Rob Ainscough (00:00:00,080 – 00:00:12,400)
Chris Linklater, Practice Leader bei Mandiant, hat seine Karriere tief im Detail mit Infrastruktur und Cybersicherheit verbracht und leitet jetzt die Bereiche Incident Response und Security Transformation bei Mandiant, einem führenden Cybersicherheitsunternehmen, das von Google übernommen wurde.
Chris Linklater (00:00:12,400 – 00:00:19,120)
Der Aspekt der Wiederherstellung bei der Unterstützung einer Organisation ist tatsächlich ziemlich interessant. Es geht um mehr als nur um die Wiederherstellung der vorhandenen Technologie.
Rob Ainscough (00:00:19,200 – 00:00:24,320)
In dieser Folge gehen wir der Frage nach, was passiert, wenn die Identität versagt, und wie die meisten Sicherheitslücken tatsächlich entstehen.
Chris Linklater (00:00:24,520 – 00:00:29,960)
In diesem Jahr hat das Voice-Phishing erstmals das traditionelle Phishing per E-Mail übertroffen.
Roy Akerman (00:00:30,040 – 00:00:39,920)
Angreifer dringen nicht mehr so ein, wie wir es erwarten. Chris erklärt, wie Identitätsdiebstahl sich unbemerkt zum einfachsten Einfallstor entwickelt hat und warum er gleichzeitig am schwierigsten vollständig zu schützen ist.
Chris Linklater (00:00:40,160 – 00:00:51,120)
Es gibt eine Reihe von anfänglichen Zugriffsmethoden, die im Prinzip darauf hinauslaufen, dass sich ein Angreifer einfach einloggt. Der Angreifer gelangt auf irgendeine Weise an die Zugangsdaten und meldet sich dann einfach an.
Roy Akerman (00:00:51,760 – 00:00:55,520)
Wir alle kennen die Klischees: Identität ist der neue Perimeter.
Rob Ainscough (00:00:55,760 – 00:00:57,440)
Angreifer brechen nicht ein, sie loggen sich ein.
Roy Akerman (00:00:57,720 – 00:01:03,360)
Ja, aber was genau passiert im Bereich der Identitätssicherheit und warum? Und genau da wird die Sache unklar.
Rob Ainscough (00:01:03,920 – 00:01:14,480)
Und genau deshalb haben wir diese Sendung ins Leben gerufen. Das ist „Identität entschlüsselt“. Wir werden offen darüber sprechen, was funktioniert, was nicht und wie man im Bereich Identitätssicherheit die Nase vorn hat. Ich bin Rob.
Roy Akerman (00:01:14,960 – 00:01:16,640)
Ich bin Roy. Legen wir los.
Rob Ainscough (00:01:16,920 – 00:01:17,440)
Machen wir das.
Roy Akerman (00:01:23,760 – 00:01:24,560)
Willkommen, Chris.
Chris Linklater (00:01:24,800 – 00:01:26,240)
Hallo, danke, dass du mich hast.
Roy Akerman (00:01:26,640 – 00:01:41,920)
Vielen Dank für Ihre Zeit. Ich weiß, dass Sie angesichts der aktuellen Weltlage, der Sicherheitsvorfälle im Zeitalter der KI und anderer Herausforderungen sehr beschäftigt sind. Wir würden uns freuen, etwas über Ihren Werdegang zu erfahren, und falls Sie damit verbundene persönliche Daten haben, wäre das umso besser.
Chris Linklater (00:01:42,280 – 00:01:54,240)
Zuallererst vielen Dank für die Einladung. Ich bin ein bisschen neidisch. Euer Studio sieht sehr gemütlich aus, und ich sitze hier in meinem Büro. Nächstes Mal treffen wir uns also persönlich.
Roy Akerman (00:01:54,240 – 00:01:55,280)
In Ihrem Büro.
Chris Linklater (00:01:55,280 – 00:02:21,200)
Kurz zu mir: Ich arbeite bei Mandiant und leite dort die Bereiche Sicherheitsbehebung, Incident Response und Sicherheitsarchitektur. Konkret bedeutet das: Bei jedem Vorfall sind viele Teams beteiligt – ein Forensik-Team versucht, die Ursache zu ermitteln, es gibt Rechtsabteilungen und Krisenkommunikationsteams. Wir sind jedoch das Team, das hauptsächlich für die Eindämmung des Vorfalls zuständig ist.
Rob Ainscough (00:02:21,440 – 00:02:21,560)
Wow.
Chris Linklater (00:02:22,160 – 00:02:38,720)
Und dann, wissen Sie, werden diese Schritte umgesetzt, also diese praktischen Dinge, die Organisationen tun können, damit dasselbe in Zukunft unwahrscheinlicher wird. Wie Sie sich vorstellen können, sind wir heutzutage sehr beschäftigt. Es hat riesigen Spaß gemacht.
Rob Ainscough (00:02:39,040 – 00:02:50,160)
Wahnsinn! Und wie bist du da reingeraten? Das muss ja wahnsinnig stressig sein, ständig mit diesen Einsätzen und verschiedenen Kunden in brenzlige Situationen zu geraten. Wie bist du denn da reingerutscht, Chris?
Chris Linklater (00:02:50,640 – 00:02:55,760)
Ja. Ich meine, Incident Response ist doch im Grunde Projektmanagement mit Stress, oder?
Roy Akerman (00:02:57,360 – 00:02:59,280)
Das stimmt. Niemand gibt das zu.
