Was ist rollenbasierte Zugriffskontrolle (RBAC)?
Rollenbasierte Zugriffskontrolle (RBAC) ist ein Verfahren zur Verwaltung von Berechtigungen: Rechte werden Rollen zugewiesen, und Personen oder Dienste werden diesen Rollen zugeordnet. Jede Rolle umfasst den Zugriff, den eine Funktion braucht, und nicht mehr. Das erleichtert die Prüfung und begrenzt, was ein einzelnes Konto tun kann.
Wie funktioniert RBAC?
Ein Administrator definiert Rollen, jede mit erlaubten Aktionen auf bestimmten Ressourcen. Benutzer, Gruppen und Dienstkonten werden dann Rollen zugeordnet. Wechselt jemand die Aufgabe, ändert sich die Rollenzuordnung, und die Berechtigungen folgen. Fragt ein Auditor, wer Backups löschen kann, ist die Antwort die Mitgliedschaft der Rollen mit dieser Berechtigung. Dahinter steht das Least-Privilege-Prinzip: Ein Konto soll nur die Rechte haben, die es braucht.
Welche Rollen braucht eine Backup-Umgebung?
Backup-Software und Speichersysteme bringen vordefinierte Rollen mit, deren Namen variieren. Entscheidend ist die Trennung zwischen dem Ausführen von Backups, dem Wiederherstellen von Daten und dem Ändern oder Löschen.
| Rolle | Darf | Sollte nicht dürfen |
|---|---|---|
| Backup-Operator | Jobs starten, Status einsehen | Backups löschen, Aufbewahrung ändern |
| Restore-Operator | Dateien und Systeme wiederherstellen | Jobs oder Repositories ändern |
| Backup-Administrator | Jobs und Repositories konfigurieren | Sperren auf Speicherebene entfernen |
| Speicheradministrator | Kapazität, Benutzer und Buckets verwalten | Gesperrte Backup-Daten lesen oder löschen |
| Auditor | Konfiguration und Protokolle einsehen | Irgendetwas ändern |
| Dienstkonto für Jobs | Eigene Daten schreiben und lesen | Den Speicher administrieren |
Warum zählt Rollentrennung bei Ransomware?
Angreifer zielen auf das Konto mit den meisten Rechten. Kann ein einziges Administratorkonto Jobs konfigurieren, Wiederherstellungspunkte löschen und den Speicher verwalten, genügt dessen Diebstahl, um jedes Backup zu löschen. Werden diese Fähigkeiten auf Rollen verteilt, reicht ein einzelner gestohlener Zugang weniger weit. Das verkleinert den administrativen Blast Radius. Die Dienstkonten der Backup-Jobs verdienen dieselbe Aufmerksamkeit, weil sie auf dem Backup-Server gespeichert sind. Die Beiträge Backup-Dienstkonten begrenzen und Admin-Konten trennen behandeln die Praxis.
Wo liegen die Grenzen von RBAC?
RBAC entscheidet, wer eine Aktion anfordern darf. Es hindert ein autorisiertes Konto nicht am Missbrauch seiner Rechte, und Rollen sammeln mit der Zeit Berechtigungen an, wenn sie nicht überprüft werden. RBAC wird deshalb mit weiteren Kontrollen kombiniert: Multi-Faktor-Authentifizierung für Personen in privilegierten Rollen, das Vier-Augen-Prinzip für destruktive Aktionen und Unveränderlichkeit, damit gespeicherte Wiederherstellungspunkte geschützt sind, gleich welche Rolle ein Angreifer erlangt.
Häufig gestellte Fragen
Was ist der Unterschied zwischen RBAC und Least Privilege?
Least Privilege ist das Ziel, jedem Konto nur den nötigen Zugriff zu geben. RBAC ist eine Art, Berechtigungen zu organisieren, die dieses Ziel handhabbar macht.
Sollten Backup-Rollen aus dem Produktionsverzeichnis kommen?
Rollen auf Verzeichnisgruppen abzubilden ist bequem, bindet den Backup-Zugriff aber an die Sicherheit des Verzeichnisses. Lokale Konten für die am höchsten privilegierten Rollen vermeiden diese Abhängigkeit.
Wie oft sollten Rollenzuordnungen überprüft werden?
Mindestens jährlich und immer dann, wenn Mitarbeiter eintreten, wechseln oder ausscheiden.