Der beste Weg zur Verwaltung von SSH-Schlüsseln

Das Secure Shell (SSH)-Protokoll wird von Systemadministratoren häufig verwendet und bietet eine sichere Möglichkeit, über ein ungesichertes Netzwerk auf entfernte kritische Systeme, Geräte und Daten zuzugreifen. Die weit verbreitete Nutzung und der privilegierte Zugriff werfen jedoch die Frage auf, wie SSH-Schlüssel am besten verwaltet werden können.

Mit der Verbreitung neuer Technologien wie IoT und der Cloud hat die Bedeutung von SSH-Schlüsseln drastisch zugenommen. Diese Schlüssel werden nun unternehmensweit eingesetzt, nicht nur um einen sicheren Fernzugriff zu ermöglichen, sondern auch um Machine-to-Machine-Sitzungen in hochautomatisierten Umgebungen zu sichern.

Möchten Sie den Blog überspringen und es direkt von den Experten hören? Klicken Sie einfach unten auf "Registrieren", um an unserem Webinar über die Risiken der SSH-Schlüsselausbreitung und bewährte Verfahren zur Rückgewinnung der Kontrolle teilzunehmen.

Schlecht verwaltete SSH-Schlüssel erweitern jedoch schnell die Angriffsfläche eines Unternehmens und schaffen Möglichkeiten zur Kompromittierung durch böswillige Akteure. Da Cyberkriminelle zunehmend nach SSH-Schlüsseln suchen, um den vertrauenswürdigen Zugang, den sie bieten, als Waffe einzusetzen, ist das Risiko eines Angriffs hoch.

Schon ein einziger Schlüssel reicht aus, damit Angreifer unbemerkt privilegierten Zugang zu wichtigen Systemen und Daten erhalten. Sobald sie kompromittiert sind, können sie sich seitlich innerhalb des Unternehmens bewegen, weitere Schlüssel finden, Sicherheitskontrollen umgehen, um betrügerische Daten einzuschleusen, die Verschlüsselung untergraben software, dauerhafte Malware installieren oder sogar Systeme zerstören.

Die jüngsten groß angelegten, koordinierten Malware- und Botnet-Kampagnen (z. B. TrickBot, FritxFrog, Lemon_Duck usw.) sind Warnzeichen für die reale Bedrohung, die missbrauchte SSH-Schlüssel in der Sicherheitslandschaft darstellen.

Es gab eine Zeit, in der schlecht verwaltete SSH-Schlüssel unter dem Radar verschwinden konnten. Heutzutage sind die Aufsichtsbehörden jedoch weitaus mehr denn je auf privilegierten Zugang und Schlüsselverwaltung bedacht. Jeder Fehltritt kann zu einem Zugriff führen, der gegen Compliance-Vorgaben wie PCI DSS, HIPAA, GDPR, CCPA oder NIST 800-53 verstößt. Bei all diesen Vorschriften muss kontrolliert werden, wer auf welche Systeme und Daten zugreifen kann.

Daher ist es unerlässlich, strenge Standards und bewährte Verfahren zur Sicherung der SSH-Schlüssel einzuhalten. Das NIST hat den Bericht NISTIR 7966 veröffentlicht, der Organisationen und Unternehmen Leitlinien für angemessene Sicherheitskontrollen für SSH-Implementierungen bietet. Die NIST-Empfehlungen betonen die SSH-Schlüsselinventarisierung, die Identifizierung von Schwachstellen, die Behebung von Risiken, die kontinuierliche Überwachung und natürlich die Schlüsselrotation.

Bevor wir uns mit der besten Art der Verwaltung von SSH-Schlüsseln befassen, ist es wichtig, zwei Punkte hervorzuheben.

Erstens sind diese Praktiken unwirksam, wenn sie nicht durch klare Richtlinien unterstützt werden, die die Betriebs- und Sicherheitsanforderungen festschreiben. Das bedeutet, dass bestehende SSH-Implementierungen angegangen werden müssen und dass sichergestellt werden muss, dass neue SSH-Implementierungen ordnungsgemäß implementiert und verfolgt werden.

Zweitens bedeutet die Sicherung von SSH-Schlüsseln, dass alle damit verbundenen Prozesse automatisiert werden müssen. Bei der großen Anzahl von SSH-Schlüsseln, die Unternehmen besitzen, sind manuelle Prozesse nicht machbar. Alle Prozesse im Zusammenhang mit der Verwaltung von SSH-Schlüsseln können durch die Automatisierung des Lebenszyklus von SSH-Schlüsseln optimiert werden. Vor allem aber kann die Automatisierung die Sicherheit, Effizienz und Verfügbarkeit erheblich verbessern.