Chris Linklater (00:02:59,280 – 00:03:17,040)
Die Fristen sind dringend. Das gilt wohl für alles, was mit Cybersicherheit zu tun hat, nicht nur für die Reaktion auf Sicherheitsvorfälle. Aber nein, sehen Sie, mein Hintergrund liegt im IT-Betrieb und der IT-Entwicklung, richtig? Ich habe also viele, viele Jahre in der IT gearbeitet und bin irgendwie bei Mandiant gelandet. Und es macht mir großen Spaß.
Roy Akerman (00:03:17,360 – 00:03:43,120)
Um die Grundlage für unser Gespräch zu schaffen, möchte ich kurz erwähnen, dass ich es interessant fand, dass Sie nicht nur dafür verantwortlich sind, Organisationen in Situationen zu retten, in denen alle Sicherheitskontrollen versagt haben und diese Organisationen gehackt wurden. Sie sind auch da, wenn sie versuchen, sich zu erholen und die Infrastruktur wiederherzustellen, um sicherzustellen, dass nichts erneut passiert, richtig? Sie helfen ihnen also tatsächlich dabei, das Vertrauen, das System und die Prozesse wiederherzustellen?
Chris Linklater (00:03:43,280 – 00:04:53,560)
Ja, der Wiederherstellungsaspekt bei der Unterstützung einer Organisation ist wirklich interessant, nicht wahr? Jeder denkt dabei sofort an den Wiederaufbau von Workstations und Servern, und das ist natürlich ein Teil davon. Aber es geht um mehr als nur die Wiederherstellung der vorhandenen Technologie. Es geht um den gesamten Prozess des Neustarts eines Unternehmens. Und der schwierigste Teil ist der letzte: anderen Organisationen das Vertrauen zurückzugeben, dass die Organisation, die dieses schreckliche Ereignis durchgemacht hat, wieder sicher zu sein und mit ihr Geschäfte machen kann. Das Erste, was passiert, wenn eine Organisation einen Vorfall hat, ist, dass alle ihre Geschäftspartner die Verbindung trennen, um sich selbst zu schützen. Das ist völlig natürlich. Die Herausforderung besteht darin, dass es keinen vordefinierten Standard dafür gibt, wann die Verbindung wiederhergestellt werden kann, damit die Geschäftsbeziehung wieder sicher ist. Jede Organisation hat ihre eigene Schwelle, ab der sie sagt, dass eine Verbindung wieder sicher ist. Wir unterstützen Organisationen auch bei diesem Aspekt. Und das mag zwar wie das Einfachste klingen, so nach dem Motto: „Schaltet uns einfach wieder ein.“ Doch es steckt viel Überlegung dahinter: Ist es sicher, mit diesem Unternehmen Geschäfte zu machen? Und welche Zusicherungen können wir geben? Aber es ist sicher, wieder mit ihnen Geschäfte zu machen.
Roy Akerman (00:04:54,000 – 00:05:26,080)
Manche Klischees auf dem Markt mögen stimmen. Ich weiß es nicht. Ich würde mich freuen, Ihre Meinung dazu zu hören. Teilen Sie uns mit, ob Sie das für richtig halten oder nicht. Ich weiß, dass Mandiant ebenfalls einen Risikobericht erstellt hat, basierend auf all dem, was Sie sehen. Tausende von Organisationen, Tausende von Vorfällen. Erstens: Hacker brechen nicht in die Anmeldesysteme ein. Das haben Sie wahrscheinlich schon tausendfach gehört. Zweitens: 80 % der Vorfälle basieren auf kompromittierten Identitäten oder laufen zumindest irgendwann über eine solche.
Chris Linklater (00:05:26,480 – 00:06:29,040)
Nun, ich stimme Ihnen absolut zu, dass das Erste definitiv passiert, richtig? Mandiant veröffentlicht jedes Jahr einen Bericht namens M-Trends. Dieser blickt im Wesentlichen auf das vergangene Jahr zurück und beleuchtet alle Trends, Veränderungen und Konstanten. Dabei stellt man fest, dass es eine Reihe von Einstiegspunkten gibt, die im Prinzip darauf hinauslaufen, dass sich ein Angreifer einfach einloggt. Das können wiederverwendete, gestohlene oder durch Phishing erlangte Zugangsdaten sein. Und hier kommt Vishing oder Voice-Phishing ins Spiel, das erstmals das traditionelle E-Mail-basierte Phishing überholt hat. Ich würde all diese Kategorien unter dem Aspekt zusammenfassen, dass ein Angreifer die Zugangsdaten irgendwie erlangt und sich einfach einloggt. Exploits sind zwar immer noch die häufigste Methode, um in Systeme einzudringen – das war lange Zeit der Fall –, aber das einfache Einloggen gewinnt von Jahr zu Jahr an Bedeutung.
Roy Akerman (00:06:29,560 – 00:07:05,680)
Das erste Tor ist durchbrochen, richtig? Wir haben darauf vertraut, dass das Passwort die Angreifer aufhält, oder dass die Angreifer zurück sind. Hier beginnt ein Vorfall, aber Sie werden erst hinzugezogen, nachdem es zu umfangreichen seitlichen Bewegungen und Störungen im Netzwerk gekommen ist, richtig? Ich wette, Sie werden nicht in dem Moment benachrichtigt, in dem jemand eingebrochen ist, richtig? Könnten Sie uns bitte den typischen Zeitrahmen erläutern – es dürfte sich um einen breiten Zeitraum handeln –, in dem Sie und Ihre Teams üblicherweise in die Angriffskette oder die Incident-Response-Kette einbezogen werden?
