Mehr Sicherheit für digitale Identitäten - Maschinenidentitäten als neue Herausforderung der Cybersicherheit

Willkommen zu unserem KuppingerCole-Webinar. Dieses Webinar wird unterstützt von SailPoint und Deloitte. Das Thema heute ist Mehr Sicherheit für digitale Identitäten, Maschinenidentitäten als neue Herausforderung der Cybersicherheit. Ich bin heute hier nicht alleine, mein Name ist Matthias Reinwarth, aber viel wichtiger ist, ich habe zwei Gäste, die mich unterstützen werden, von Deloitte und von SailPoint. Die Dame zuerst, ich begrüße Maibritt Skiera. Sie ist Managerin Cyber Identity bei Deloitte. Hallo Maibritt.

Hallo, guten Tag. Und dabei ist auch noch der Klaus Hild. Er ist Principal Identity Strategist, erfahrener Webinar-Teilnehmer von SailPoint Technologies. Hallo Klaus. Hallo Matthias, grüß dich.

Sehr gut, schön, dass wir beisammen sind. Und wir wollen uns eine Stunde lang mit digitalen Identitäten der besonderen Art, mit Maschinenidentitäten beschäftigen. Kurze Agenda. Vier Punkte, ganz schnell, ich bin schon mittendrin. Einführung und Housekeeping, das mache ich. Und ich werde auch einen kurzen Überblick, eine kurze Einführung in das Thema geben, warum dieses Management von Maschinenidentitäten immer wichtiger wird. Aber dann kommen meine beiden Gäste. Maschinenidentitäten als neue Herausforderung der Cybersicherheit, nacheinander die Maibritt und der Klaus.

Das sind die zweiten 20 Minuten, so Pi mal Daumen die Zeitaufteilung für unsere Stunde. Und als letzter Punkt Fragen und Antworten, die wir dann gemeinschaftlich beantworten und bearbeiten können. Schnell das Housekeeping für die Teilnehmer. Audio ist zentral stumm geschaltet, braucht man sich nicht drum kümmern. Da haben wir uns schon drum gekümmert. Ganz wichtig, wir machen Umfragen, drei Stück. Während meines Vortrags wird es drei Stück geben. Große Bitte da auch entsprechend die Fragen und Umfragen zu beantworten.

Man kann auch später noch mal zurückgehen und sich die noch mal angucken und anpassen. Aber es wäre toll, wenn wir da Feedback bekämen, um damit arbeiten zu können. Auch insbesondere während der Q&A. Q&A ist auch das Stichwort für den dritten Punkt. Fragerunde findet am Ende des Webinars statt. Und jeder Teilnehmer kann über das Panel auf der rechten Seite auch entsprechende Fragen stellen, die dann bei uns landen, die dann auch hochgevotet werden können, wenn sie besonders wichtig sind. Sie müssen keine Screenshots machen, sie müssen nicht aufzeichnen.

Sie kriegen das Webinar als Aufzeichnung und auch die Präsentationsfolien als PDF in den nächsten Tagen zur Verfügung gestellt. Das war schon fast das komplette Housekeeping.

Nein, das war das komplette Housekeeping. Denn ich beginne jetzt schon mit meiner kurzen Einführung, warum das Maschinen-Identitäten-Management immer wichtiger wird. Und das wird es auch. Und jetzt schauen wir uns an, warum. Denn erst mal die Definition natürlich. Was sind Maschinen-Identitäten, über die wir heute hier reden wollen? Es sind natürlich digitale Identitäten, also etwas, womit Computer umgehen können wollen.

Sie sind für nichtmenschliche Entitäten, also genau nicht, wie wir üblicherweise als Benutzer Identitäten wollen, sondern genau für Entitäten, für handelnde Akteure, die keine Personen sind, nicht kohlenstoffbasiert sind, in einer IT-Umgebung. Die wollen also in einer IT-Landschaft Dinge tun, nämlich sich sicher authentifizieren. Mit dieser Authentifizierung wollen sie dann vertrauenswürdigen Zugang zu Daten, zu Ressourcen, zu Compute Power. Sie wollen vielleicht automatisiert kommunizieren und im besten Falle auch autonome Interaktionen durchführen.

