Sensibilisierung für das Prinzip der geringsten Rechte

Was ist Sensibilisierung für das Prinzip der geringsten Rechte?

Berechtigungen häufen sich unbemerkt an. Beschäftigte wechseln Rollen, niemand gibt etwas zurück, und der Gesamtumfang zeigt sich erst, wenn etwas schiefgeht. Sie greifen per Phishing das Passwort einer Analystin ab, melden sich als sie an und exportieren den Kundenbestand mit Rechten, die von einer Compliance-Stelle übrig geblieben sind, die sie vor zwei Jahren verlassen hat. Anschließend führen Sie als Analystin die Zugriffsüberprüfung durch: Sie entfernen Exportrechte für Kundendaten und Administratorrechte für ein System, das Sie verlassen haben, kürzen ein älteres Tool, das Sie noch benötigen, auf reinen Lesezugriff und sehen zu, wie derselbe Export scheitert.

Was Sie lernen in Sensibilisierung für das Prinzip der geringsten Rechte

• Erklären Sie das Prinzip der geringsten Rechte und wie es den möglichen Schadensumfang eines kompromittierten Kontos begrenzt
• Schließen Sie eine vierteljährliche Zugriffsüberprüfung ab und beurteilen Sie jede Berechtigung anhand der tatsächlichen Anforderungen Ihrer aktuellen Rolle
• Erkennen Sie die schleichende Anhäufung von Berechtigungen als Folge verbliebener Zugriffsrechte aus früheren Rollen und nicht als einen einmaligen Einrichtungsfehler
• Treffen Sie eine angemessene Entscheidung über selten genutzte, aber noch gelegentlich benötigte Zugriffsrechte, statt sie standardmäßig beizubehalten
• Erkennen Sie, wie weniger dauerhaft gewährte Zugriffsrechte den Schaden begrenzen, wenn ein Konto im Rahmen einer Phishing-Kampagne kompromittiert wird

Sensibilisierung für das Prinzip der geringsten Rechte — Trainingsschritte

1. Eine Seite, die es wert ist, kopiert zu werden

   Bob hat access-harmonfs.net registriert und eine Kopie des Zugangsüberprüfungsportals von Harmon darauf abgelegt. Dafür musste er nirgendwo einbrechen. Er hat die echte Anmeldeseite gespeichert und eine Sache geändert.

2. Das Einzige, was er verändert hat

   Logo, Text und Layout stammen vom echten Portal, und das Vorhängeschloss ist ebenfalls gültig. Nur die Adresse gehört ihm.

3. Die E-Mail versenden

   Bob schreibt an eine Person. Eine Frist und ein Link genügen.

4. Ihre Überprüfung steht noch aus

   Alices vierteljährliche Berechtigungsprüfung steht tatsächlich noch aus. Sie wurde diesen Monat bereits zweimal daran erinnert.

5. Das Portal öffnen

   Die Frist endet heute und die Prüfung dauert zwei Minuten. Alice klickt auf den Link.

6. Anmelden

   Die Seite, die sich öffnet, sieht genauso aus wie das Portal, bei dem sich Alice jedes Quartal anmeldet. Sie gibt ihre geschäftliche E-Mail-Adresse und ihr Passwort ein.

7. Was das Formular erfasst hat

   Das Formular hat nie etwas an Harmon gesendet. Es übermittelte die Daten an Bobs Sammelserver.

8. Ihr Passwort, vollständig

   Ein abgefangener Datensatz. Das Passwort ist weder gehasht noch verborgen, weil die gefälschte Seite es im Klartext speichern soll.

9. Sich als sie anmelden

   Bob geht zum echten Portal und meldet sich mit dem an, was er gesammelt hat. Für Harmon sieht es so aus, als würde Alice ihre Zugriffsrechte überprüfen.

10. Was das Konto sonst noch öffnet

    Das Portal zur Zugriffsüberprüfung ist nur eines der Systeme, auf die Alice mit ihrem Konto zugreifen kann. Bob sucht nach weiteren.