert, mit denen Sie Zero Trust in Ihrem

IAM-Systeme umsetzen können, die Ihnen wirklich dabei helfen, den Einstieg zu finden und erste Erfolge zu erzielen – vielleicht sogar schon in nächster Zeit
Woche, in der Sie über Ihre Zero-Trust-Projekte nachdenken.

Mein Name ist Ron Robbins und ich bin Senior Product Manager hier bei Commvault. Ich arbeite im
Bereich „Identity Resilience“ und unterstütze Kunden dabei,

bei der Bewältigung ihrer Herausforderungen im Bereich der Identitätsresilienz in ihrem Unternehmen.

Lassen Sie uns gleich loslegen.

Das Wichtigste, was ich meiner Meinung nach bei der Vorbereitung auf diesen Vortrag gelernt habe –
Und was man meiner Meinung nach bei diesem Vortrag unbedingt im Hinterkopf behalten sollte  –, ist, dass

Die Identität ist die neue Perimetergrenze.

Früher beschränkte sich unsere Sicherheit doch nur auf die Firewall, oder?

Wir waren an traditionelle Netzwerkmodelle gewöhnt, bei denen

wir Firewalls und VPNs eingerichtet haben und davon ausgegangen sind, dass unser Netzwerk oder unser Rechenzentrum
durch diese Firewalls und VPNs geschützt ist.

Das ist nicht mehr der Fall.

Wissen Sie, wir haben neue Workloads und neue SaaS-Anwendungen hinzugefügt.

Wir haben unsere Infrastruktur um neue Cloud-Plattformen erweitert.

Und wie John Hawley es in einem Artikel im CSO Magazine aus dem Jahr 2012 formulierte, sagte er, dass unsere Rechenzentren
zunehmend stark fragmentiert sind.

Sie durchbrechen den behaglichen Sicherheitsbereich von Firewalls und VPNs – was meiner
Meiner Meinung nach ist das ein großartiges Bild, um darüber nachzudenken und uns die Situation vor Augen zu führen, in der wir uns befinden

heute befinden: Wir haben nicht mehr dieses traditionelle Netzwerk vor Ort, in dem wir
durch eine Firewall und ein VPN geschützt sind.

Aber wir haben uns weit darüber hinaus ausgebreitet.

Beispielsweise befinden sich die meisten von uns in einer hybriden Situation, in der wir über eine Lösung vor Ort

eine Lösung haben und zudem mit vielen Cloud-Plattformen arbeiten.

Ähm, unsere IM-Implementierungen stehen dadurch wirklich vor einer Herausforderung, und Geoff Cairns spricht dies in einem
Ein Artikel, den er anlässlich der Veröffentlichung der Forrester Wave™ verfasst hat.

Er sagt, dass heutige IM-Implementierungen durch einen unkontrollierten Zuwachs an Identitäten und zahlreiche Benutzerkonten
und Anmeldedaten über isolierte Systeme hinweg gekennzeichnet sind und dass wir als

.

Und das ist wirklich etwas, das wir in den Griff bekommen müssen, und es ist etwas, das
von Tag zu Tag zunimmt.

Berücksichtigt man zudem das Problem der genetischen KI, so wird diese explosionsartige
Zunahme dessen, was wir als nicht-menschliche Identität oder NHI bezeichnen.

CyberArk stellte 2025 in einer Branchenstudie fest, dass die von ihnen
bei Kunden erfasste Maschinenidentitäten

Diese übersteigen die menschlichen Identitäten mittlerweile im Verhältnis von 82 zu 1 – eine erstaunliche Zahl
.

Die Anzahl der Agenten, die diese Identitäten nutzen, und die Anzahl der Dienstkonten, die diese Identitäten verwenden
.

Früher hatten wir die Vorstellung von einem Netzwerk, in dem jede Person eine eigene Identität hatte.

Und früher haben wir nur diese geringe Anzahl von Identitäten verwaltet.

Und jetzt haben wir Tausende und Abertausende von Dienstkonten, die wir
verwalten müssen

mit Namen wie „Dienstkonto 01“, „Dienstkonto 02“ … und das wird einfach zu einem wirklich riesigen
Ein Problem für uns, ein wirklich riesiges Problem, diese explosionsartige Zunahme an Identitäten zu bewältigen und

die Sicherheit in diesem gesamten Umfeld zu gewährleisten.

Deshalb bin ich heute mehr denn je der Meinung, dass wir eine Art Zero-Trust-Strategie für
die unsere IAM-Umgebung benötigt.

Lassen Sie uns also etwas genauer definieren, wie die Herausforderungen im Hybrid- und Multi-Cloud-Bereich aussehen
.

Ich frage mich, wie viele von euch eine Multi-Cloud-Strategie verfolgen?

