Identity Access Management
Thycotic: Der PAM-Markt erfordert neue kreative Lösungen
Privileged Access Management
Der Markt für Privileged bzw. Identity Access Management hat sich in den letzten Jahren gewandelt. Moderne Lösungen bieten heute weit mehr als herkömmliche Passwortmanager, sind längst nicht mehr so komplex und decken immer mehr Infrastrukturen, Anwendungen und Benutzer ab. Um sich mit neuen innovativen Security-Lösungen zukünftig noch breiter aufstellen zu können und den Kunden einen noch größeren Mehrwert zu bieten, hat der PAM-Spezialist Thycotic nun den PAM-Lösungsanbieter Onion ID übernommen.
Über die Gründe für die Übernahme, neue PAM-Anwendungsfälle und das erweiterte Produktportfolio sprachen wir mit Stefan Schweizer, Regional VP Sales DACH bei Thycotic.
Welchen Mehrwert bietet Onion ID Thycotic? Was waren die Gründe für die Übernahme?
In den letzten Jahren konnten wir beobachten, dass sich der PAM-Markt rasant weiterentwickelt und immer anspruchsvoller wird. Das liegt insbesondere an immer neuen Anwendungsfällen, die neue, innovative und kreative Lösungen erfordern. Thycotic verfolgt als Security-Spezialist für Privileged Access Management und Vorreiter in Sachen PAM aus der Cloud die Idee eines umfassenden Privilegienmanagements, das es den Kunden ermöglicht, privilegierte Zugriffe in allen möglichen Umgebungen und Anwendungsbereichen angemessen zu schützen.
Die Übernahme von Onion ID war für Thycotic daher ein wichtiger Schritt. Das recht junge Unternehmen hat seit seiner Gründung im Jahr 2016 eine Reihe verschiedener mehrwertbringender Softwarelösungen entwickelt, die sich auf Privilegien-Verwaltung speziell für Cloud-Anwendungen, Cloud-Management-Konsolen, Container, APIs, Server und Datenbanken konzentrieren. Mit der Übernahme konnte Thycotic sein Portfolio nun um drei neue PAM-Produkte erweitern, die eine fortgeschrittene rollenbasierte Zugriffskontrolle (RBAC) für SaaS-Anwendungen, IaaS-Management-Konsolen, Container sowie Remote Access-Lösungen bieten. Dies ermöglicht es uns, neue Infrastrukturen, Anwendungen und Benutzer abzudecken und der steigenden Nachfrage nach kreativen PAM-Lösungen gerecht zu werden.
Aber nicht nur die Produkte von Onion ID überzeugen. Hinter dem Unternehmen steht ein innovatives Team aus kompetenten Softwareingenieuren, einige von ihnen ehemalige Führungsmitarbeiter bei Cloudfare, die wesentlich zum Erfolg und letztlich auch zum Börsengang des Internet-Sicherheitsanbieters beigetragen haben.
Sie sprechen von neuen Anwendungsfällen für Privileged Access Management. Welche sind dies und wo liegen die Herausforderungen für die Unternehmen?
Ein Thema, das IT-Abteilungen auf der ganzen Welt zurzeit besonders beschäftigt, ist die explosionsartige Zunahme der Remote-Arbeit und die Durchsetzung eines entsprechenden Zero-Trust-Sicherheitsansatzes. Die IT-Teams müssen einerseits dafür sorgen, dass jeder heimarbeitende Mitarbeiter oder Drittanbieter den für seine Arbeit nötigen Zugang zu den Unternehmensressourcen bekommt. Andererseits müssen sie sicherstellen, dass jeder Fernzugriff gemäß des Least Privilege-Prinzips erfolgt, d.h. jeder Nutzer nur die Rechte zugewiesen bekommt, die zur Erledigung seiner Arbeit auch unbedingt erforderlich sind. Sicherheitsteams stellt dies vor die Herausforderung, jederzeit im Blick haben und kontrollieren zu müssen, wer wann auf was zugreifen darf, da sie nur so die Einhaltung gesetzlicher Vorschriften sicherstellen und unautorisierte Zugriffe auf Unternehmensressourcen verhindern können.