Chris Linklater (00:07:05,760 – 00:07:44,800)
Je früher, desto besser, aber leider ist das in der Regel nicht der Fall. Meistens werden wir erst hinzugezogen, nachdem der Angreifer sein Ziel erreicht hat – sei es die Exfiltration von Daten, die Verursachung von Schaden oder einfach nur Spionage, bei der er im Hintergrund lauert und beobachtet. Wir tauchen also meist später auf, als wir es uns gewünscht hätten. Und zwar gegen Ende des Angriffszyklus oder der Angriffskette, je nachdem, welchen Begriff man bevorzugt.
Rob Ainscough (00:07:45,120 – 00:08:15,280)
Ich vermute, Sie werden sagen, dass es schwer zu beschreiben ist, aber Sie sagen ja, dass Sie erst später in diese Angelegenheiten einbezogen werden, als Ihnen lieb ist. Liegt es daran, dass Unternehmen immer noch nicht in der Lage sind, die Vorgänge in ihren Netzwerken und Systemen zu erkennen und zu verstehen? Oder liegt es daran, dass sie zwar etwas bemerken, aber nicht schnell genug reagieren und dann in eine Lage geraten, in der sie Ihre Hilfe benötigen? Warum werden Sie erst dann hinzugezogen, wenn der Angreifer bereits in der Endphase seiner Angriffe ist?
Chris Linklater (00:08:16,400 – 00:09:02,640)
Ich meine, viele Organisationen merken erst, dass sie Opfer eines Angriffs geworden sind, wenn etwas Schlimmes passiert. Ein destruktiver Angriff ist hier das naheliegendste Beispiel, denn jeder weiß, dass so etwas funktioniert, oder? Das ist ziemlich eindeutig. Was wir aber immer häufiger beobachten, sind weniger destruktive Angriffe, sondern vielmehr Angriffe, die lediglich auf Datenexfiltration basieren. Und wir sehen sogar, dass viele Organisationen erst dann merken, dass Daten aus ihren Netzwerken exfiltriert wurden, wenn Angreifer diese auf sogenannten Download-Shaming-Seiten veröffentlichen. Dann wird ihnen klar: „Okay, der erste Schritt ist herauszufinden, ob unsere Daten tatsächlich exfiltriert wurden.“ Und sobald sie diese Frage mit „Ja“ beantworten können, müssen sie sich fragen: „Wie konnte das passieren?“ Und genau in diesem Moment werden wir oft hinzugezogen.
Rob Ainscough (00:09:02,920 – 00:09:47,520)
Und das ist aus Sicht des Identitätsmanagements wirklich beängstigend. Wenn ich mit Experten für Identitätsmanagement spreche, konzentrieren sie sich oft sehr auf die kritischsten Dinge, die höchsten Berechtigungen: Domänenadministratoren, Backup-Administratoren, Hypervisor-Administratoren, richtig? Und die sind natürlich extrem wichtig, oder? Ich will das auch nicht bestreiten. Aber das Beängstigende an dem, was Sie beschreiben, ist, dass man mit relativ harmlosen Zugriffsrechten auf einen Datensatz diese Ziele erreichen und finanzielle Gewinne erzielen kann. Und das ist aus Sicht des Identitätsmanagements ziemlich beunruhigend, denn wir haben ja vorhin über privilegierten Zugriff gesprochen. Was ist ein Privileg? Nun, man braucht gar nicht so viele Privilegien, um solche Angriffe in einem Unternehmen durchzuführen. Und das ist wirklich beängstigend.
Roy Akerman (00:09:47,840 – 00:10:16,640)
Das stimmt, aber ich würde das Ganze mal aus einem anderen Blickwinkel betrachten. Vielleicht geht es darum, welche Rolle IAM in diesem taktischen Entscheidungsgremium spielt, wenn es um die Abwehr eines solchen Angriffs geht? Bekommen die Mitarbeiter nur Befehle vom Sicherheitsteam, oder gibt es noch andere Möglichkeiten, den Schaden zu mindern oder zumindest schneller einzudämmen? Mich würde interessieren, was ihr darüber denkt. Wie geht ihr in der Praxis damit um?
Chris Linklater (00:10:17,680 – 00:10:54,880)
Ja, ich meine, als wir einen Rückgang von Störungen durch Angriffe beobachteten, Erpressung aber weiterhin im gleichen Tempo zunahm, fragte ich mich: Woran liegt das? Und immer wieder komme ich zu dem Schluss, dass die Hürden für Datendiebstahl sehr niedrig sind, richtig? Um auf Ihren Punkt zurückzukommen: Angenommen, Sie hätten den Account eines Personalvermittlers, dann hätten Sie wahrscheinlich Zugriff auf eine beträchtliche Menge an Personaldaten. Das ist kein privilegierter Account im herkömmlichen IT-Sinne.
Rob Ainscough (00:10:55,120 – 00:11:29,680)
Genau. Und ich denke, manche dieser Angriffe sind fast schon nicht-technisch, richtig? Wenn man beispielsweise Zugangsdaten für einen Cloud-Identitätsanbieter (IDP) erhält oder errät, der mit vielen Anwendungen verknüpft ist, und man anfängt, herumzuklicken, stößt man wahrscheinlich irgendwann auf etwas Interessantes, das man, wie Sie sagen, kopieren oder als CSV-Datei exportieren kann. Und bis dahin hat man nichts besonders Technisches getan, richtig? Die Eintrittsbarriere für diesen Angriff ist ein Computer und eine Internetverbindung, richtig? Und das ist ziemlich beängstigend.