Wenn ihr ausschließlich mit AWS arbeiten würdet, hätten euch die jüngsten Nachrichten vielleicht gezeigt, dass ihr möglicherweise eine Multi-Cloud-Strategie
einführen muss, bei der Anwendungen

auf mehreren Plattformen verteilt sein müssen, über mehrere Clouds verteilt sein müssen oder zumindest, wenn möglich, ein Failover zwischen
die die Clouds ermöglichen sollten.

Wir integrieren diese Cloud-Plattformen also in unsere Organisation, um die Ausfallsicherheit zu gewährleisten.

Und dann haben wir festgestellt, dass jede dieser Cloud-Plattformen, die wir in unserem Unternehmen
die eigene IAM-Systeme einsetzen mussten.

Und diese IAM-Systeme haben jeweils ihre eigene Sprache.

Wenn man sich zum Beispiel Active Directory ansieht und eine Rolle in
Das Hinzufügen zu Active Directory unterscheidet sich grundlegend vom Hinzufügen einer Rolle in AWS IAM.

Ich meine, es gibt doch einige ähnliche Konzepte, oder?

Aber die Sprache und der Prozess, den man in Active Directory durchläuft, und der, den man in
AWS IAM durchläuft,

sind zwei völlig verschiedene Dinge.

Ich meine, AWS IAM ähnelt eher einer Skriptsprache für den Zugriff auf
eine Rolle oder das Hinzufügen einer Rolle in Active Directory.

Wenn man also über die Benutzeroberfläche hinausblickt, ist das Ganze viel komplexer und nicht einheitlich.
über alle IAM-Systeme hinweg.

Das stellt uns vor ein ziemliches Problem, wenn wir bestimmte Vorgaben durchsetzen und plattform- sowie anwendungsübergreifend einheitliche Richtlinien anwenden wollen
wollen.

Auch Fusionen und Übernahmen tragen zu diesem Problem bei.

Es gibt also ständig Fusionen und Übernahmen oder neue Unternehmen, die in unsere
Organisationen beitreten, die möglicherweise eigene Konten haben und für die wir möglicherweise eigene

Konten, die wir verwalten müssen.

Und sie bringen möglicherweise Probleme im Bereich der Identitätshygiene mit sich, die wir zuvor noch nicht einmal in Betracht gezogen haben
haben.

Ich habe früher für eine Organisation gearbeitet – ich werde übrigens keine Namen nennen, um
sicherzustellen, dass die Schuldigen weiterhin geschützt bleiben.

Aber ich habe früher für eine Organisation gearbeitet, in der es viele Fusionen und Übernahmen gab.

Wir haben ein Zero-Trust-Audit durchgeführt und dabei festgestellt, dass es viele Cloud-Konten gibt
Konten, die einfach nicht verwaltet wurden – Konten, die wir aufgrund der Vielzahl

Übernahmen, die im vergangenen Jahr stattgefunden hatten.

Wir stellten fest, dass wir 12 Cloud-Konten hatten, von deren Existenz wir nicht einmal wussten.

Und in jedem dieser 12 Cloud-Konten gab es Administratorkonten, die ausschließlich

für einen einzelnen Benutzer.

Ein einzelner Benutzer könnte also über 12 verschiedene Admin-Konten auf all diesen 12
Cloud-Plattformen genutzt haben.

Das stellte uns vor ein ziemliches Problem.

Außerdem entstanden viele verlassene Konten, wenn diese Nutzer das Unternehmen verließen.

Es gab also verwaistete Admin-Konten, und das ist wirklich etwas, was man in
in seinem Unternehmen nicht haben möchte.

Die Identitätshygiene wird also zu einem ziemlichen Problem, wenn man bedenkt,

die Anzahl der Cloud-Plattformen und die Anzahl der
SaaS-Anwendungen, die man in die Gleichung einbezieht.

Deshalb brauchen wir mehr denn je eine Strategie für unsere Identitätssysteme.

Und ich denke, dass es bestimmte Prinzipien aus dem Zero-Trust-Ansatz gibt, die wir auf unsere IAM-Systeme
anwenden können, um die Sicherheit zu erhöhen.

Das erste lautet: Niemals vertrauen, immer überprüfen.

Jeder einzelne Nutzer, jedes einzelne Gerät,

Jedes einzelne Gerät, das auf Ihr Netzwerk zugreift, muss sich authentifizieren.

Sie müssen sicherstellen, dass es seine Identität nachweist und beweist, dass es ein vertrauenswürdiges Objekt ist.
ist, das auf Ihr Netzwerk zugreifen und dort Funktionen ausführen darf.

Außerdem müssen Sie das Prinzip der geringsten Berechtigungen für Ihre Identitäten umsetzen.