Ein anderer Anwendungsfall ergibt sich aus der starken Zunahme von Cloud Computing. 80 Prozent der IT-Budgets werden heutzutage bereits für Cloud-Lösungen aufgewendet, da immer mehr Unternehmen die großen Chancen dahinter erkennen. Aus Sicherheitssicht und gerade in Sachen PAM stellt die zunehmende Cloud-Migration aber auch eine Herausforderung dar. Tatsache ist, ohne automatisierte Prozesse und spezialisierte Tools ist das Management von privilegierten Cloud-Zugriffen kaum noch zu bewältigen. Dies gilt ganz besonders auch für Zugriffe auf Cloud-Datenbanken von AWS (RDS), Google oder Azure. Die Kontrolle von Zugriffen auf sensible Datenbanken sollte für Sicherheitsteams oberste Priorität haben. Eine konsequente Überwachung und Aufzeichnung sämtliche Sitzungen ist ohne die richtigen PAM-Technologien aber sehr aufwendig.
Wie adressieren die neuen Thycotic-Lösungen diese Herausforderungen?
Bei der Durchsetzung eines Zero-Trust-Ansatzes für sicheren Fernzugriff steht den Thycotic-Kunden ab sofort der Thycotic Remote Access Controller zur Seite. Die Schlüsselworte sind hier Vereinfachung und Automatisierung. Der Controller verwendet Multi-Faktor-Authentifizierung (MFA) und Sitzungsaufzeichnung, ohne dass Software- oder Browser-Erweiterungen erforderlich sind, um die nächste Granularitätsstufe zur Durchsetzung von Richtlinien bereitzustellen. Dank seiner API-Suite, die in automatisierte Arbeitsabläufe und Ticketing-Systeme integriert werden kann, rationalisiert der Controller die Zugriffsgewährung für Auftragnehmer innerhalb eines zentralisierten Web-Portals.
Nachhaltigen Schutz für Enterprise Cloud-Assets ermöglicht der neue Thycotic Cloud Access Controller . Die Lösung stellt sicher, dass Nutzer von IaaS-Plattformen wie Amazon Web Services (AWS) und SaaS-Anwendungen wie Salesforce angemessene rollenbasierte Zugriffskontrollen (RBAC) unterhalten, die steuern, was jeder Benutzer innerhalb einer Webanwendung anklicken, lesen oder abändern kann. Zudem verfügen Administratoren über ein Dashboard, das ihnen einen genauen Überblick über sämtliche Aktivitäten – etwa auf welche Anwendungen zugegriffen wurde – bietet.
Mit der dritten neuen Lösung, dem Thycotic Database Access Controller , profitieren unsere Kunden von einer einzigartigen Kontrolle über ihre Datenbank-Zugriffe. Sie sind in der Lage, Cloud-Datenbanken von AWS (RDS), Google, Azure, Oracle oder Redis zu übernehmen und gleichzeitig angemessene Zugriffsebenen, Multi-Faktor-Authentifizierung durchzusetzen sowie vollständige Berichts-Workflows auszuführen. Unsere Kunden können so ganze Datenbankzugriffssitzungen aufzeichnen, zeitbasierten Zugriff gewähren, Aktionen melden und protokollieren, Warnmeldungen generieren und Verbindungen automatisch unterbrechen. Da die Verwaltung des Datenbankzugriffs nicht mehr manuell umgesetzt werden muss, ergeben sich hier für jedes Team nachhaltige Zeit- und Ressourceneinsparungen.
Wohin geht der Trend in Sachen PAM?
Eine hohe Nachfrage besteht im Bereich sicherer Zugriff auf bzw. Zugriffskontrolle von Webapplikationen. Viele IT-Abteilungen haben nach wie vor Probleme, Web-Anwendungen automatisiert und entsprechend ihrer Compliance-Richtlinien zu kontrollieren. Dabei geht es nicht nur um reines Access-Management, d.h. wer greift darauf zu, sondern um Application-Management im Allgemeinen. Dazu gehört zum Beispiel die Möglichkeit, Mitarbeitern zwar Zugriff auf Salesforce zu geben, die Funktion zum Export von Dateien aber zu unterbinden, etwa indem der entsprechende Button überhaupt nicht sichtbar ist. Oder die Möglichkeit bestimme Applikationen mittels Geolocation abzusichern und Zugriffe aus ungewöhnlichen Locations zu unterbinden. Es ist zu erwarten, dass viele klassische PAM-Lösungen zukünftig um solche speziellen Webapplikations-Lösungen erweitert werden.