Roy Akerman (00:11:29,840 – 00:11:39,760)
Und deshalb glaube ich, dass Angreifer Identität so lieben, richtig? Die Idee ist, dass man tatsächlich Unmögliches erreichen kann, sich Kräfte vorstellen kann, ohne auch nur zu explodieren oder irgendetwas zu tun.
Rob Ainscough (00:11:40,000 – 00:12:39,280)
Was mich an der Reaktion auf Sicherheitsvorfälle immer fasziniert hat, ist, dass unsere Maßnahmen fast nie mit Identitätsmanagement zu tun hatten. Wir haben Hosts isoliert, Netzwerkkonfigurationen geändert, Systeme abgesperrt, Verbindungen gekappt und so weiter – also Maßnahmen ergriffen, die den Geschäftsbetrieb stark beeinträchtigten, anstatt sich auf Identitätsmanagement zu konzentrieren. Selbst unsere Identitätsmanagement-Tools, die wir bisher für solche Zwecke eingesetzt haben, sind ziemlich grob, wenn man beispielsweise massenhaft Berechtigungen deaktiviert oder entzieht. Das führt oft zu einer Trennung vom Internet. Ich wollte es fast als „landwirtschaftlich“ bezeichnen, aber das trifft es wohl nicht ganz. Es ist eben das Werkzeug, das man hat. Aber es ist schon interessant, wenn das Hauptaugenmerk auf Identitätsmanagement liegt. Wie können wir bei der Wiederherstellung gezielter vorgehen? Denn das ist ja der Schlüssel. Ich will den Geschäftsbetrieb nicht unnötig beeinträchtigen, muss das Problem aber gleichzeitig eindämmen. Das ist ein spannendes Spannungsfeld.
Chris Linklater (00:12:39,680 – 00:13:45,280)
Es herrscht eine große Spannung – das trifft es gut –, insbesondere in Organisationen, die nicht unbedingt wissen, welche Funktion eine bestimmte Identität im Geschäftsbetrieb erfüllt. Bei menschlichen Identitäten ist das in der Regel unproblematisch, da sie einer einzelnen Person zugeordnet sind. Es ist ziemlich klar, wen wir beeinflussen, wenn wir eine Änderung an dieser Identität vornehmen. Bei Servicekonten und nicht-menschlichen Identitäten besteht jedoch die große Befürchtung, dass die Deaktivierung oder Einschränkung eines Kontos Geschäftsfunktionen beeinträchtigt. In manchen Branchen mag das akzeptabel sein. In Bereichen wie industriellen Steuerungssystemen, der Fertigung oder dem Gesundheitswesen besteht jedoch die Gefahr, dass die Deaktivierung einer Identität lebenswichtige Dienste lahmlegt. In solchen Situationen gilt: Je mehr Informationen man über die vorhandenen Identitäten hat, desto gezielter und effektiver kann man darauf reagieren.
Rob Ainscough (00:13:45,600 – 00:13:46,120)
Ich stimme zu.
Roy Akerman (00:13:46,120 – 00:14:43,360)
Ja, wir schaffen also eine Art Trennung – und Sie können mir gerne widersprechen – zwischen Eindämmung und der Blockierung der Möglichkeiten der Angreifer, sich weitgehend zu bewegen oder ihre Angriffe auszuweiten. Im ersten Fall nehmen wir eine kompromittierte Identität und versuchen, sie so einzuschränken, dass die legitime Maschine oder Person sie weiterhin nutzen kann. Wenn also lebenswichtige Missionen oder Ähnliches ausgeführt werden, funktioniert alles wie gewohnt, aber der Angreifer wird ferngehalten oder zumindest stark eingeschränkt. Wir versuchen also, die Ausbreitung einzudämmen. Und auf der anderen Seite versuchen wir sicherzustellen, dass die nächsten Schritte des Angreifers nicht wirklich erfolgreich sind. Vielleicht ist das auch zu vereinfacht. Ich versuche, es einfach für IAM-gesteuerte Missionen auf den Punkt zu bringen.
Rob Ainscough (00:14:44,160 – 00:15:35,360)
Das wirklich Interessante an dem, was Sie gerade gesagt haben, ist die Spannung zwischen Eindämmung und Wiederherstellung: Was kann ich mit diesem Konto tun? Was bedeutet das für das Unternehmen? Und ist das überhaupt akzeptabel? Genau diese Spannung führt dazu, dass man diese Kontrollen nicht proaktiv einführt. Richtig? Dass man Servicekonten nicht anrührt, weil man nicht weiß, was sie leisten. Dass man Angst hat, im Namen des Unternehmens etwas kaputt zu machen, während man versucht, es zu schützen. Und diese Spannung ist, wie gesagt, wirklich interessant. Aber mich interessiert aus Sicht der Unternehmensidentität: Gibt es etwas, ein Werkzeug, einen Hebel, den Sie sich wünschen würden, um gezielter einzudämmen, während Sie den Geschäftsbetrieb aufrechterhalten? Was würden Sie sich wünschen, was die meisten Unternehmen heute nicht haben?
