Kriss Stephen | Leitender Lösungsarchitekt

In unserer Blogreihe zur Strategie des „Minimum Viable Company“ (MVC) haben wir Megakorp begleitet – einen Entwickler und Hersteller von industriellen Automatisierungskomponenten für den Unternehmensbereich, auf die sich Hersteller weltweit verlassen –, während das Unternehmen sich mit den Herausforderungen der modernen Cyber-Resilienz auseinandersetzte.

In Teil 1 unserer Serie („Warum echte Cyber-Resilienz bei der Identität beginnt“) erkannte das Unternehmen, dass Identität nicht bloß eine weitere IT-Abhängigkeit darstellte, sondern die operative Grundlage des Unternehmens selbst bildete. Active Directory und Entra ID wurden zu zentralen Bestandteilen der „Minimum Viable Company“-Strategie von Megakorp. Diese Identitätsplattformen stellten die Authentifizierung, die administrativen Kontrollmöglichkeiten und die operativen Dienste bereit, die erforderlich waren, um kritische Geschäftsfunktionen im Falle eines schwerwiegenden Cybervorfalls wiederherzustellen.

Die zweite Phase dieser Reise („Lehren zur Cyber-Resilienz über den Sicherheitsvorfall hinaus“) ging über die reine Wiederherstellung hinaus und untersuchte, inwiefern Cyber-Resilienz eine Koordinierung zwischen Cloud-Identität, operativer Wiederherstellung, Kommunikation und der Entscheidungsfindung der Führungskräfte unter Druck erfordert.

Als die Führungsspitze von Megakorp jedoch über die Resilienzstrategie des Unternehmens nachdachte, stellte sich eine schwierige Frage: Warum erst bei einer Krise überhaupt über Resilienz nachdenken?


Stärkung des MVC-Kerns: Grundsätze zur Steuerung des Sicherheitsstatus

Das Unternehmen hatte erhebliche Investitionen in die Notfallplanung und MVC-Funktionen getätigt, doch bestanden weiterhin Unsicherheiten hinsichtlich seiner Identitätsplattformen. Die Sicherheitsteams hatten Schwierigkeiten, die durch Fehlkonfigurationen, übermäßige Berechtigungen und riskante Identitätsbeziehungen, die sich sowohl über Active Directory als auch über Entra ID erstreckten, verursachten Sicherheitsrisiken vollständig zu erfassen.

Gleichzeitig nahmen die Administratoren täglich Änderungen an der kritischen Identitätsinfrastruktur vor, oft ohne einen zentralen Überblick darüber, was geändert wurde, wer die Änderungen vorgenommen hatte oder welches operative Risiko diese Änderungen mit sich brachten.

Megakorp erkannte, dass Resilienz nicht erst mit der Wiederherstellung beginnen kann.

Dies musste bereits viel früher beginnen – durch eine bessere Transparenz, strengere Kontrollen und die erforderliche operative Widerstandsfähigkeit, um Probleme rasch zu beheben, bevor sie zu Ereignissen führten, die den Geschäftsbetrieb beeinträchtigten.

Im Anschluss an eine strategische Überprüfung der Identitätssicherheit des Unternehmens legte der Vorstand von Megakorp drei Kernprinzipien fest, die die Strategie des Unternehmens zur Identitätsresilienz sowohl für Active Directory als auch für Entra ID untermauern sollen:

  • Transparenz: Die Fähigkeit, Risiken im Zusammenhang mit der Risikoexposition, Fehlkonfigurationen, Identitätsrisiken sowie betrieblichen Änderungsvorgängen im gesamten Identitätsbereich kontinuierlich zu erfassen.
  • Kontrolle: Die Möglichkeit, bei kritischen Identitätsänderungen und privilegierten Vorgängen Schutzmaßnahmen, Warnmeldungen und Reaktionsmechanismen einzurichten.
  • Identitätsresilienz: Die Fähigkeit, unerwünschte oder unbefugte Identitätsänderungen rasch einzudämmen, rückgängig zu machen und sich davon zu erholen, bevor sie zu einer umfassenderen Betriebsstörung eskalieren.

Aufgrund der Rolle von Megakorp als Hersteller kritischer Komponenten mussten diese Fähigkeiten über die herkömmliche IT-Umgebung hinaus auch auf Systeme der Betriebstechnik (OT) ausgeweitet werden.

Da zudem wesentliche Teile der OT-Umgebung in isolierten oder nicht mit dem Internet verbundenen Netzwerken betrieben wurden, benötigte das Unternehmen zudem lokale Überwachungs- und Schutzfunktionen, die auch in nicht vernetzten oder eingeschränkten Umgebungen funktionsfähig waren.


