Der Betrieb eines sicheren administrativen Jumphosts – sei es auf einem Windows-Terminalserver oder einem Linux-Bastionhost – ist ein wichtiger Schritt, um ein Netzwerk gegen Cyberangriffe zu schützen. Ein gut gesicherter Jumphost dient als zentrale und sichere Verbindungsstelle, von der aus Administratoren auf die wichtigsten Teile der IT-Infrastruktur zugreifen können, ohne dass der direkte Zugriff von administrativen Endgeräten nötig ist.
Da nicht jedes Unternehmen den gleichen Schutzbedarf hat, werden hier die wichtigsten Sicherheitsmaßnahmen in drei Sicherheitsstufen eingeteilt: Basis, Fortgeschritten und Hoch. Jede Stufe ergänzt die Maßnahmen der vorhergehenden Stufe und bietet so eine stufenweise Erhöhung der Sicherheit.
Security Level 1: Basis-Sicherheitsmaßnahmen
In dieser Stufe werden die grundlegenden Anforderungen an die Sicherheit eines Jumphosts umgesetzt. Diese Basismaßnahmen stellen sicher, dass administrative Verbindungen im allgemeinen Netzwerk, in das u.a. PC-Arbeitsplätze eingebunden sind, minimiert werden.
1. Keine Anmeldung mit globalen oder lokalen Administratorkonten
Vermeiden Sie die direkte Anmeldung auf dem Jumphost mit globalen oder lokalen Administratorkonten. Richten Sie dedizierte, restriktive Konten ein, die ausschließlich für die Verbindung zum Jumphost genutzt werden und über keine administrativen Rechte verfügen.
WARUM?
Die Anmeldung mit administrativen Konten erhöht das Risiko, dass Angreifer, die sich bereits im Netzwerk befinden, administrative Berechtigungen erlangen, indem sie administrative Sitzungen übernehmen.
Folgender Artikel beschreibt die Vorgehensweise: Gehackt per Remote Desktop Protocol: Was Sie über RDP Hijacking wissen sollten
2. Netzwerktrennung zwischen Endgeräten und Zielsystemen
Implementieren Sie eine Netzwerksegmentierung, die den Jumphost in einem isolierten Netzwerkbereich platziert. Stellen Sie sicher, dass die administrativen Endgeräte keinen direkten Zugriff auf die administrativen Schnittstellen der IT-Infrastruktur haben. Der Zugriff sollte ausschließlich über den Jumphost erfolgen, so dass die Endgeräte nur mit dem Jumphost und der Jumphost nur mit den administrativen Zielsystemen kommuniziert.
Die Netzwerktrennung verringert die Wahrscheinlichkeit, dass sich Schadsoftware direkt von administrativen Endgeräten auf Zielsysteme ausbreitet oder administrative Zugangsdaten erbeutet werden können.
3. Verwendung autarker Konten ohne administrative Rechte
Verwenden Sie Benutzerkonten ohne administrative Rechte für die Anmeldung am Jumphost. Administrative Konten sollten nur bei der Verwendung von Administrationswerkzeugen (z.B. PowerShell) aktiviert werden.
Eigenständige Konten ohne Administrationsrechte reduzieren die Angriffsfläche. Die Rechte werden nur bei Bedarf erhöht, was die Gefahr des Missbrauchs reduziert.
Security Level 2: Fortgeschrittene Sicherheitsmaßnahmen
Die zweite Ebene umfasst Maßnahmen, die zusätzliche Sicherheitsebenen bieten, indem sie den Zugang weiter einschränken und Aktivitäten überwachen. Diese Maßnahmen bieten Schutz vor fortgeschrittenen Cyberangriffen, so genannten APTs (Advanced Persistent Threat).
4. Multi-Faktor-Authentifizierung (MFA) für den Jumphost-Zugriff
Aktivieren Sie MFA für alle Benutzer, die sich am Jumphost anmelden, und verwenden Sie sichere MFA-Methoden wie Hardware-Token oder Authenticator-Apps.
MFA bietet eine zusätzliche Sicherheitsebene und schützt auch dann, wenn ein Benutzerkonto kompromittiert wurde.
WICHTIG!
Es sollte ein Breaking Glass Account (ohne MFA) verwendet werden, der nur im Notfall verwendet werden darf und durch das Monitoring überwacht wird.
5. Sitzungsprotokollierung und Überwachung
Protokollierung von Sitzungen und Überwachung in Echtzeit. Zeichnen Sie alle administrativen Aktivitäten und Befehle auf, um unbefugte oder verdächtige Aktivitäten zu erkennen. Diese Informationen können an einen zentralen Log-Server oder ein SIEM-System weitergeleitet werden.
Logging und Monitoring helfen, Sicherheitsvorfälle zu erkennen und im Notfall lückenlos nachzuvollziehen, was auf dem Jumphost passiert ist.
Security Level 3: Hohe Sicherheit
Das dritte Level umfasst Maßnahmen, die den Jumphost für hochsichere Umgebungen ideal schützen. Diese Maßnahmen zielen auf eine umfassende Kontrolle und Minimierung der Zugriffszeiten ab.
7. Just-in-Time-Zugriff (JIT)
Implementieren Sie eine Just-in-Time-Zugriffssteuerung, die Zugriffsrechte nur für den benötigten Zeitraum freigibt. Nach Ablauf der definierten Zugriffszeit wird die Sitzung automatisch beendet.
Als Beispiel kann die Implementierung von Microsoft für Entra ID dienen: Aktivieren des Just-In-Time-Zugriffs auf virtuellen Computern – Microsoft Defender for Cloud
Zeitlich begrenzte Zugriffe reduzieren die Angriffsfläche, da nur bei tatsächlichem Bedarf Zugriff gewährt wird.
Zusammenfassung
Der Betrieb eines sicheren administrativen Jumphosts kann je nach Sicherheitsanforderungen und Risikoakzeptanz in mehreren Stufen aufgebaut werden. Die Basissicherheitsmaßnahmen bilden die Grundlage für einen sicheren Zugang und sollten daher unbedingt umgesetzt werden.
Welche Risiken hast Du noch, hier erfährst Du: WARUM BUCHEN KUNDEN MEINEN INCIDENT PREVENTION WORKSHOP?