Chris Linklater (00:15:35,440 – 00:16:27,040)
Meine Wunschliste ist wahrscheinlich immer sehr umfangreich. Und wie wir schon sagten: Alles, was der Sicherheit schadet, passiert freitags, wenn man im Urlaub ist oder in den Urlaub fährt. Eine weitere unumstößliche Wahrheit ist: Organisationen, die die Grundlagen zum Verständnis ihrer eigenen Assets, einschließlich der Identitäten ihrer Mitarbeiter, beherrschen, schneiden bei einem Sicherheitsvorfall immer besser ab als solche, die dies nicht tun. Das wird immer so bleiben. Daher hoffe ich immer, dass eine Organisation, wenn sie sich in einer Notsituation meldet, ein sehr gutes Verständnis ihrer Assets hat: wie viele sie besitzt, womit die Identitäten verknüpft sind, welche Anwendungen ausfallen, wenn ein bestimmtes Servicekonto deaktiviert wird usw. Wir ahnen gar nicht, was alles im Umlauf ist.
Rob Ainscough (00:16:27,280 – 00:17:32,320)
Ja, und da stimme ich vollkommen zu. Es ist grundlegend, sowohl proaktiv als auch reaktiv, und stellt für viele Unternehmen, mit denen ich spreche, immer noch eine Herausforderung dar. Aus der Perspektive der Kontrolle, insbesondere der lateralen Bewegung und der Möglichkeit, sich durch Identität zu bewegen, wird diese oft nur durch Berechtigungen eingeschränkt. Wie umfassend sind diese Berechtigungen und wie beeinflussen sie meine laterale oder vertikale Bewegung innerhalb des Umfelds? Das ist ein schwieriges Thema, denn Berechtigungen sind selbst unter optimalen Bedingungen äußerst komplex. Ich denke an das Netzwerk und wie wir es nutzen, um Bewegung und Bewegungsmöglichkeiten einzuschränken. Netzwerkkonzepte als Vehikel für Bewegung lassen sich meiner Meinung nach auf die Identität übertragen. Wie können wir Mechanismen schaffen, die festlegen, welche Identität nur auf diese Weise genutzt werden darf? Das ist ein entscheidender Faktor für eine gezielte Behebung dieser Probleme durch die Nutzung von Identität.
Roy Akerman (00:17:33,280 – 00:18:02,400)
Ich denke, Sie sprechen von Hebeln in einer bestimmten Situation, richtig? Wir haben ein System, das kompromittiert wurde und wahrscheinlich mit einigen zusätzlichen Angriffspunkten, Schwachstellen, Fehlkonfigurationen oder Ähnlichem für Angreifer ausgestattet war. Als Einsatzkraft möchten Sie die volle Kontrolle über jede Identität erlangen und – quasi als Vermittler – entscheiden, ob etwas unternommen werden kann, ja oder nein, unabhängig davon, wie das System aufgebaut ist.
Chris Linklater (00:18:03,600 – 00:18:39,240)
Ja, ich meine, wir verwenden den Begriff ständig: Netzwerksegmentierung ohne Identitätssegmentierung ist im Grunde nutzlos, richtig? Die Identität bestimmt eher, ob man die Grenze häufiger überschreiten kann oder nicht, als dass man beispielsweise sagt: „Hey, das ist das spezifische Protokoll, das wir zwischen zwei verschiedenen Rechenzentren blockieren.“ Fakt ist, dass man sich in beiden Rechenzentren problemlos anmelden können muss. Wenn man also die Identität nicht segmentiert, ist die Netzwerksegmentierung zwar nicht völlig umsonst, aber sicherlich nicht so effektiv, wie sie sein könnte, wenn man diese beiden Konzepte kombiniert.
Roy Akerman (00:18:39,680 – 00:18:50,800)
Mich interessieren die Gemeinsamkeiten oder zumindest die Trends, die Sie organisationsübergreifend beobachten. Was fehlt diesen Organisationen, oder vielen von ihnen, im Bereich Identitätsmanagement, was Angreifer dann ausnutzen?
Chris Linklater (00:18:51,200 – 00:19:55,680)
Wissen Sie, was vielleicht nicht das Wichtigste, aber definitiv ein zunehmender Trend ist, den wir immer häufiger beobachten, ist die Kontrolle von Gruppen. Organisationen erstellen ständig Gruppenkonzepte für ihre Benutzergruppen. Diese Gruppe von Personen kann diese oder jene Aktion ausführen. Was dabei oft außer Acht gelassen wird – und das klingt zwar simpel, ist, dass wir es immer wieder sehen –, ist, wer die Gruppenzugehörigkeit kontrollieren kann. Immer wieder stellen wir fest, dass Benutzerkonten mit geringeren Berechtigungen, beispielsweise die eines normalen Helpdesk-Administrators, die Möglichkeit haben, ein Konto einem Domänenadministrator hinzuzufügen. Die Gruppen wurden also perfekt eingerichtet, die Berechtigungen korrekt delegiert. Aber weil nicht festgelegt wurde, wer die Gruppenzugehörigkeiten ändern darf, entsteht ein Problem. Dasselbe passiert nicht nur bei traditionellen Identitätsanbietergruppen (IDP-Gruppen). Wir beobachten dieses Phänomen ständig in Systemen zur Verwaltung von Zugriffsrechten.
Rob Ainscough (00:19:55,840 – 00:20:51,600)
Absolut einverstanden. Ich habe das selbst erlebt. Und meine Güte, das war echt schwierig. Wir haben zuerst alle Delegierungen in unserem Active Directory durchgesehen, dann in der Cloud, wer die Berechtigung hat, Passwörter im Namen anderer zurückzusetzen. Wie viele Personen? Es waren deutlich mehr, als uns damals lieb war, und es betraf viele verschiedene Konten. Denn man muss davon ausgehen, dass ein Helpdesk-Konto, das ein anderes privilegiertes Konto zurücksetzen kann, standardmäßig auch ein privilegiertes Konto ist. Wer hat die Berechtigung, einem Konto eine privilegierte Gruppe hinzuzufügen? Welche Einschränkungen gelten dafür? Das ist ein sehr detailliertes Thema, aber extrem wichtig. Ich sehe aber nicht viele Unternehmen, die darüber sprechen oder sich damit auseinandersetzen, weil es ein zu komplexes Problem ist, um es gründlich zu durchdenken. Dabei ist es so wichtig für die Risikobewertung.