Transparenz: Erkennen Sie, wo Risiken für die Sicherheitslage bestehen

Megakorp wollte das Thema Transparenz über zwei unterschiedliche Kanäle angehen. In der ersten Phase lag der Schwerpunkt darauf, die bereits bestehenden Schwachstellen innerhalb der Identitätsumgebung zu erfassen und gleichzeitig sicherzustellen, dass das Unternehmen kontinuierlich benachrichtigt wird, sobald neue Schwachstellen oder Sicherheitsrisiken auftreten (Abbildung 1).

Abbildung 1. Sicherheitsindikatoren helfen dem Unternehmen, Schwachstellen zu erkennen.

Dazu gehörte die Identifizierung von Fehlkonfigurationen, veralteten Einstellungen, übermäßigen Berechtigungen und risikobehafteten Identitätsbeziehungen, die es einem Angreifer ermöglichen könnten, Zugriff auf die Umgebung zu erlangen oder sich nach dem Eindringen lateral zu bewegen. Für Megakorp war diese Transparenz nicht nur entscheidend für die Verringerung des unmittelbaren Risikos (Abbildung 2), sondern auch für das Verständnis, wie jahrelange betriebliche Veränderungen versteckte Risiken sowohl in Active Directory als auch in Entra ID verursacht hatten.

Abbildung 2. Die Erkennung von Sicherheitsrisiken und die Einstufung ihres Schweregrads helfen dem Sicherheitsteam dabei, Maßnahmen zur Risikominderung nach Priorität zu ordnen.

Im Mittelpunkt der zweiten Transparenzphase stand der Aufbau eines umfassenden betrieblichen Verständnisses der Änderungsaktivitäten im gesamten Identitätsbereich. Megakorp musste genau wissen, wer oder was innerhalb der Umgebung Änderungen vornahm, wann diese Änderungen stattfanden und welche potenziellen betrieblichen oder sicherheitsrelevanten Auswirkungen sie mit sich brachten. Ohne das in Abbildung 3 dargestellte Maß an Transparenz könnten unbefugte Änderungen, Konfigurationsabweichungen oder böswillige Aktivitäten unbemerkt bleiben, bis sie zu einer Dienstunterbrechung oder einer umfassenderen Kompromittierung führen.

Abbildung 3. Die automatisierte Überwachung von Änderungen ermöglicht es den Teams, verdächtige Aktivitäten in Echtzeit zu erkennen.

Um diesen Anforderungen gerecht zu werden, hat Megakorp seine Plattform zur Identitätsresilienz durch die Einführung von Semperis Directory Services Protector DSP). Dadurch erhielt das Unternehmen einen Überblick über sowohl verbundene als auch isolierte Netzwerke, sodass die Sicherheits- und Betriebsteams Identitätsrisiken, Konfigurationsänderungen und privilegierte Aktivitäten unternehmensweit kontinuierlich überwachen konnten.

Weitere Fehlkonfigurationen und Sicherheitslücken, die im gesamten Identitätsbereich identifiziert wurden, wurden bewertet und mit kurz-, mittel- und langfristigen Abhilfemaßnahmen abgeglichen. Dies ermöglichte es Megakorp, Maßnahmen zur sofortigen Risikominderung zu priorisieren und gleichzeitig strukturierte Pläne zu entwickeln, um komplexere Altkonfigurationen und betriebliche Abhängigkeiten im Laufe der Zeit anzugehen.

Durch einen proaktiven Ansatz bei der Behebung von Sicherheitslücken könnte das Unternehmen die Sicherheit seiner Umgebungen kontinuierlich verbessern, noch bevor Schwachstellen identifiziert und von Angreifern ausgenutzt werden könnten.


Kontrolle: Identitätsbezogenen Bedrohungen immer einen Schritt voraus sein

Die zweite Säule, die Kontrolle, ergab sich als logische Weiterentwicklung der Transparenz. Durch das Verständnis sowohl der im gesamten Identitätsbereich vorhandenen Konfigurationen als auch der Personen oder Stellen, die für Änderungen verantwortlich waren, war Megakorp in der Lage, operative Schutzmaßnahmen, Erkennungslogik und automatisierte Reaktionsmaßnahmen (wie in Abbildung 4 dargestellt ) einzuführen, die darauf abzielen, Identitätsrisiken zu mindern, bevor diese eskalieren können.

Abbildung 4. Die Regeln in DSP Sicherheitsgrenzen DSP und lösen automatisierte Benachrichtigungen sowie Abhilfemaßnahmen aus, damit Schwachstellen zügig behoben werden können.

Abbildung 5 zeigt beispielsweise eine Regel, die eine bestimmte AD-Änderung definiert, die eine bestimmte Aktion auslöst. Mit dieser Regel DSP Semperis DSP – sollten versehentlich Änderungen an den Organisationseinheiten der Identitätshierarchie von Megakorp durch einen Administrator mit zu weitreichenden Berechtigungen vorgenommen werden – die Änderung automatisch erkennen, die unbefugte Änderung rückgängig machen und die zuständigen Betriebs- und Sicherheitsteams benachrichtigen.