Also es ist eine andere Art von Identitäten, wie wir sie beispielsweise im IGA kennen. Sie sind also schon deutlich anders, auch in der Handhabung, in ihrem Lebenszyklus. Ich habe es angedroht. Drei Umfragen in meinem Vortrag. Hier ist die erste. Die sollten Sie dann auch in Ihrem Seitenpanel bekommen. Ich sehe es auch bei mir schon. Ich stimme jetzt nicht mit ab, aber ich möchte, dass Sie gerne abstimmen. Die Frage lautet, wer ist überzeugt, dass es in der Organisation, in Ihrer, seiner Organisation, mehr Menschen oder mehr Maschinenidentitäten gibt?

Also hier die Frage, mehr Maschinenidentitäten? Ja, wahrscheinlich, aber wir haben nicht nachgeguckt.

Nö, es gibt immer noch mehr menschliche oder ich habe keine Ahnung. Das sind also die vier Antwortmöglichkeiten. Ich bin sehr gespannt, wie sich hier die entsprechenden Ergebnisse zeigen. Auch vielleicht, ob sich das über den Lauf der Umfragen oder des Webinars noch verändert. Aber das mal als Einstiegspunkt, weil wir haben, ich glaube, Maybrit, Klaus und ich haben eine klare Meinung dazu, dass es da wahrscheinlich einen bestimmten Zustand gibt und den wollen wir jetzt auch verifizieren. Oder vielleicht haben wir ja auch unrecht. Maschinenidentitäten, warum ist es ein Trendthema?

Links steht, das haben wir doch bisher auch nicht gemacht, warum denn jetzt bitte? Antwort darauf lautet, das hätten wir vorher auch schon machen sollen, es werden bloß mehr. Wir haben ein massives Wachstum von Identitäten, von Maschinenidentitäten, die wir uns gleich genauer angucken, was das alles ist. Das kommt insbesondere durch Orchestrierung, durch Automatisierung in der Cloud, durch DevOps. Dadurch gibt es auch ganz viele kurzlebige dynamische Identitäten, die nur ganz kurz mal entstehen und dann auch wieder verschwinden. Und wenn sie wieder weg sind, wer hat sie denn auditiert?

Das sind dann ganz spannende Fragen. Aber auch die Frage, wenn ich schon welche habe, wie kriege ich denn eine Sichtbarkeit in diese Maschinenidentitäten, die irgendjemand in meiner Organisation angelegt hat? Ein Entwickler, ein Administrator? Ich habe es vielleicht gar nicht mitgekriegt, obwohl ich dafür Verantwortung habe und dafür auch verantwortlich zeichnen muss. Das heißt, diese neuen Identitäten haben Anforderungen an Insight, an Übersicht, Kontrolle. Und je nachdem, wen man fragt, überschreitet diese Anzahl der Maschinenidentitäten deutlich die der menschlichen Identitäten.

Deswegen die Frage von eben. Mal gucken, ob das auch in den Unternehmen stimmt, mit denen wir heute hier kommunizieren über dieses Webinar. Je nachdem, wen man fragt, 45 Mal, 100 Mal oder N Mal, da gibt es immer tausend Möglichkeiten, wie man antworten kann. Auf jeden Fall viel, viel mehr. Und je mehr man von diesen Identitäten hat, hat man natürlich auch ein enormes Sicherheitsrisiko, wenn man sie nicht ordentlich kontrolliert. Also auch eine vergrößerte Angriffsfläche für Cyberbedrohungen. Also diese zusätzlichen Maschinenidentitäten müssen einfach angemessen gemanagt werden.