Roy Akerman (00:20:51,600 – 00:21:08,400)
Was ist die beste Vorgehensweise? Ich meine, aus Sicherheitssicht habe ich mal jemanden gesehen, der den Rekord gebrochen hat. Es war, sagen wir mal, ein Unternehmen der vierten Generation, sagen wir mal Fortune 20. Ja, die Zahl lässt sich kaum aufzählen, das hatte Hunderttausende von Mitarbeitern und genauso viele Konzerne, was verrückt klingt, oder? Also so.
Rob Ainscough (00:21:08,400 – 00:21:56,320)
Das Schwierige ist, dass es nicht ungewöhnlich ist. Und dann sind die Leute überrascht, wenn sie sagen: „Oh, es wurde eine Änderung an der Verschachtelung vorgenommen, und plötzlich gibt es all diese Berechtigungen, von denen wir nichts wussten, und wir haben Glück, dass wir sie gefunden haben.“ Und man denkt sich: Das ist doch nicht das Wichtigste, was wir kontrollieren müssen, oder? Es ist zu komplex. Es hat sich über 25, 30 Jahre Geschäftsbetrieb angesammelt. Wir haben zu viel Angst, es anzufassen, weil wir etwas im Unternehmen kaputt machen könnten. Aber worauf greifen wir dann zurück? Denn, wissen Sie, wenn das nicht effektiv ist und wir privilegierte Konten mit Benutzername- und Passwortauthentifizierung und statischen, immer aktiven Berechtigungen haben. Für mich ist das die schlimmste Kombination aus lascher Berechtigungskontrolle und leicht auszunutzenden Konten, richtig? Das fühlt sich gefährlich an.
Chris Linklater (00:21:56,880 – 00:21:57,440)
Selbstverständlich.
Rob Ainscough (00:21:57,440 – 00:22:00,000)
Wird genau das ausgenutzt? Ist das das, wonach Angreifer suchen?
Chris Linklater (00:22:00,920 – 00:22:32,080)
Ständig, nicht wahr? Und das liegt oft daran, dass viele Organisationen eine stark auf Compliance ausgerichtete Denkweise haben. Compliance kann beispielsweise vorschreiben, dass eine rollenbasierte Zugriffskontrolle für eine Anwendung erforderlich ist. Am einfachsten lässt sich diese rollenbasierte Zugriffskontrolle durch die Verwendung von Rollengruppen realisieren, richtig? Aber es gibt keinen nächsten Schritt in der Compliance-Prüfung, der beispielsweise sicherstellt, dass ein Prozess zur kontinuierlichen Überprüfung vorhanden ist, um zu gewährleisten, dass niemand die falsche Rolle einnimmt. Es geht lediglich darum, die rollenbasierte Zugriffskontrolle einzurichten.
Roy Akerman (00:22:32,720 – 00:22:36,400)
Ja, also wir haben da drüben ein ziemlich verwickeltes Netzwerk.
Rob Ainscough (00:22:36,720 – 00:22:52,720)
Wenn Sie über Identität und die Empfehlungen nachdenken, die Sie Ihren Klienten nach solchen Ereignissen geben: Was sind die drei wichtigsten Dinge, die Sie ihnen mitgeben, damit sie diese Situation bewältigen und hinter sich lassen?
Chris Linklater (00:22:53,600 – 00:22:58,720)
Daher verwenden wir gerne den Begriff Identitätsmodernisierung.
Rob Ainscough (00:22:59,080 – 00:22:59,200)
Okay.
Chris Linklater (00:22:59,880 – 00:23:10,160)
Viele Organisationen haben immer noch dieselbe grundlegende Identitätsstruktur wie bisher. Man sagt ja immer scherzhaft, dass viele Identitätsanbieter schon alt genug sind, um Bier zu kaufen.
Roy Akerman (00:23:11,920 – 00:23:12,920)
Und das ist wahr.
Chris Linklater (00:23:14,080 – 00:24:03,440)
Wir müssen das also nochmal überdenken, richtig? Wir müssen uns nicht nur die Identitätsanbieter ansehen, sondern auch unsere Identitätssegmentierung. Wollen wir von veralteten Identitätsanbietern zu moderneren Lösungen wechseln, sei es eine Cloud-basierte oder eine hybride Identitätslösung? Das gibt uns deutlich mehr Flexibilität, um unser Unternehmen voranzubringen. Und wir versuchen, all das unter dem Motto der Modernisierung zu betrachten. Identitäts- und Zugriffsmanagement wird für kein Unternehmen überflüssig werden. Aber wenn wir uns fragen: Was wir seit 20 bis 25 Jahren haben, funktioniert nicht mehr. Was brauchen wir, um Probleme in unserer Umgebung besser zu verhindern?
