Deutsch
Menü

Cyberangriffe und Abwehr in der Praxis

Welcher Ansatz des Privileged Access Management (PAM) zum Schutz von Administratorkonten für Server ist am besten geeignet?

  1. AAdministratorrechte werden nur für nötige Arbeiten nach Genehmigung vorübergehend vergeben, Passwörter privilegierter Konten werden in einem Tresor verwaltet und bei jeder Verwendung geändert, und die Bedienschritte werden aufgezeichnet
  2. BDa eine Genehmigung für jede Arbeit umständlich ist, erhalten alle Administratoren ständig Administratorrechte für alle Server
  3. CDie Passwörter privilegierter Konten werden von allen Administratoren gemeinsam genutzt und, damit sie nicht vergessen werden, jahrelang unverändert verwendet
Antwort und Erläuterung anzeigen

Antwort: A. Administratorrechte werden nur für nötige Arbeiten nach Genehmigung vorübergehend vergeben, Passwörter privilegierter Konten werden in einem Tresor verwaltet und bei jeder Verwendung geändert, und die Bedienschritte werden aufgezeichnet

Konten mit Administratorrechten richten bei einer Übernahme den größten Schaden an und sind daher das erste Ziel von Angreifern. Beim Privileged Access Management hat man normalerweise keine Rechte; nur für nötige Arbeiten werden sie nach Genehmigung zeitlich begrenzt vergeben (Just-in-Time-Zugriff), und Zugangsdaten wie Passwörter liegen in einem Tresor, werden Menschen nicht direkt angezeigt und bei jeder Verwendung automatisch geändert. Zusätzlich werden Verwaltungsarbeiten protokolliert und aufgezeichnet, damit sich später prüfen lässt, wer wann was getan hat. So werden dauerhaft bestehende weitreichende Rechte verringert, und der Schaden bei Diebstahl sowie das Risiko durch Innentäter sinken.

Dieses Thema üben Zur Themenseite

Weitere Fragen zu Cyberangriffe und Abwehr in der Praxis

  1. Ein Entwickler hat versehentlich eine Konfigurationsdatei mit dem API-Schlüssel eines Cloud-Dienstes in ein öffentliches Git-Repository committet. Sobald er es bemerkte, committete er eine Änderung, die die Datei löscht. Welche anschließende Reaktion ist am besten geeignet?
  2. Für vier Sicherheitsvorfälle einer Organisation betrugen die Zeit vom Auftreten bis zur Erkennung und die Zeit von der Erkennung bis zur Eindämmung: Fall 1: 10 und 4 Stunden, Fall 2: 30 und 2 Stunden, Fall 3: 2 und 6 Stunden, Fall 4: 6 und 4 Stunden. Welche Kombination aus der mittleren Zeit vom Auftreten bis zur Erkennung (MTTD) und der mittleren Zeit von der Erkennung bis zur Eindämmung (MTTC) ist richtig?
  3. Für Ransomware-Schäden wurden der Schaden pro Ereignis (SLE) auf 40 Millionen Yen und die jährliche Häufigkeit (ARO) auf 0,5-mal geschätzt. Maßnahme A kostet jährlich 6 Millionen Yen und senkt die Häufigkeit auf 0,2-mal pro Jahr. Maßnahme B kostet jährlich 3 Millionen Yen und lässt die Häufigkeit unverändert, beschleunigt aber die Wiederherstellung und senkt den Schaden pro Ereignis auf 24 Millionen Yen. Es gelte jährliche Verlusterwartung (ALE) = SLE × ARO und ROSI = (Verringerung der ALE − jährliche Kosten der Maßnahme) ÷ jährliche Kosten der Maßnahme. Welche Kombination aus der Maßnahme mit dem größeren ROSI und ihrem Wert ist richtig?
  4. Ein IDS untersucht pro Tag 1 Million Verbindungen, von denen 100 tatsächlich Angriffe sind. Das IDS erkennt 99 % der Angriffe und stuft 0,1 % der Verbindungen, die keine Angriffe sind, fälschlich als Angriff ein. Welcher Wert liegt dem Anteil der IDS-Warnungen, die tatsächlich Angriffe sind, am nächsten?
  5. In einem SOC erzeugt das SIEM 1440 Warnungen pro Tag, die gleichmäßig über den Tag verteilt auftreten. Durch die automatische Verarbeitung mit SOAR werden 75 % der Warnungen ohne Prüfung durch Analysten erledigt; die übrigen Warnungen erfordern im Mittel 10 Minuten Analystenarbeit pro Warnung. Analysten sollen ohne Pause arbeiten können. Wie viele Analysten müssen mindestens ständig eingesetzt sein, damit die Warnungen ohne Rückstand im Tempo ihres Auftretens bearbeitet werden?