Den Benutzern sollte daher nur so viel Zugriff gewährt werden, wie zur Erfüllung einer Aufgabe oder ihrer beruflichen Funktion erforderlich ist – und
nicht mehr.

Wenn sie also Zugriff auf etwas haben, das über ihre berufliche Funktion hinausgeht,

Es handelt sich um ein Konto mit übermäßigen Berechtigungen.

Stellen Sie sich vor, was passieren könnte, wenn ein Angreifer dieses Konto in die Hände bekäme, sich
sich einloggen und Funktionen ausführen könnte, die er in Ihrem Unternehmen eigentlich nicht ausführen darf.

Außerdem benötigen Sie überall eine starke Authentifizierung und MFA, falls Sie diese noch nicht haben.

Die Authentifizierung besteht aus drei Komponenten.

Sie besteht aus etwas, das man weiß, etwas, das man besitzt, und etwas, das man ist.

Daher ist es wichtig, dass eine starke Authentifizierung alle drei dieser Elemente umfasst – oder zumindest
zwei davon, falls Sie zum jetzigen Zeitpunkt in Ihrem Netzwerk noch nicht alle drei umsetzen können.

Das ist sehr wichtig.

Zugriffsentscheidungen müssen auf dem Kontext und dem Sicherheitsstatus basieren.

Was bedeutet das?

Nehmen wir also an, eine Person greift auf das Netzwerk zu, hat einen Laptop und hat
sich irgendwo im Raum New Jersey angemeldet.

Dann begann sie, sich im Netzwerk zu engagieren, und plötzlich, fünf Minuten später,

Ändert sich die IP-Adresse Ihres Geräts plötzlich in eine IP-Adresse, die möglicherweise in Kalifornien liegt
, und sie führt ihre Aktivitäten im kalifornischen Netzwerk durch.

Nun, es ist unmöglich, dass diese Person in fünf
Minuten lang quer durch das Land gereist sein könnte.

Das ist eine unmögliche Reise.

Und wenn man in dieser Sitzung so etwas feststellt, sollte man entweder die Sitzung beenden
oder die Person erneut authentifizieren, um sicherzustellen, dass es sich tatsächlich noch um dieselbe Person handelt,

, die sie bei der Authentifizierung angegeben hat.

Daher ist die Überprüfung des Gerätestatus

sowie die Überprüfung des Kontexts sind äußerst wichtig.

Und damit einher geht auch die kontinuierliche Überprüfung.

Man muss sicherstellen, dass die Person, die man einmal authentifiziert hat, während der gesamten Sitzung weiterhin vertrauenswürdig bleibt.
ist.

Wenn sie also anfangen, riskante Verhaltensweisen an den Tag zu legen, wenn sie auf Konten zugreifen, auf die sie keinen
sollten Sie Zugriff erhalten, wenn diese beginnen, Daten zu löschen oder zerstörerische Handlungen auszuführen, sollten Sie

Stellen Sie sicher, dass Sie die Person erneut überprüfen oder

dass Sie die Sitzung beenden, wenn ein Risiko besteht.

Ein weiterer großer Vorteil von Zero Trust besteht darin, dass man stets von einer Sicherheitsverletzung ausgehen oder diese
„  Annahme eines Verstoßes  “ – so sollte man doch denken, oder?

Man sollte sein Netzwerk so aufbauen, als befänden sich bereits böswillige Akteure darin.

Und ich denke, eine anspruchsvolle Übung – oder vielleicht auch eine unterhaltsame für diejenigen unter euch
, die gerne Detektiv spielen  – wäre es dann anzunehmen, dass jemand bereits

jeden Tag in Ihr Netzwerk eingedrungen ist.

Macht euch daran, die Sitzungen zu überprüfen, schaut euch die Aktionen der Nutzer an, versucht

herauszufinden, ob jemand jeden Tag böswillige Handlungen in eurem Netzwerk begeht, und zu versuchen, böswillige Akteure auf frischer Tat zu ertappen
.

Wenn ihr immer von einem Einbruch ausgeht, werdet ihr stets vorsichtig sein und immer Vorsichtsmaßnahmen treffen.
und immer die Vorgänge in eurem Netzwerk

und in Ihren Identitätssystemen.

Welche Strategien können wir also anwenden, um einige dieser Zero-Trust-Richtlinien umzusetzen?

Nun, meiner Meinung nach können wir zunächst einmal Identität, Authentifizierung und
Zugriff vereinheitlichen.

Und was meine ich damit?

Außerdem, ähm,

mit all diesen Cloud-Plattformen und all diesen SaaS-Anwendungen, die wir implementiert haben,
haben wir diese Identitätssilos.

Ich nenne sie gerne „Identitätsinseln“ – einfach diese Inseln der Identität, die da draußen existieren.