Rob Ainscough (00:24:03,520 – 00:24:50,800)
Ja, und ich denke, ein wichtiger Punkt ist Konsistenz, also die Schaffung gleicher Wettbewerbsbedingungen in Bezug auf Identität. Denn ich stelle oft fest, dass Unternehmen in der Cloud deutlich besser abgesichert sein können als On-Premise oder dass sie bei einem Cloud-Anbieter stärker sind als bei einem anderen. Und ich glaube, genau das suchen Angreifer: Inkonsistenzen, die schwächsten und am wenigsten geschützten Bereiche. Deshalb spreche ich oft darüber, wie wir durch Modernisierung und den Aufbau von Konsistenz – also wie wir die Konsistenz von Identität gewährleisten – diese Art der Verteidigung gegen solche Angriffe am wichtigsten ist.
Chris Linklater (00:24:51,120 – 00:25:12,200)
Ja, da stimme ich vollkommen zu. Und ich denke, der einfachste Weg, die Schwachstellen Ihrer Sicherheitsstrategie zu ermitteln, ist die Beauftragung eines Red Teams. Die Experten kommen vorbei und zeigen Ihnen sehr schnell, wo Ihre Sicherheitslücken liegen. Und das ist deutlich günstiger als ein Schadenfall bei einer Cyberversicherung. Daher empfehlen wir Unternehmen diese Vorgehensweise unbedingt.
Roy Akerman (00:25:12,200 – 00:25:38,400)
Bevor wir anfangen, einige der gewonnenen Erkenntnisse zu analysieren, möchte ich kurz das Thema wechseln. Wenn wir über die Entwicklung von KI sprechen und alle von KI-Modellen reden, die einem zur Verfügung stehen – sind Sie als Angreifer oder Verteidiger jemals mit KI-Modellen im Rahmen von Angriffen konfrontiert worden, mit denen sich Ihr Team auseinandersetzen musste? Haben Sie also gegen ein Modell oder gegen modellbasierte Aktionen gekämpft?
Chris Linklater (00:25:38,760 – 00:26:05,960)
Ich glaube nicht, dass wir schon ganz so weit sind, aber ich denke, es wird bald soweit sein. Die Einführung von KI in die Diskussion um Angreifer und Verteidiger zwingt alle Beteiligten dazu zu erkennen, dass die Grundlagen sitzen müssen, da sonst keine Zeit zum Reagieren bleibt. KI zwingt uns also dazu, das zu beschleunigen, was wir in der Vergangenheit durch Langsamkeit verkraften konnten.
Rob Ainscough (00:26:06,000 – 00:26:42,640)
Ich stimme vollkommen zu. Das wird all das ans Licht bringen, worauf wir nicht wirklich stolz sind und was in den letzten 25, 30 Jahren passiert ist. Wissen Sie, die Dinge, die wir als Altlasten bezeichnen, dürfen wir nicht vergessen. Sie sind keine Altlasten, wenn sie vom Unternehmen genutzt werden und ihm dienen, richtig? Sie mögen zwar unser Erbe sein. Wir mögen sie vielleicht nicht, aber für das Unternehmen sind sie kein Erbe. Sie sind wichtig für das Unternehmen. Und genau da müssen wir die Lücke schließen, denke ich, was die Modernisierung angeht. Das ist nicht so einfach. Aber wie können wir Dinge wie … robuster machen? Active DirectoryStimmt's? Ohne zu sagen: „Oh, ich werde in die Cloud wechseln, aber das wird fünf Jahre dauern.“ Und mittendrin werde ich einfach dieses Risiko eingehen.
Roy Akerman (00:26:42,640 – 00:27:27,360)
Ich glaube, mein Kommandant beim Militär sagte immer: „Manche sind einfach noch nicht bereit und haben keine Zeit, richtig?“ Und ich denke, manchmal müssen wir uns neu erfinden und unkonventionelle Wege gehen, um unsere Einsatzbereitschaft zu beschleunigen. Manchmal können wir nicht umstrukturieren und für Einheitlichkeit sorgen. Manchmal müssen wir schnell handeln, um auf alles vorbereitet zu sein. Dann ist unser Reaktionsprotokoll wenigstens viel effektiver und wir können die Mandianer hinzuziehen, um unser Leben zu retten oder unsere Angelegenheiten zu regeln. Wir können dann wenigstens richtig reagieren. Und ich denke, es ist Zeit für Schnellfeuerfragen. Ich wette, Chris ist das gewohnt, oder? Er muss brennende Fragen beantworten.
Rob Ainscough (00:27:27,880 – 00:27:34,880)
Aus dem Stegreif, ganz intuitiv. Also fangen wir an. Was ist ein Mythos der Identität?
Chris Linklater (00:27:36,200 – 00:28:15,880)
Das ist eine schwierige Frage. Ein weit verbreiteter Irrglaube ist, dass es eine universelle Passwortrichtlinie für alle Organisationen gibt. Wir werden ständig gefragt: „Wie sollte meine Passwortrichtlinie aussehen?“ Das ist eine berechtigte Frage. Die Antwort ist jedoch nicht für alle Organisationen gleich. Viele würden sich eine einfache Antwort wünschen. Aber der Irrglaube ist, dass es so einfach ist. In Wirklichkeit muss jede Organisation ihre individuellen Bedürfnisse analysieren und ihre Identität sowie mögliche Richtlinien auf Basis ihres Bedrohungsmodells und ihrer Ziele festlegen.
Rob Ainscough (00:28:16,240 – 00:28:22,000)
Da stimme ich vollkommen zu. Und nun zur zweiten Frage: Was ist ein Fehler, den Führungskräfte häufig machen?
Chris Linklater (00:28:22,480 – 00:28:34,080)
Ich glaube, eine Sache, die ich zunehmend beobachte, ist, dass Organisationen die letzten fünf Jahre damit verbracht haben, die menschliche Identität zu sichern.