Das ist ein Thema, das wir als Kupplinger Coal natürlich auch massiv mit betrachten. Und deshalb müssen wir jetzt nicht in die Details reingehen. Das Wichtige sind die bunten Pfeile auf der linken Seite. Das ist unsere Identity Fabric, die wir schon sehr lange, acht, neun Jahre, verwenden. Und die haben wir aufgefrischt für dieses Jahr und für die kommenden Jahre. Und das Wichtige ist, dass man sieht auf der linken Seite, die untere Hälfte von diesen Pfeilen sind Maschinenidentitäten oder Non-Human Identities. Auf jeden Fall keine Menschen in unterschiedlicher Ausprägung.

Also auch bei uns zeigt sich dieses Thema als hochrelevant. Und das kann man als Beweis werden, dass wir hier mit Recht heute darüber reden. Und wenn wir diese Identitäten angucken wollen, dann ist auch die Frage tatsächlich, was steckt denn alles in diesem Begriff Maschinenidentitäten drin? Sind es wirklich nur Maschinen? Ich bin so ein Einfachdenkender Mensch. Ich denke da immer an Kisten, an irgendwas mit Blech drumherum. Ist es gar nicht immer? Also der Begriff greift zu kurz. Und ich werde jetzt auf keinen Fall recht alle Kisten vorlesen.

Das sind Beispiele dafür, auch noch nicht mal eine vollständige Liste. Auf jeden Fall geht es weit darüber hinaus, nur als Maschinen im herkömmlichen Sinne zu betrachten sind. Beispielsweise kann man ja durchaus auch schon virtualisierte Maschinen, die dann kein Blech mehr sind, sondern einfach nur noch einen Prozess irgendwo als Maschinenidentität betrachten.

Aber IoT, technische Accounts, Cluster, Kubernetes, Docker-Container, alles das, was man orchestrieren, automatisieren kann, aber insbesondere halt eben kein Mensch ist, zählen wir zu diesen Maschinenidentitäten. Es gibt ganz viele Begriffe, nichtmenschliche Identitäten, Workload-Identities, ganz viele mögliche Begriffe. Das Wichtige ist, alle diese einzelnen Ausprägungen, die ich eben genannt habe, die haben ihren eigenen Lebenszyklus.

Und die wollen auf ihre bestimmte Art und Weise identifiziert werden, auf ihre passende Art und Weise kommunizieren und damit auch sicher stark authentifizieren und dann auch die Rechte bekommen, die sie brauchen. Das ist das, worüber wir heute reden. Ganz viele unterschiedliche Ausprägungen, die es da zu betrachten gibt. Zweite Umfrage. Wie verwaltet denn Ihre Organisation derzeit die nichtmenschlichen Identitäten?

Von A, wir haben einen dedizierten Governance- und Lebenszyklusprozess oder wir verwalten die manuell, das sind nicht so viele, machen wir ohne klare Governance. Wir nutzen Automatisierung, aber kontrollieren das nicht so richtig. Oder wir verwalten sie überhaupt noch nicht aktiv. Passt vielleicht auch zu dem, ist für uns noch nicht so sehr wichtig. Das sind die vier Möglichkeiten. Wieder die Bitte, darum hier entsprechend abzustimmen. Wenn es jetzt ein bisschen zu schnell ging, Sie können jederzeit zu der Umfrage zurückgehen und die nochmal anpassen.

Was sind denn jetzt die Herausforderungen von diesen Maschinenidentitäten? Warum wollen wir die denn schützen? Dieser böse Roboter, der da steht und so böse guckt, der ist ein entsprechendes Bild dafür, dass man diese Maschinenidentitäten gut im Griff haben muss, sonst machen die Dinge, die man nicht möchte. Dazu gehört als erstes die begrenzte oder fehlende Sichtbarkeit. Wenn sie nicht vollständig erfasst sind, führt das dazu, dass ich unkontrollierte Zugänge habe. Oftmals hat man die mangelnde Kontrolle über die Zugangsdaten.