Und der einfachste Weg, sie alle unter Kontrolle zu bringen, besteht darin, die Silos oder
die Trennwände zwischen all diesen Identitätsinseln aufzubrechen und sie alle zusammenzuführen.

Schaffen Sie eine einzige Quelle der Wahrheit für Ihre Identitäten.

In den meisten Unternehmen handelt es sich dabei oft um ein HR-System, in das neue
Mitarbeiter geben bei ihrer Einstellung ihre Daten ein.

Das könnte die zentrale Informationsquelle sein und der Ort, an dem Sie Konten erstellen.

Es könnte sich aber auch um ein „Identity-as-a-Service“-System handeln, wie beispielsweise Entra AD, Ping oder Octa
  so etwas in der Art.

Entscheidend ist dabei, dass jeder Benutzer eine eigene Identität erhält.

Es ist viel einfacher, Benutzer und Identitäten zu verwalten, wenn Sie pro Benutzer eine Identität haben.

Außerdem lässt sich diese Identität leichter über mehrere Systeme hinweg und
Dienste zusammenführen, wenn man eine Identität pro Benutzer hat.

Und das ist der nächste Schritt.

Genau das müssen Sie tun: diese Identität in Verbindung nutzen.

Ich habe ein gutes Beispiel aus einer früheren Organisation, mit der ich zusammengearbeitet habe.

Ich verspreche, dass es sich nicht um dieselbe Organisation handelt, aber auch hier handelt es sich um eine anonymisierte Organisation.

Wir haben einen FTP-Dienst eingerichtet.

Dieser FTP-Dienst ließ sich nicht

mit unserer damaligen üblichen Verbundstrategie.

Daher verfügte er über einen eigenen Identitätsspeicher.

Er verfügte zudem über eine eigene MFA-Komponente.

Wir waren damals noch nicht besonders gut darin, eine Föderation zwischen unserer Unternehmensumgebung
und unsere Cloud-Umgebung zu verbinden.

Wer also auf diesen Cloud-FTP-Dienst zugreifen wollte, musste sich zunächst ein Benutzerkonto und einen Benutzernamen einrichten sowie eine MFA-Abfrage beim
Unternehmens-VPN anmelden.

Anschließend musste sie sich bei unserer Cloud-Plattform anmelden

sich mit einem Unternehmensbenutzerkonto, einem Benutzernamen, einem Passwort und einer MFA-Abfrage anmelden.

Anschließend musste sie sich beim FTP-Dienst anmelden – mit Benutzername, Passwort und einer
MFA-Abfrage.

Und alle diese Zugänge hatten denselben Namen.

Wenn also jemand den Helpdesk anrief und ein Problem mit seiner Identität oder mit einem seiner MFA-Konten hatte, konnten wir nicht sagen, um
um welches es sich handelte.

Im Grunde genommen

mussten wir raten und herausfinden, womit sie Probleme hatten, und sie konnten es uns nicht ohne Weiteres mitteilen, um
um welches es sich handelte.

Manchmal ließen sich ihre Probleme lösen, manchmal nicht, und wir hatten wirklich keine
Eine Ahnung, wo genau die Identitätsprobleme bei diesem bestimmten System lagen.

Daher ist es sehr wichtig, irgendwie zu dieser einen Identität pro Benutzer zu gelangen.

Außerdem ist es viel einfacher, richtlinien- und rollenbasierte Zugriffsmodelle plattformübergreifend
zu vereinheitlichen, wenn man über eine einzige Identität verfügt.

Und auch wenn es darum geht, die Bereitstellung über den gesamten Lebenszyklus hinweg und die Governance für Ihre
Um Benutzerprozesse zu automatisieren, ist dies mit einer einzigen Identität und einer konsolidierten Identitätslandschaft viel, viel einfacher.

Lassen Sie uns als Nächstes über die Absicherung privilegierter Zugriffe sprechen.

Auch das ist sehr wichtig.

Eine der Maßnahmen, die Sie ergreifen müssen, besteht darin, Ihre Administratoren als die Identitäten
die mit dem höchsten Risk in Ihrem Unternehmen umzugehen.

Sie sind die gefährlichsten Konten, und im Falle eines Sicherheitsvorfalls

im Falle eines Sicherheitsvorfalls ins Visier genommen werden.

Sie sind für Angreifer am wertvollsten, nicht wahr?

Niemand in Ihrem Unternehmen sollte dauerhaft über erweiterte Berechtigungen verfügen.

Kein Administrator sollte dauerhaft über erweiterte Berechtigungen verfügen.

Er braucht sie einfach nicht.

Sie brauchen sie nicht, um im Internet zu surfen oder Nachrichten über das Weltgeschehen zu lesen.

Sie müssen eine Art „Just-in-Time“-Erweiterung der Berechtigungen durchsetzen

, bei der Administratoren erweiterte Berechtigungen nur für den Zeitraum erhalten, den sie benötigen, um
die gewünschte Aktion auszuführen.

