Was ist Secrets Management?

Die Geheimnisverwaltung ist der Prozess der Organisation, Verwaltung und Sicherung von IT-Infrastrukturgeheimnissen. Sie ermöglicht es Organisationen, Geheimnisse sicher zu speichern, zu übertragen und zu überprüfen. Die Geheimnisverwaltung schützt Geheimnisse vor unbefugtem Zugriff und stellt sicher, dass die Systeme einer Organisation ordnungsgemäß funktionieren. Ein Secrets Manager ist ein sicheres Speichersystem und eine zentrale Datenquelle für privilegierte Zugangsdaten, API-Schlüssel und andere hochsensible Daten, die in IT-Infrastrukturen verwendet werden.

Lesen Sie weiter, um mehr über die Verwaltung von Geheimnissen und die Möglichkeiten zu erfahren, wie Sie die Datenumgebung Ihres Unternehmens schützen können.

Was ist ein IT-Geheimnis?

In einer IT-Datenumgebung sind Geheimnisse privilegierte Zugangsdaten, die am häufigsten von Systemen und Anwendungen zur Authentifizierung oder als Eingabe für einen kryptografischen Algorithmus verwendet werden. Mit Geheimnissen können Anwendungen und Systeme Daten übertragen und Dienste miteinander anfordern. Sie schalten Anwendungen, Dienste und IT-Ressourcen frei, die hochsensible Informationen und privilegierte Systeme enthalten.

Häufige Arten von Geheimnissen:

Nicht-menschliche Zugangsdaten
Datenbankverbindungsdaten
Kryptografische Schlüssel
Zugangsdaten für Cloud-Dienste
API-Schlüssel
Zugriffstoken
SSH-Schlüssel

Warum ist secrets management wichtig?

Die Geheimnisverwaltung ist eine bewährte Cybersicherheitsmethode, um Sicherheitsrichtlinien für nicht-menschliche Authentifizierungsdaten durchzusetzen. Dadurch wird sichergestellt, dass nur authentifizierte und autorisierte Einheiten auf Ressourcen zugreifen können, die vertrauliche Daten und hochsensible Anwendungen und Systeme enthalten. Mit einem Tool zur Verwaltung von Geheimnissen haben Organisationen Einblicke in die Geheimnisse, wer auf sie zugreifen kann und wie sie verwendet werden.

Mit zunehmendem Wachstum von Organisationen stoßen IT- und DevOps-Teams auf ein Problem, das als Secrets Sprawl bezeichnet wird. Dies tritt auf, wenn eine Organisation zu viele Geheimnisse hat, die sie verwalten können, und diese Geheimnisse werden über die gesamte Organisation verstreut und an unsicheren Orten mit unsicheren Methoden gespeichert. Ohne eine zentrale Geheimnisverwaltungsrichtlinie oder ein zentrales Tool verwaltet jedes Team innerhalb einer Organisation seine Geheimnisse unabhängig voneinander, was zu falsch verwalteten Geheimnissen führen kann. IT-Administratoren haben jedoch keine zentrale Transparenz, Überprüfbarkeit und Kontrolle über die Speicherung und Nutzung dieser Geheimnisse.

Bewährte Methoden für Secrets Management

Aufgrund der Vielzahl von Geheimnissen – allein die Zahl der SSH-Schlüssel kann bei manchen Organisationen in die Tausende gehen – ist der Einsatz einer Lösung zur Geheimnisverwaltung wie Keeper Secrets Manager^® ein Muss. Mit einem Geheimnisverwaltungstool wird sichergestellt, dass Geheimnisse an einem verschlüsselten Ort gespeichert werden. So können Organisationen ihre Geheimnisse einfach verfolgen, darauf zugreifen, verwalten und überprüfen.

Ein technisches Tool kann jedoch nur so viel! Neben der Implementierung eines Secrets Manager sollten Organisationen auch bewährte Methoden für die Geheimnisverwaltung anwenden.

Berechtigungen und autorisierte Benutzer verwalten

Nachdem Sie Ihre Geheimnisse mit einer Geheimnisverwaltungslösung zentralisiert und geschützt haben, müssen Sie als nächstes sicherstellen, dass nur autorisierte Personen und Systeme darauf zugreifen können. Dies wird durch rollenbasierte Zugriffssteuerung (RBAC) erreicht. RBAC definiert Rollen und Berechtigungen basierend auf der Jobfunktion eines Benutzers innerhalb der Organisation, um den Systemzugriff auf autorisierte Benutzer zu beschränken. RBAC verhindert, dass unbefugte Benutzer auf Geheimnisse zugreifen.

Organisationen müssen auch die Privilegien für diese Geheimnisse verwalten, da sie auf hochsensible Daten zugreifen. Werden Privilegien missbraucht, können Organisationen Privilegienmissbrauch in Form von Insider-Bedrohungen und lateraler Bewegung durch Cyberkriminelle innerhalb ihres Netzwerks aussetzen. Sie sollten den Zugriff mit geringsten Privilegien implementieren – ein Cybersicherheitskonzept, das Benutzern und Systemen gerade genug Zugriff auf sensible Ressourcen gewährt, um ihre Arbeit zu erledigen. Der beste Weg, um Privilegierungen zu verwalten und den Zugriff mit geringsten Privilegien zu implementieren, ist ein Tool zur Verwaltung privilegierter Zugriffsberechtigungen (Privileged Access Management, PAM).

Geheimnisse rotieren

Viele Organisationen verwenden statische Geheimnisse, die es zu vielen Benutzern ermöglichen, im Laufe der Zeit darauf zuzugreifen. Um zu verhindern, dass Geheimnisse kompromittiert und missbraucht werden, sollten Organisationen Geheimnisse regelmäßig nach einem vorher festgelegten Zeitplan rotieren, um ihre Lebensdauer zu begrenzen. Das Rotieren von Geheimnissen begrenzt die Zeit, in der ein Benutzer Zugriff auf die Geheimnisse hat, sodass er gerade genug Zugriff hat, um seine Arbeit zu erledigen. Es verhindert, dass Geheimnisse versehentlich aufgrund fahrlässiger oder böswilliger Benutzer ungewollt weitergegeben werden. Organisationen sollten auch Geheimnisse mit starken und einzigartigen Passwörtern und Mehr-Faktor-Authentifizierung schützen.

Zwischen Geheimnissen und Identifikatoren unterscheiden

Organisationen müssen jedes Geheimnis in ihrer Organisation sammeln, um sicherzustellen, dass sie vor unbefugtem Zugriff geschützt sind. Organisationen müssen jedoch zwischen Geheimnissen und Identifikatoren unterscheiden, wenn sie Geheimnisse sammeln.

Ein Identifikator ist der Verweis eines Identity Access Management (IAM) Systems oder einer anderen Entität auf eine digitale Identität. Benutzernamen und E-Mail-Adressen sind gängige Beispiele für Identifikatoren. Identifikatoren werden oft innerhalb und sogar außerhalb einer Organisation frei geteilt. Sie werden verwendet, um allgemeinen Zugriff auf die Ressourcen und Systeme der Organisation zu gewähren.

Geheimnisse sind hingegen streng vertraulich. Wenn ein Geheimnis kompromittiert wird, können Bedrohungsakteure damit auf hochprivilegierte Systeme zugreifen, und die Organisation könnte großen oder sogar katastrophalen Schaden erleiden. Geheimnisse müssen streng überwacht und kontrolliert werden, um unbefugten Zugriff auf sensible Daten und Systeme zu verhindern.