Seit Jahrzehnten löst Privileged Access Management (PAM) das Serverproblem durch das Vaulting von Anmeldedaten, die Rotation von Passwörtern und die Aufzeichnung von Sessions auf Linux-Hosts und Windows-Servern. Und es funktionierte – für die damalige Zeit.
Aber die Threat-Oberfläche hat sich verändert. Die sensibelsten Daten im Unternehmen liegen heute nicht mehr primär auf Servern. Sie liegen in Datenbanken: Kundendaten, Finanzinformationen, personenbezogene Daten (PII) und regulierte Workloads. Das Volumen wächst. Die Sensibilität steigt. Und die Umgebungen, in denen diese Daten gespeichert sind, haben eine Komplexität erreicht, die weit über das hinausgeht, wofür traditionelles PAM ursprünglich entwickelt wurde.
Moderne Datenbankumgebungen sind nicht einstufig. Sie umfassen on-premise-Instanzen, Cloud-verwaltete Dienste und eine wachsende Anzahl von Engines, die jeweils über ein eigenes Berechtigungsmodell, eine eigene Rollenhierarchie und native Zugriffskontrolle verfügen. Entwicklerteams oder Datenbankadministratoren, die in diesen Umgebungen tätig sind, stehen bei der Verwaltung von Anmeldedaten vor einer Herausforderung, die sich grundlegend vom Serverzugriff unterscheidet. Berechtigungen sind verschachtelt. Die Vererbung ist intransparent. Was an der Oberfläche am wenigsten privilegiert erscheint, verbirgt oft weitreichenden Zugriff, der zwei Ebenen tiefer versteckt ist.
Die Regulierung hat die Situation verschärft. Frameworks wie SOX, DSGVO, HIPAA und PCI DSS erfordern alle eine nachweisbare Kontrolle darüber, wer wann auf welche Daten zugreifen kann. Prüfer:innen fordern es. Security-Teams versuchen, es durchzusetzen. Aber die Tools haben nicht Schritt gehalten. Die meisten Organisationen verlassen sich nach wie vor auf statische Anmeldedaten, gemeinsam genutzte Dienstkonten und manuelle Rotationsprozesse, um den Zugriff auf ihre sensibelsten Datenspeicher zu sichern. Diese Governance-Lücke ist der Punkt, an dem Sicherheitsverletzungen entstehen.
Verwaltung von Datenbanken in Okta Privileged Access
Okta Privileged Access bietet jetzt sicheren Privileged Access für Datenbanken. Diese Funktion befindet sich derzeit im Early Access und vereint die Zugriffskontrolle für Datenbanken mit bestehenden Sicherheitsrichtlinien, die für Server, SaaS-Anwendungen und Active Directory verwendet werden. Durch die Zentralisierung der Transparenz werden fragmentierte Zugriffsrisiken über kritische Datenebenen hinweg beseitigt. Keine statischen Anmeldedaten mehr. Keine gemeinsam genutzten Passwörter mehr, die in Ihrem Unternehmen im Umlauf sind. Einfach nur geregelter, überprüfbarer Zugriff auf die wichtigsten Systeme.
Das sind die Neuerungen:
Benutzer:innen gemeinsam genutzter Datenbanken, endlich verwaltet
Gemeinsam genutzte Datenbank-Benutzer:innen sind zu einem Sicherheitsrisiko geworden – Konten, die jeder verwendet, für die sich aber niemand wirklich verantwortlich fühlt. Administrator:innen für Privileged Access können diese Konten als verwaltete Ressourcen einbinden. Endbenutzer greifen so auf spezifische Datenbanken über die gewohnte Benutzeroberfläche zu.
Keine statischen Anmeldedaten mehr
Privileged Access „übernimmt“ gemeinsam genutzte Passwörter von Datenbank-Benutzer:innen, rotiert sie zu kryptografisch sicheren Werten und nimmt sie in den Vault auf. Wenn ein:e Benutzer:in Zugriff benötigt, werden Anmeldedaten für eine begrenzte Session abgerufen – danach läuft das Passwort automatisch ab und wird rotiert.
Richtlinienkontrollen, die der Sensibilität der Ressource entsprechen
Mit Privileged Access können Sie bei jeder Zugriffsanfrage Checkout-Anforderungen und MFA durchsetzen, sodass jede Session verifiziert, kontrolliert und revisionssicher ist.
Abdeckung für die Datenbanken, die Sie heute betreiben – und morgen
Der Early Access von Secure Privileged Access für Datenbanken unterstützt PostgreSQL und MySQL. Die allgemeine Verfügbarkeit steht kurz bevor und wird auf Microsoft SQL Server, Oracle Database und MongoDB ausgeweitet.
Jetzt ansehen: Wie sichert Okta den Datenbankzugriff ab?
Ausblick auf die Zukunft
Diese erste Version macht statische Anmeldedaten überflüssig und unterstellt gemeinsam genutzte Datenbankbenutzer:innen einer richtliniengesteuerten Kontrolle. Von hier aus wird die Roadmap ambitionierter: Breitere Datenbankabdeckung, automatisierte Onboarding-Regeln für Benutzer:innen und ein Weg hin zu vollständig ephemeren Just-in-Time-Datenbank-Benutzer:innen mit Granularität auf Tabellenebene.
Der Zielzustand, auf den wir hinarbeiten, ist klar: Zero Standing Privileges (ZSP). Keine dauerhaften Anmeldedaten, die gestohlen werden können, keine Accounts, die im Laufe der Zeit Zugriffsrechte ansammeln. Der Zugriff wird bei Bedarf gewährt, auf die jeweilige Aufgabe beschränkt und nach Beendigung der Session wieder entzogen.
Der Weg dorthin ist kein einzelner Schritt. Die meisten Unternehmen verlassen sich immer noch auf Vaulting und Rotation, und diese Kontrollen sind nach wie vor wichtig. Privileged Access bietet Support für beides und schließt damit die Lücke zwischen dem Standing-Privileg-Modell, das Teams heute nutzen, und dem Modell des temporären Zugriffs, auf das sie hinarbeiten.
Bereit für den Start? Wenden Sie sich gerne an Ihren Account Executive oder Customer Success Manager, um eine Demo von Okta Privileged Access zu vereinbaren.
Jegliche Erwähnung zukünftiger Produkte, Funktionen, Funktionalitäten oder Zertifizierungen in diesem Blog dient ausschließlich zu Informationszwecken. Es handelt sich nicht um Zusagen zur Bereitstellung und sollte nicht als Grundlage für Kaufentscheidungen herangezogen werden. © Okta, Inc. und Partner.