Wenn Sie dies in Verbindung mit dem Zero-Trust-Prinzip umsetzen, erhalten Sie ein
Ein Administratorkonto, das nur für einen bestimmten Zeitraum Zugriff hat, um die erforderlichen Aufgaben zu erledigen.

Und es hat nur Zugriff auf genau jene spezifische Funktion, auf die wir den Zugriff beschränkt haben
haben.

Dadurch werden Ihre Administratorkonten wesentlich sicherer.

Sie sollten außerdem eine Art von überwachten Notfallkonten einrichten.

Dazu habe ich eine tolle Geschichte.

Ich frage mich – fragen Sie sich doch einfach mal selbst: Wie viele von Ihnen da draußen haben einen Bob in ihrem Umfeld?

Ich meine, ihr kennt diesen Typen, ihr kennt Bob.

Bob ist derjenige, der als Einziger Zugriff auf diesen einen Server hat, der irgendwo vor Ort in Ihrer Organisation in einem alten, ähm, Schaltschrank verstaubt

und er ist der Einzige, der sich dort einloggen kann.

Und wenn Bob jemals das Unternehmen verlassen würde oder wenn Bob – Gott bewahre – sterben sollte, würdet ihr
den Zugriff auf diesen Server verlieren.

Ihr könntet euch nicht mehr dort einloggen.

Du könntest keine Backups mehr erstellen und keine Daten mehr wiederherstellen.

Sie könnten ihn nicht mehr aktualisieren.

Und Bob weiß das, und Bob weiß, dass er sehr wertvoll ist.

Deshalb sollten Sie dafür sorgen, dass Sie solche „Bobs“ aus Ihrer Umgebung entfernen.

Sie möchten „Break-Glass“-Konten einrichten, auf die Sie bei
auf die man zurückgreifen kann, sollte das Unvorstellbare eintreten, sollte eine Katastrophe eintreten – und Konten, die

überwacht und kontrolliert werden – Konten, bei denen Sie sich aus- und wieder einloggen können, um die umfassendsten Aktionen durchzuführen
, wie zum Beispiel Root-Zugriff auf ein Cloud-Konto, das Ihnen gehört.

Ein weiterer wichtiger Aspekt bei der Absicherung und Privilegierung des Zugriffs ist die Forderung nach doppelter Genehmigung für Aktionen mit weitreichenden
Auswirkungen.

Was meine ich damit?

Nehmen wir an, Sie haben einen Administrator, der sich anmelden und 50 Konten bearbeiten muss.

Normalerweise macht er das nie, aber Sie wissen ja, dass dies eine Maßnahme mit sehr weitreichenden Folgen ist.

Das wäre eine sehr schädliche Aktion, wenn er 50
Sie würden mehrere Konten gleichzeitig verwalten und eine Änderung vornehmen, die erhebliche Auswirkungen auf Ihr Unternehmen hätte.

Sie möchten über einen Mechanismus verfügen, bei dem für diese bestimmte Aktion eine Zwei-Faktor-Authentifizierung oder
eine doppelte Genehmigung erforderlich ist, sodass Bob, wenn er diese Änderung vornimmt,

Muss er die Genehmigung von jemand anderem einholen? Vielleicht müsste auch jemand aus einer höheren Ebene der Organisation
diese Maßnahme genehmigen.

Und das ist sehr wichtig.

Wenn ein Angreifer Zugriff auf Bobs Konto oder das Konto einer anderen Person erlangt – hör mal, ich nehme hier nur
Nehmen wir Bob als Beispiel – er bräuchte ein zweites Konto, um diese

zerstörerische oder folgenschwere Handlungen ausführen zu können.

Außerdem muss sichergestellt werden, dass jede Sitzung mit erweiterten Rechten und jede Administratorsitzung
aufgezeichnet wird.

Stellen Sie sicher, dass all diese Punkte überwacht und überprüft werden.

Und teilen Sie Ihren Mitarbeitern mit, dass diese Aktivitäten überprüft und aufgezeichnet werden.

Ich stelle fest, dass Administratoren viel vorsichtiger sind, wenn sie wissen, dass ihre Handlungen beobachtet werden.

Sie achten viel stärker darauf, keine Fehler zu machen, und verhalten sich
viel zurückhaltender, wenn sie wissen, dass ihre Sitzungen

überwacht und ihre Sitzungen geprüft werden.

Ich halte das also für wichtige Maßnahmen zur Absicherung des Zugriffs mit Sonderrechten.

Fügen wir dann noch die kontinuierliche Überprüfung hinzu.

Diese kontinuierliche Überprüfung ähnelt dem Zero-Trust-Ansatz, wird jedoch in Echtzeit umgesetzt.