Abbildung 5. DSP Teams Änderungen gezielt definieren, die bestimmte Maßnahmen wie beispielsweise ein automatisiertes Rollback auslösen.

Das Megakorp-Team führte zusätzliche Kontrollmaßnahmen ein, um Aktivitäten wie die Einrichtung neuer Benutzerkonten außerhalb des von der Organisation genehmigten Identity Lifecycle Management (ILM)-Prozesses zu erkennen und darauf zu reagieren. Diese Kontrollmaßnahmen stellten sicher, dass alle neu erstellten Identitäten weiterhin einer Kontrolle unterlagen, nachprüfbar waren und den betrieblichen Sicherheitsstandards von Megakorp entsprachen.

Anstatt sich ausschließlich auf manuelle Überprüfungen oder Untersuchungen nach Vorfällen zu verlassen, stellte Megakorp auf kontinuierliche Identitätskontrolle, wodurch das Unternehmen in die Lage versetzt wurde, unbefugte Aktivitäten rasch zu erkennen, risikobehaftete Änderungen einzudämmen und die Betriebsstabilität sowohl in Active Directory als auch in Entra ID aufrechtzuerhalten.


Operative Widerstandsfähigkeit: Verringerung des Ausmaßes und der Auswirkungen von Cybervorfällen

Dank der Transparenz über alle Identitätsplattformen hinweg und operativer Sicherheitsvorkehrungen, die eine strengere Identitätskontrolle gewährleisten, entwickelte sich Megakorp auf natürliche Weise zur dritten Säule: der operativen Widerstandsfähigkeit.

Das Unternehmen war nun in der Lage, unerwünschte Identitätsänderungen rasch zu erkennen, einzudämmen und rückgängig zu machen, bevor sie sich zu größeren Betriebsstörungen ausweiteten.

Wie Abbildung 6 beispielsweise zeigt : Sollte ein automatisierter Prozess oder ein übereifriger Administrator versehentlich das Attribut „SMTP-Proxy-Adresse“ bei mehreren hundert Benutzerkonten geändert haben, könnten Administratoren die betroffenen Änderungen schnell identifizieren und rückgängig machen, ohne historische Datensätze durchsuchen oder frühere Sicherungssätze wiederherstellen zu müssen.

Abbildung 6. DSP sich riskante Änderungen leicht erkennen und korrigieren.

Wie Abbildung 7 zeigt , konnten sowohl die OT- als auch die IT-Teams durch die Nutzung der transaktionsbezogenen, zeitachsenbasierten Transparenz von Semperis hinsichtlich der Identitätsaktivitäten schnell nachvollziehen, was sich geändert hat, wer die Änderung vorgenommen hat und wie diese sicher rückgängig gemacht werden kann.

Abbildung 7. DSPspart den Teams Zeit, indem es ihnen ermöglicht, Änderungen schnell zu erkennen und zu filtern – und festzustellen, welche rückgängig gemacht werden sollen.

Durch die Einführung dieser automatisierten Funktionen konnten die betrieblichen Auswirkungen sowie die Dauer von Verwaltungsfehlern, Konfigurationsabweichungen oder böswilligen Identitätsänderungen im gesamten Unternehmen erheblich reduziert werden.


Die Weiterentwicklung hin zu einem ausgereifteren MVC-Modell

Durch die Kombination von Transparenz, Kontrolle und operativer Ausfallsicherheit über alle seine Identitätsplattformen hinweg mit den bereits zu einem früheren Zeitpunkt in seiner Entwicklung etablierten Funktionen für Wiederherstellung, Datensicherung und unternehmensweite Ausfallsicherheit hatte Megakorp seinen Ansatz zur Cyber-Resilienz grundlegend weiterentwickelt.

Die Organisation konzentrierte sich nicht mehr ausschließlich darauf, sich nach dem Eintreten eines schwerwiegenden Vorfalls wieder zu erholen. Stattdessen war sie in der Lage, Risiken kontinuierlich zu erkennen und zu minimieren , bevor es zu Störungen kam, im täglichen Betrieb operative Sicherheitsvorkehrungen durchzusetzen und bei auftretenden Vorfällen unerwünschte Änderungen rasch rückgängig zu machen oder zu korrigieren.

Durch diese mehrschichtige, identitätsorientierte Strategie hat sich Megakorp so positioniert, dass das Unternehmen vor, während und nach einem Cyberangriff widerstandsfähig agieren kann.

Für Megakorp war die Identitätsresilienz nicht länger eine Fähigkeit, die ausschließlich der Krisenbewältigung vorbehalten war.
Sie hatte sich zu einer kontinuierlichen betrieblichen Disziplin entwickelt, die unternehmensweit verankert war.

Weiterführende Literatur