Rob Ainscough (00:28:34,160 – 00:28:34,440)
Recht.
Chris Linklater (00:28:35,080 – 00:29:08,280)
Und wir sind darin tatsächlich ziemlich gut geworden. Wir haben MFA. Der erste Versuch mit MFA war vielleicht nicht optimal. Wir hatten Push-basierte MFA. Zwei Dinge funktionierten nicht richtig. Aber wir haben es noch einmal versucht und sind jetzt wirklich gut darin. Die menschliche Identität ist also – vielleicht noch nicht perfekt, aber deutlich besser. Ich denke jedoch, dass die ganze Aufmerksamkeit, die der menschlichen Identität zuteilwurde, die nicht-menschliche Identität vernachlässigt hat. Und ich denke, innerhalb einer Organisation müssen beide mit dem gleichen Maß an Sorgfalt behandelt werden.
Rob Ainscough (00:29:09,040 – 00:29:26,720)
Ja, stimme ich zu. Ich sehe, dass sich verschiedene Unternehmen an dem einen oder anderen Index orientieren und ihn wahrscheinlich überbewerten. Ich denke, es ist wirklich wichtig, das richtige Gleichgewicht zu finden, denn es gibt verschiedene Methoden, die angewendet werden, aber beide sind wichtig. Beide sind potenzielle Wege. Also, die nächste Frage: Was ist eine unumstößliche Wahrheit?
Chris Linklater (00:29:27,320 – 00:30:06,480)
Ich glaube, die schwierigste Erkenntnis ist derzeit, dass wir keine Ahnung haben, wie sich das Verhältnis zwischen Angreifer und Verteidiger, künstlicher Intelligenz und KI entwickeln wird. Wir wissen einfach nicht, wie das aussehen wird. Es werden wahrscheinlich schwierige Zeiten auf uns zukommen. Es wird wahrscheinlich auch große Erfolge geben. Es wird wohl ein ständiges Auf und Ab geben. Aber die bittere Wahrheit ist, dass wir schlichtweg nicht wissen, wo wir als Branche in zwei bis fünf Jahren stehen werden. Und ich denke, jeder, der Ihnen genau sagen kann, wo wir in zwei bis fünf Jahren mit KI stehen werden, mag zwar sehr selbstsicher sein, aber ich wäre in seiner Antwort nicht sehr zuversichtlich.
Rob Ainscough (00:30:06,880 – 00:30:11,760)
Ja, ich glaube, das Einzige, was daran sicher ist, ist die Ungewissheit. Da stimme ich dir vollkommen zu.
Roy Akerman (00:30:11,840 – 00:30:13,840)
Wir sollten unsere Tage jetzt genießen, nicht wahr?
Rob Ainscough (00:30:15,320 – 00:30:20,120)
Genieß es, solange es gut ist. Und Roy, unsere letzte Frage, willst du uns mit der letzten Frage überraschen?
Roy Akerman (00:30:20,120 – 00:30:25,440)
Die Frage, die mir am besten gefällt, lautet: Nennen Sie uns einen Trend, der Ihrer Meinung nach überbewertet ist.
Chris Linklater (00:30:25,760 – 00:31:04,360)
Es gibt viele Dinge, die überbewertet werden, und als Branche sind wir gut darin, Dinge zu übertreiben. Daher habe ich das Gefühl, dass wir uns in einer sehr angreifbaren Situation befinden. Was mir aber auffällt, obwohl viele Organisationen jetzt darüber sprechen und es nicht in ihr Bedrohungsmodell passt, ist Post-Quanten-Kryptographie. Ich denke, wir werden dieses Ziel als Branche gemeinsam erreichen. Wir werden letztendlich in eine Welt der Post-Quanten-Kryptographie eintreten. Und ich glaube, viele Organisationen verschwenden Zeit damit, über die Lösung dieses Problems nachzudenken, anstatt sich auf deutlich weniger vielversprechende Bereiche zu konzentrieren und ihre Sicherheitsrichtlinien zu verbessern.
Roy Akerman (00:31:05,000 – 00:31:05,600)
Interessant.
Rob Ainscough (00:31:05,920 – 00:31:06,080)
Ja.
Roy Akerman (00:31:06,080 – 00:31:29,440)
Sehr cool. Ich meine, es ist ein Problem, aber es gibt definitiv noch viel dringendere Probleme. Und damit, Chris, möchten wir uns ganz herzlich bei dir bedanken, dass du heute unser Gast warst. Wir haben das Gespräch sehr genossen und ich denke, wir konnten viel daraus mitnehmen. Wir müssen uns als IAM und im Sicherheitsbereich auf den nächsten Krieg vorbereiten, Hand in Hand, gemeinsam durch die Sonne marschieren. Ja, und damit vielen Dank.
Chris Linklater (00:31:30,640 – 00:31:31,840)
Nun, danke, dass ich hier sein darf.
Rob Ainscough (00:31:32,520 – 00:31:34,880)
Das war’s für diese Folge von Identity Decoded.
Roy Akerman (00:31:35,120 – 00:31:41,280)
Falls dieses Gespräch Ihre Sichtweise auf Identitätssicherheit verändert hat, teilen Sie es mit jemandem, der mit denselben Herausforderungen zu kämpfen hat.
Rob Ainscough (00:31:41,520 – 00:31:44,880)
Und vergesst nicht, die Sendung zu verfolgen, damit ihr nicht verpasst, was als Nächstes kommt.