Was wir tun, ist, dass wir die Benutzer kontinuierlich validieren und prüfen, ob sie die
die Befugnis haben, das zu tun, was sie tun müssen.

Man darf nämlich nicht vergessen: Nur weil wir
Wenn man einen Benutzer beim allerersten Mal authentifiziert, bedeutet das nicht, dass er während der gesamten Zeit, in der er

online ist oder seine Sitzung noch andauert.

Sitzungstoken

können gestohlen und Sitzungen können gekapert werden; diese können übernommen werden, und böswillige Akteure können damit riskante Aktionen
ausführen.

Daher ist es wichtig, kontinuierlich zu überprüfen, was der Nutzer während seiner Sitzung tut, und den Gerätestatus zu beobachten
.

Wenn es sich bei dem Gerät, das auf die Sitzung zugreift, um ein Unternehmensgerät handelt oder um ein
privates Gerät, das möglicherweise Malware in Ihr

Da sich dadurch ein Netzwerk einschleusen könnte, ist es sehr wichtig, dies im Auge zu behalten.

Für risikobehaftete Vorgänge benötigen Sie eine Art verstärkte Authentifizierung.

Wenn sich also jemand anmeldet und seine Berechtigungen erweitern möchte oder ein
Wenn man ein Administratorkonto erstellen möchte, sollte eine Art verstärkte Authentifizierung stattfinden.

Ein gutes Beispiel hierfür ist die Anmeldung bei Ihrer Bank: Wenn Sie sich bei
Melden Sie sich bei Ihrer Bank an, geben Sie Ihren Benutzernamen und Ihr Passwort ein und nutzen Sie gegebenenfalls MFA, wenn es sich um eine

Eine gute Bank, und man geht dorthin, um einfach nur sein Konto im Blick zu behalten oder seine Transaktionen einzusehen

, aber dann möchten Sie einen großen Geldbetrag auf ein anderes Konto überweisen, was Sie sonst
das nicht tun.

Die Bank fordert Sie möglicherweise zur zusätzlichen MFA auf oder sendet Ihnen eine E-Mail mit der Aufforderung: „Bitte geben Sie den Code ein,
den wir Ihnen soeben per E-Mail zugesandt haben, damit Sie diese Transaktion bestätigen können.“

Das ist ein Beispiel für eine „Step-up“-Authentifizierung.

Und das lässt sich in Ihrem Unternehmen leicht umsetzen – insbesondere bei
risikobehaftete Handlungen.

Sie müssen Sitzungen auf Anomalien überwachen.

Stellen Sie sicher, dass Sie den Benutzer bei Auftreten von Anomalien in einer Sitzung erneut authentifizieren.
.

Wenn ein Benutzer also normalerweise nicht auf Finanzdaten in SharePoint zugreift und plötzlich darauf zugreift
oder Zugriff darauf anfordert, ist es vielleicht an der Zeit, eine erneute Authentifizierung durchzuführen oder diese

die Sitzung zu überprüfen und sicherzustellen, dass der Zugriff für den Benutzer weiterhin berechtigt ist.

Außerdem sollten Sie das Risk dynamisch anpassen – je nach Risk

oder anhand der jeweiligen Aktivitäten dynamisch anpassen.

Nehmen wir zum Beispiel an, wir hätten über, äh, unmögliche Reisen gesprochen.

Nehmen wir zum Beispiel an, jemand beginnt seine Sitzung um 2
Uhr morgens

morgens, obwohl seine normale Arbeitszeit von neun bis fünf ist.

Nun, dann sollten Sie sicherstellen, dass die Sitzung dieser Person nicht gekapert wurde oder
ihr Token wurde nicht gestohlen und an anderer Stelle von jemandem im Ausland oder jemandem

, der versucht, in Ihrem Netzwerk Schaden anzurichten.

Sie müssen über eine Methode oder einen Weg verfügen, um kompromittierte Sitzungen
sofort zu erkennen und zu unterbinden, sobald Sie feststellen, dass ein Risk besteht oder dass

böswillige Akteure beteiligt sind.

Okay, nachdem wir nun die Strategie geklärt haben, lassen Sie uns über einige praktische Maßnahmen sprechen
Maßnahmen, die Sie in Ihrem Unternehmen sofort umsetzen können, um Zero Trust für Ihre IAM-Systeme einzuführen.

Ich weiß, dass diese nicht auf jedes einzelne Unternehmen zutreffen werden.

Ich habe versucht, den Ansatz allgemein und praxisnah zu gestalten.

Das sind jedoch nur einige Punkte, über die Sie nachdenken können, und ich hoffe, sie geben Ihnen Anregungen, wie
Sie in Ihrem Unternehmen Erfolge erzielen und einige der Zero-Trust-Richtlinien in Ihrer

Unternehmen umsetzen können.