Niemand würde das zugeben, aber es soll geben, diesen Fakt, dass manchmal doch durchaus noch entsprechende Secrets, also Passwörter, Logindaten, API-Keys, irgendwo gespeichert werden, wo sie nicht hingehören. Das können auch Konfigurationsdateien sein, wo sie eigentlich nicht dahingehören, wenn sie dann in einem Backup landen oder ausgespäht werden. Ich habe vorhin gesagt, jede dieser Identitäten braucht ihr entsprechendes Lifecycle-Management, also den Lebenszyklus von Entstehung bis Entlöschung oder eben Verschrottung, wenn es echt eine Maschine ist.

Das heißt, wenn ich dieses Lifecycle-Management nicht im Griff habe, dann habe ich veraltete, unsichere Identitäten im System. Mache ich das manuell, habe ich noch ein viel größeres Problem, weil dann habe ich ein hohes Risiko an Fehlern, denn Menschen, wenn sie es manuell machen, machen durchaus auch Fehler. Automatisierung kann auch Fehler machen, aber dann natürlich auch automatisiert.

Ganz, ganz wichtiger Punkt sind die unklarenden oder fehlenden Verantwortlichkeiten, und die führen oft zu den Sicherheitsherausforderungen. Wenn die Identitäten für jemanden anderen verwaltet werden als jemand, der das eigentlich normalerweise tut, also eben nicht das IA-App-Team, nicht ein verantwortliches Cyber-Security-Team, sondern ein Entwickler, ein Betriebsteam, dann kommt man oft in das Problem, dass man nicht weiß, wem gehört denn die Identität, wer ist denn verantwortlich, und wer räumt die hinterher auch wieder weg.

Was bedeutet das, wenn ich diese Sicherheitsrisiken erkannt habe? Ja, dann führt das tatsächlich zum Ausnützen von diesen unzureichend verwalteten Maschinenidentitäten, und das führt natürlich zu unbefugtem Zugang zu kritischen Systemen. Das heißt, wenn ich eine Identität nicht kontrollieren kann, dann kann das vielleicht so führen, dass jemand anderes auf sensible Systeme zugreift. Und es gibt natürlich auch den Begriff des Maschinenidentitätsdiebstahls.

Das würde zum Beispiel ermöglichen, dass jemand anderes, der nicht diese Maschine ist, nicht dieser Prozess ist, die Maschine imitiert, so tut, als wäre sie es, und dann entsprechend gegenüber ihren Gegenpunkten, gegen ihren Endpunkten agiert und manipuliert. Bin ich erstmal drin, jetzt sind wir in der klassischen Cyber Security, habe ich eine solche Maschinenidentität übernommen, habe ich die Gefahr der Privilegien-Eskalation durch kompromittierte Maschinen?

Natürlich kann das so nicht ausgelöst werden, dass ich diese hardcoded Secrets habe, also Username und Passwort in der Config-Datei, oder im Environment von einem durchführenden Account, der das startet, oder halt eben in irgendwelchen, ja im Code oder in Login-Dateien oder in entsprechenden IMI-Dateien, würde niemand tun, aber soll noch vorkommen.

Wenn ich diese Maschinenidentitäten nicht ordentlich überwache, dann kann es durchaus auch sein, dass die im Rahmen dessen, was sie tun, vielleicht durch eine fehlerhafte Programmierung, Dinge tun, die sie nicht tun sollten, also Fehlendes Monitoring, dadurch Sicherheitslücken. Die mangelnden Verantwortlichkeiten habe ich natürlich schon erwähnt, das kann von Verwaltungsfehlern bis hin zu, es wird gar nicht verwaltet führen, das heißt eine schwache oder fehlende Kontrolle durch den, der es eigentlich kontrollieren sollte, ist natürlich ein großes Risiko.