Lassen Sie uns nun untersuchen, wie Sie SSH-Schlüssel am besten verwalten.

Viele Unternehmen verfügen über Tausende von unbekannten und nicht verfolgten SSH-Schlüsseln, die Zugang zu unternehmenskritischen Systemen gewähren. Vorhandene veraltete und verwaiste Schlüssel stellen ein erhebliches Sicherheitsrisiko dar, das nur schwer zu mindern ist, wenn diese Schlüssel nicht entdeckt und inventarisiert werden.

Um Ihre SSH-Schlüssel zu ermitteln, müssen Sie ein Inventar der Standorte aller SSH-Schlüsselpaare und ihrer Vertrauensbeziehungen erstellen. Das Inventar muss dann anhand der festgelegten Sicherheitsrichtlinien des Unternehmens bewertet werden. Darüber hinaus müssen die inventarisierten SSH-Schlüssel ihren Eigentümern zugeordnet werden.

Die Erfassung aller Vertrauensbeziehungen, die sich aus den eingesetzten Identitätsschlüsseln ergeben, und die Überprüfung und Genehmigung durch deren Eigentümer ist ein entscheidender Teil des Inventarisierungsprozesses. Wenn diese Vertrauensketten nicht richtig verstanden werden, können sie von kriminellen Akteuren genutzt werden, um unentdeckt zwischen Systemen zu wechseln.

Alle identifizierten Schlüssel, die nicht genehmigt wurden, könnten ein Hinweis auf eine von einem Angreifer hinterlassene Hintertür sein und sollten sofort entfernt werden.

Der nächste Schritt auf dem Weg zu einer sicheren SSH-Implementierung besteht darin, alle Schwachstellen und Anfälligkeiten des bestehenden Systems zu ermitteln. Daher sollten Unternehmen eine gründliche Prüfung ihrer bestehenden SSH-Schlüsselverwaltungsprozesse und -verfahren durchführen.

Schwachstellen in der SSH-Implementierung können von Konfigurationsschwächen (Verwendung schwacher Verschlüsselungsalgorithmen) bis zu Schlüsseln mit unnötigem Root-Zugriff reichen. Solche Schwachstellen können leicht ausgenutzt werden, um unbefugten Zugang zu Unternehmenssystemen zu erhalten.

Darüber hinaus sollte die Prüfung alle nicht ordnungsgemäß konfigurierten Zugangskontrollen aufzeigen. Diese Kontrollen werden in der Regel über eine Identitäts- und Zugriffsmanagement (IAM)- oder eine Privilege Access Management (PAM)-Plattform konfiguriert und sind ein wichtiger Bestandteil eines jeden Sicherheitsprogramms.

Unsachgemäß konfigurierte Zugriffskontrollen können jedoch SSH-Zugangskonten mit erhöhten Rechten oder nicht autorisierten Zugriff auf andere Konten ermöglichen.

Schließlich sollte die Prüfung alle ungenutzten Schlüssel aufdecken, die in der Struktur des Unternehmens schlummern und darauf warten, ausgenutzt zu werden. Die Erstellung eines "Hintertür"-Schlüssels und das Hinzufügen dieses Schlüssels zur Datei der autorisierten Schlüssel könnte es einem Angreifer ermöglichen, jedes System zur Verwaltung des privilegierten Zugangs zu umgehen.

Abhilfemaßnahmen sind wichtig, um Lücken zu schließen und Ihr Unternehmen vor Angreifern zu schützen, die versuchen, Ihre anfälligen SSH-Schlüssel auszunutzen, um Schaden anzurichten.

Darüber hinaus sind Abhilfemaßnahmen zur Einhaltung von Vorschriften erforderlich. Alle Sicherheits- und Datenschutzvorschriften verlangen Transparenz und Verantwortlichkeit bei der Sicherung sensibler Systeme und Daten. Die Identifizierung autorisierter Benutzer und ihrer Zugriffsrechte, die Anwendung des Prinzips der geringsten Privilegien und die Verwaltung autorisierter Schlüssel sind vorrangige Anforderungen.

Der Plan zur Behebung der Schwachstellen kann sehr zeitaufwendig sein, ist aber für die Sicherheit und die Einhaltung der Vorschriften von entscheidender Bedeutung. Je nach den Ergebnissen der Bestandsaufnahme der Schlüssel und der Identifizierung der Schwachstellen könnte das Projekt die folgenden Maßnahmen umfassen:

• Entfernen Sie alle verwaisten Schlüssel, da es sich um "Hintertürschlüssel" handeln kann.
• Entfernen Sie alle doppelten Identitätsschlüssel, um die Angriffsfläche zu verringern.
• Sicherstellen, dass alle interaktiven Identitätsschlüssel mit einer Passphrase geschützt sind
• Ersetzen Sie alle Schlüssel, die nicht den Industriestandards für Schlüssellänge und Verschlüsselungsalgorithmus entsprechen.
• Zuweisung von Eigentümern (Anwendungen, Geschäftsprozesse, Einzelpersonen) für alle Schlüssel, die Zugriff auf Server gewähren
• Überwachen Sie die Protokolldaten, um festzustellen, welche Schlüssel nicht verwendet werden, und entfernen Sie unbenutzte Schlüssel, die nicht zur Aufbewahrung zugelassen sind.