Meiner Meinung nach sollten Sie sich in den ersten 30 Tagen vor allem darauf konzentrieren, die MFA
überall durchzusetzen.

Wenn Sie derzeit noch keine MFA haben, ist das ein wirklich schneller Erfolg.

Wenn Sie in Ihrem Unternehmen ein MFA-System einführen können – also ein System, bei dem Benutzer zur Eingabe eines
Codes verlangt – oder wenn Sie MFA bereits überall einsetzen, ist dies vielleicht ein Anstoß dafür,

Vielleicht möchten Sie auf eine Phishing-resistente MFA umsteigen, beispielsweise nach dem FIDO2-Standard oder etwas
in diese Richtung.

Das ist ebenfalls eine großartige Maßnahme,
die sich in Ihrem Unternehmen leicht umsetzen lässt und Ihre Konten deutlich sicherer macht.

Beginnen Sie außerdem damit, Ihre Identitätssilos zu erfassen.

Finden Sie heraus, wo sich alle Ihre Identitäten befinden, auf welchen „Inseln“ sie angesiedelt sind, wo
Welche Cloud-Anwendungen laufen, welche Cloud-Plattformen Sie nutzen und welche Identitätssilos es gibt

sich darin befinden.

Versuchen Sie herauszufinden, wo sich alles befindet, und führen Sie eine sehr gründliche Bestandsaufnahme durch.

Anschließend sollten Sie Ihre Administratorkonten und Ihre Dienstkonten absichern.

Das ist etwas, das Sie schon vom ersten Tag an tun können.

Sorgen Sie dafür, dass sie sicherer sind, ganz gleich, wie Sie das tun – selbst wenn es sich nur um minimale Maßnahmen handelt.

Beginnen Sie mit kleinen, schrittweisen Maßnahmen, um diese Administratorkonten sicherer zu machen, und lassen Sie
Sie dürfen nicht zulassen, dass jemand ständig die Berechtigung hat, innerhalb Ihres Unternehmens beliebige Aktionen durchzuführen.

In den ersten 30 Tagen ist es wichtig, erste Erfolge zu erzielen.

Es ist wichtig, zu begründen,

, warum dieses Zero-Trust-Projekt wichtig ist.

Arbeiten Sie in den nächsten 90 Tagen daran, Kontinuität zu schaffen.

Beginnen Sie mit Ihrem Plan zur Identitätsfestigung.

Beginnen Sie mit der Umsetzung der Identitätskonsolidierung.

Führen Sie alle Ihre Identitätsinseln zusammen und verbinden Sie Ihre Silos miteinander.

Stellen Sie sicher, dass Sie eine Identität pro Person erhalten.

Legen Sie fest, wie Ihr Richtlinienrahmen aussehen soll.

Auch wenn Sie es noch nicht umsetzen, ist es wichtig, mit der Definition zu beginnen – gemeinsam mit Ihrem
Lebenszyklusmanagement.

Wie wird Ihr Lebenszyklusprozess aussehen?

Wie werden Benutzer in Ihr Unternehmen aufgenommen?

Wie läuft der Austritt ab?

Wie gehen Sie mit Mitarbeitern um, die Ihr Unternehmen verlassen?

Wie löschen Sie deren Konten?

Es ist wichtig, dies im Vorfeld festzulegen, damit Sie im Laufe der Zeit Automatisierungen einführen können
können.

Implementieren Sie außerdem die Geräteüberwachung.

Falls Sie dies noch nicht getan haben, ist es wichtig, Ihre Geräte zu überprüfen und sicherzustellen, dass
dass sie vertrauenswürdig sind und dass die Personen, die sie nutzen,

über vertrauenswürdige Geräte verfügen, die beispielsweise mit einem Unternehmenslogo versehen sind oder einem
den festgelegten Unternehmensstandards entsprechen und diese Geräte als risikobehaftet zu kennzeichnen, wenn sie

.

Richten Sie diese Konten dann für den Notfall ein.

Wir wollen nicht, dass Bob stirbt, wir wollen nicht, dass Bob das Unternehmen verlässt, und wir wollen
den Zugriff auf jenen Server in dem verstaubten Schrank nicht zu verlieren, zu dem nur Bob Zugang hat.

Stellen Sie also sicher, dass Sie diese Konten der Risikoklasse relativ schnell einrichten.

Und streben Sie dann langfristig eine höhere Reifegradstufe an.

Erweitern Sie Ihre Konsolidierung.

Stellen Sie sicher, dass Sie zu dieser einzigen Quelle der Wahrheit gelangen, sei es das ER-System oder eine Art
IDAS-System.

Wechseln Sie zu einer fortschrittlicheren Form der Authentifizierung.

Für Sie könnte das eine passwortlose Authentifizierung sein, beispielsweise auf Basis von FIDO2.