Man kann sich ganz viele Situationen vorstellen, wo der mangelhafte Umgang mit diesen Identitäten, mit diesen Maschinenidentitäten auch dazu führen kann, dass man gegen Regulatorik verstößt, dass man Compliance-Verstöße hat, weil diese Prozesse Dinge tun, die sie nicht hätten tun sollen. Das kann natürlich im Zweifelsfall auch zu möglichen Strafen führen. Ich bin jetzt kein Anwalt, ich bin kein Auditor, aber ich kann mir als Praktiker da schon Situationen vorstellen, wo das passieren kann.

Dritte Umfrage, ganz schnell, dann haben wir nachher genug Futter, um damit schon mal einzusteigen in die Q&A. Ihre Organisation, wie hoch ist Ihre Priorität für die Verbesserung der Verwaltung der Maschinenidentitäten in den nächsten ein bis zwei Jahren, zwölf bis 24 Monaten? A bis D ist hoch bis keine, also hohe Priorität, ich bin schon dran, mittlere Priorität, ich habe es erkannt, aber ich habe noch nicht damit direkt angefangen, niedrige Priorität, ich weiß, dass es gibt, aber ich habe keine direkten Pläne und keine Priorität steht nicht auf unserer Agenda.

Das sind die vier Möglichkeiten, würde mich wirklich interessieren, was da an Antworten entsprechend kommt. Und das war meine Einführung, sogar schneller, als ich gedacht habe. Insofern würde ich jetzt an der Stelle noch mal darauf hinweisen, dass Sie jederzeit Fragen hinterlassen können und die dann auch entsprechend in der Q&A mit betrachtet werden können und die Maybrit und der Klaus dann, ich und ich das natürlich dann beantworten können. Aber ich bin mit meinem Teil fertig.

Ich würde das jetzt gerne an die Maybrit weitergeben, die das, alles das, was ich jetzt gerade an Problemen an die Wand geworfen habe, beantworten wird und zeigen wird, wie man das in der Praxis tatsächlich richtig macht. Insofern, hallo Maybrit, ich übergebe das jetzt an dich und ich höre auf zu teilen und du kannst übernehmen.

Genau, erst mal vielen Dank, Matthias, für die Einführung ins Thema und auch, ja, schon mal die Darstellung der verschiedenen Herausforderungen, die mit dem Thema auch einhergehen. Auch wir sehen bei Kunden immer wieder, dass das Thema nicht trivial ist, dass die vor verschiedenen Herausforderungen stehen.

Und jetzt im ersten Schritt möchte ich gerne mal darauf eingehen, woran liegt das Ganze, wo kommt das Ganze her und dann auf den folgenden Slides darauf eingehen, wie sollte man Maschinenidentitäten verwalten, wie sieht die Governance aus und was ist aber auch entsprechend zu berücksichtigen. Genau, an sich haben wir häufig Unternehmen, die sind schon relativ weit mit Personenidentitäten, haben vielleicht schon EM-Systeme aufgesetzt, da funktionieren die Journal-Mobile-Prozesse, Zertifizierung etc.,

wird vielleicht alles schon durchgeführt, aber wenn man dann auf die Maschinenidentitäten schaut, sieht es häufig noch anders aus, da gibt es in der Regel noch nicht viele Verwaltungsprozesse, die Übersicht fehlt gegebenenfalls auch und der Grund dahinter ist häufig auch einfach, dass nicht ganz klar ist, wie geht man dieses Thema Maschinenidentitäten am besten an und es ist auch nicht so einfach, dass man sagen kann, Maschinenidentitäten ist das Gleiche wie Personenidentitäten, können wir eins zu eins gleich umsetzen, sondern wir haben da einfach ganz unterschiedliche Ausgangslagen.