Der Zweck der kontinuierlichen Überwachung besteht darin, sicherzustellen, dass alle für die Verwaltung des Lebenszyklus von SSH-Schlüsseln festgelegten Richtlinien befolgt und durchgesetzt werden. Die Überwachung ist auch wichtig, um unbefugten Zugriff zu erkennen, der als Teil einer kriminellen Aktivität unter Verwendung von Backdoor-Schlüsseln erfolgt.

Hier sind einige Beispiele dafür, worauf Sie achten sollten:

• Erkennung von legitimen SSH-Schlüsseln, die nicht verwendet werden, und Vorschlag zu deren Entfernung, um unnötige Zugriffsberechtigungen zu beseitigen
• Erkennen und Überwachen von Verbindungen von entfernten Standorten aus und Sicherstellen, dass diese ordnungsgemäß genehmigt werden
• Erkennung von Verbindungen mit einem autorisierten Schlüssel von nicht zugelassenen Hosts, die möglicherweise kompromittierte Anmeldedaten enthalten
• Kennzeichnung von Schlüsseln, die von außerhalb der verwalteten Umgebung verwendet werden, als "externe Schlüssel", die eine manuelle Rotation erfordern

Jede Abweichung von der genehmigten SSH-Konfiguration sollte in einem Dashboard oder Bericht angezeigt werden, um Abhilfemaßnahmen einzuleiten.

Schließlich muss die beste Art der Verwaltung von SSH-Schlüsseln eine Schlüsselrotation beinhalten, um das Risiko gestohlener oder kompromittierter Anmeldedaten zu minimieren. Die Lebensdauer von SSH-Schlüsseln sollte begrenzt sein und die Schlüssel sollten in einem festgelegten Zyklus rotiert werden.

Der Schlüsselzyklus sollte klar definiert sein und im Einklang mit den Sicherheits- und Prüfungsrichtlinien des Unternehmens stehen. Darüber hinaus sollten die Eigentümer der Schlüssel die Verwendung derselben Passphrasen für mehrere Konten untersagen.

Während der Rotation werden neue Schlüssel generiert und mit den alten vertauscht, während die nicht verwendeten Schlüssel entfernt werden. Dieser ständige Wechsel der Schlüssel verringert die Wahrscheinlichkeit, dass kompromittierte Schlüssel für den Zugriff auf die Remote-Server verwendet werden. Eine Schlüsselrotation ist auch für Verwaltungsangelegenheiten erforderlich, wenn die Schlüsselinhaber in andere Funktionen wechseln oder das Unternehmen verlassen.

Die Schlüsselrotation sollte vor dem Ende eines vorkonfigurierten "Kryptozeitraums" durchgeführt werden. Es muss sichergestellt werden, dass neue oder geänderte Schlüssel automatisch auf der Grundlage der vom Sicherheitsteam kontrollierten Zugriffsrichtlinien auf den Servern bereitgestellt werden. Eine Selbstbedienungskonsole kann den Prozess für Systemadministratoren vereinfachen und gleichzeitig die Backend-Bereitstellung automatisieren, so dass sie schnell handeln und gleichzeitig die Sicherheitsanforderungen einhalten können.

Der Schlüssel zu einer effektiven SSH-Schlüsselverwaltungsstrategie liegt in der Automatisierung und Rationalisierung bestehender Prozesse. Die Automatisierung sichert nicht nur Ihre SSH-Implementierung und minimiert die Risiken einer mangelhaften Verwaltung, sondern eliminiert auch fehleranfällige manuelle Verfahren aus der Gleichung. In großen Organisationen, die Tausende von SSH-Schlüsseln besitzen, ist eine manuelle Verwaltung einfach nicht machbar.

Sind Sie bereit, eine neue Strategie für die Verwaltung von SSH-Schlüsseln zu implementieren und das Risiko der Ausbreitung von SSH-Schlüsseln in Ihrem Unternehmen zu verhindern? Registrieren Sie sich für unser nächstes Webinar - Ghost Hunt: Wie Sie Ihre SSH-Schlüssel finden und verwalten.