Ich liebe Authentifizierung wirklich sehr.

Ich könnte allein darüber eine ganze halbe Stunde lang sprechen.

Aber die passwortlose Authentifizierung ist etwas, das Ihre Nutzer wirklich zu schätzen wissen werden und das
Meiner Meinung nach erhöht dies Ihre Sicherheit erheblich.

Passwörter sind einfach keine sichere Methode zur Authentifizierung des Nutzers.

Stellen Sie sicher, dass Sie Ihre Verifizierung oder Ihre fortlaufende
Die Überprüfung um eine Verhaltensüberwachung ergänzen.

Ich habe es bereits erwähnt: Verhaltensweisen wie der Zugriff auf das Netzwerk um 2 Uhr morgens,

, obwohl man normalerweise von 9 bis 17 Uhr arbeitet.

Dies ist ein Beispiel für eine Verhaltensüberwachung, die Sie in Ihre Sitzungen integrieren können und die für mehr Sicherheit sorgt
.

Ergänzen Sie Ihre Lebenszyklus-Governance und die Steuerung

Ihren Identitätslebenszyklus.

Wenn ein Benutzer in das Unternehmen eintritt, erhält er sofort die erforderlichen Zugriffsrechte.

Und wenn er das Unternehmen verlässt, verliert er den bisherigen Zugriff vollständig, sodass
Sie sicherstellen können, dass keine verwaisten Konten bestehen und Sie Ihr

das Netzwerk schützen können.

Setzen Sie Ihre Richtlinien anschließend als Code um, um eine einheitliche Durchsetzung zu gewährleisten.

Behandeln Sie Ihre Richtlinien wie Code.

Richten Sie sozusagen ein Richtlinien-Repository ein.

Stellen Sie sicher, dass Sie Ihre Richtlinien von Zeit zu Zeit überprüfen.

Stellen Sie sicher, dass Sie eine Versionskontrolle für Ihre Richtlinien eingerichtet haben und dass
diese wie Code behandelt und bei Änderungen ein- und ausgecheckt werden.

Ich hoffe, dass ich Ihnen damit genügend Informationen gegeben habe, um herauszufinden, wie Sie eine Zero-Trust-Richtlinie
in Ihren IAM-Systemen umsetzen und Ihr Netzwerk wirklich sicherer machen können.

Ein paar Punkte, die Sie sich aus dieser Sitzung merken sollten.

Denken Sie daran, dass es wichtig ist, Ihre Identitätshygiene zu verbessern.

Die Anzahl der Identitäten explodiert,

Identitäten im „New Perimeter“ und stellen Sie sicher, dass Sie einen Plan haben, der Verbesserungen vorsieht
– sei es durch Konsolidierung, das Aufräumen dieser Silos und dieser Identitäts-

Inseln oder einfach nur die einheitliche Anwendung von Richtlinien und Vorgehensweisen in Ihrem
des gesamten Unternehmens.

Versuchen Sie stets, Maßnahmen zu ergreifen, die Ihnen einen Vorteil verschaffen, falls ein Angreifer
eine Ihrer Identitäten in die Hände fällt.

Und eine Sache, die man aus dieser gesamten Präsentation unbedingt im Gedächtnis behalten sollte, ist, dass

Vertrauen ist nichts, was man einmalig gewährt, wenn sich der Benutzer authentifiziert.

Das ist etwas, das kontinuierlich überprüft werden sollte – anhand seiner Handlungen und
anhand dessen, was er in Ihrem Unternehmen tut.

Daher sollte dies kontinuierlich überwacht werden.

Ich hoffe, das war hilfreich für Sie.

Wenn es einige nächste Schritte gibt, die ich Ihnen empfehlen könnte, wären das
unter anderem das Anhören eines On-Demand-Podcasts.

Wir haben einen Podcast bzw. einen Webcast zum Thema „Active Directory Identity Resilience“.

Ein großartiger Webcast, den ich Ihnen wärmstens ans Herz legen möchte.

Außerdem können Sie mehr über Cyber-Resilienz erfahren und darüber, wie Commvault Sie
dabei unterstützen, indem Sie sich für einen Cyber-Resilienz-Workshop anmelden oder an einem Cyber-Resilienz-Vorbereitungskurs teilnehmen

  Die entsprechenden Links finden Sie auf dem Bildschirm.

Ich möchte mich ganz herzlich für Ihre Zeit heute bedanken und danke Ihnen für Ihre
Aufmerksamkeit.

Und ich hoffe wirklich, dass Ihnen dies auf Ihrem Weg hin zu „Zero Trust“ für Ihre IM-Systeme
das uns in Zukunft helfen wird.

Vielen Dank für Ihre Teilnahme heute und vielen Dank, dass Sie dabei waren.