Direkte Antwort
Ein herrenloses Konto hat keinen aktuell verantwortlichen Besitzer. Eine Schattenberechtigung ist eine wirksame Berechtigung, die im formalen Datensatz nicht erscheint. Restzugang besteht fort, nachdem Aufgabe oder Bedarf geendet haben. Ein Authentifikator ohne Verantwortlichen ist ein Schlüssel, Token, Gerät oder ähnlicher Mechanismus, der noch funktioniert, obwohl es keinen gültigen Besitzer oder Sponsor mehr gibt.
Einfach erklärt
Ein aktives Benutzerkonto eines ehemaligen Beschäftigten kann herrenlos sein. Eine verborgene, über eine Gruppe geerbte Berechtigung ist eine Schattenberechtigung. Ordnerzugang nach Projektende ist Restzugang. Ein funktionierender API-Schlüssel, für den niemand verantwortlich ist, ist ein Authentifikator ohne Verantwortlichen.
Warum ist das wichtig?
Diese vier Zustände fehlen möglicherweise in gewöhnlichen Listen. Sie eröffnen Möglichkeiten für Angriffe und Fehlhandlungen und machen unklar, wer verantwortlich ist.
Nicht verwechseln
- Konto, Berechtigung, Zugangsweg und Authentifikator sind getrennte Objekte.
- Ein Konto kann einen Besitzer haben und dennoch eine Schattenberechtigung tragen.
- Eine Person kann weiter beschäftigt sein und trotzdem Zugang besitzen, der für ihre aktuelle Rolle nicht mehr nötig ist.
Was ist zu tun?
- Inventarisieren Sie jede menschliche, Dienst-, Anwendungs- und Agentenidentität.
- Ordnen Sie jeder Identität einen Besitzer, Sponsor, Zweck und Prüftermin zu.
- Berechnen Sie die effektive Befugnis aus direkten Berechtigungen und Gruppenmitgliedschaften.
- Prüfen Sie lange ungenutzte Token, Schlüssel und Konten.
- Gleichen Sie Personal-, Register- und Systemdatensätze ab.
- Ermitteln Sie vor einer Deaktivierung Abhängigkeiten und erstellen Sie einen kontrollierten Wiederherstellungsplan.
Wie wird geprüft?
- Gibt es ein Konto ohne Besitzer oder Sponsor?
- Entsteht Befugnis über einen Weg, der im formalen Rollendatensatz fehlt?
- Besteht Zugang nach Ende der Aufgabe oder des Vertrags fort?
- Gibt es einen gemeinsam verwendeten Authentifikator oder einen mit unbekannter Kontrolle?
- Sind letzte Nutzung, Zweck und Prüftermin erfasst?
Grenze
Nicht jedes ungenutzte Konto ist böswillig. Lässt sich sein Besitzer, Zweck oder fortbestehender Bedarf jedoch nicht belegen, ist es als Risiko zu behandeln.
Merksatz
Lassen Sie keinen Zugang offen, dessen Besitzer, Zweck und aktueller Bedarf nicht belegt werden können.
Quellen dieses Eintrags
- S24NIST SP 800-63-4, *Digital Identity Guidelines*Standard
- S25NIST SP 800-63B-4, *Authentication and Authenticator Management*Standard
- S26NIST SP 800-53 Rev. 5, *Security and Privacy Controls*Standard
- S27IETF, RFC 7644, *System for Cross-domain Identity Management: Protocol*Standard
- S28IETF, RFC 9967, *SCIM Roles and Entitlements Extension*Standard
- S29Microsoft Learn, *Application and Service Principal Objects in Microsoft Entra ID*Anbieterdokumentation
- S30Microsoft Learn, *Managed Identities for Azure Resources*Anbieterdokumentation