Wenn wir bei den Personenidentitäten in der Regel ein Quellsystem haben, zum Beispiel das HR-System für die internen Mitarbeiter oder vielleicht auch ein System für die externen, dann haben wir da eine zentrale Quelle mit einer regeln guten Datenbasis, gerade über das HR-System wird in der Regel auch die Lohnzahlung abgewickelt, bei den externen gibt es auch verschiedene Vertragsprozesse, die dazu führen, dass wir generell Wissen und eine gute Datenbasis haben und kriegen wir da entsprechend auch zentral geliefert.

Bei den Maschinenidentitäten sieht das Ganze häufig anders aus, die werden in der Regel für einen bestimmten Zweck oder eine technische Funktion angelegt und erstellt und hier direkt bei der Erstellung geht es ja auch schon los mit Unterschieden und zwar werden die häufig direkt in Systemen angelegt, vielleicht auch schon länger her, das heißt, die kommen nicht aus einem System, sondern sind häufig in ganz vielen Systemen drin und werden dort direkt durch verschiedene Admins angelegt, das kann auch häufig sehr unterschiedlich ablaufen, je nachdem, wie die individuellen Admins das machen.

Dabei werden sie häufig auch schon direkt berechtigt, wohingegen zum Beispiel das Thema Rezertifizierung generell ähnlich ablaufen sollte, auch bei den Maschinenidentitäten ist es wichtig, regelmäßig zu überprüfen, werden diese weiterhin benötigt, sind die Zukunftsumfang noch aktuell, brauchen die die gleichen Rechte, kann man dort welche entziehen, aber auch hier haben wir die Besonderheit, dass es in der Regel einen Eigentümer gibt, auf den gehe ich nachher auch nochmal ein, bei dem auch geprüft werden muss, ist dieser noch aktuell, müssen wir diesen anpassen, sowieso ähnlich, aber auch hier leichte Abweichung und auch bei der Deaktivierung sehen wir, dass man nicht eins zu eins einfach die Maschinenidentitäten an die Person dranhängen sollte, denn man möchte zum Beispiel vermeiden, dass wenn der Eigentümer der Maschinenidentität austritt, dass diese dann mit deaktiviert wird, ist in der Regel sehr ungünstig, wenn dann irgendwelche technischen Prozesse nicht mehr funktionieren, nur weil eben eine Person aus dem Unternehmen ausgetreten ist, die mal ursprünglich als Eigentümer hinterlegt war.

Also auch hier sehen wir, es gibt diverse Unterschiede und deswegen braucht man entsprechend auch eine eigene Governance und häufig auch eigene Prozesse. Genau, jetzt haben Sie schon einen guten Überblick bekommen, warum ist das Thema wichtig, warum ist es häufig auch nicht so ganz einfach damit anzufangen. Jetzt möchte ich im nächsten Schritt einmal drauf eingehen, was ist denn aus der Governance Perspektive dabei zu beachten. Da haben wir zunächst einmal das Thema Ownership. Ich habe es gerade schon angedeutet.

Wichtig ist immer, dass wir für jede Maschinenidentität auch einen Eigentümer haben, der entsprechend für diese Maschinenidentität verantwortlich ist, vor allem, wenn man im regulierten Bereich unterwegs ist. Das war eine der ersten Forderungen. Wir haben das Ganze hier Ownership genannt, weil es uns eben nicht nur darum geht, in der Liste jemanden eintragen zu können, sondern tatsächlich sollte hier auch die Awareness da sein, welche Verantwortung diese Person auch trägt und in welchen Prozessen sie entsprechend auch involviert ist.

Des Weiteren sind die Maschinenidentitäten grundsätzlich in den Berechtigungskonzepten zu dokumentieren. Hier wird man aber auch merken, dass das alleine nicht ausreicht. Zum einen muss man sicherstellen, dass man für jede Maschinenidentität auch ein Berechtigungskonzept hat, wo man es sozusagen dokumentieren kann.

Auf der anderen Seite kann man sich vorstellen, dass wenn ein Unternehmen 400, 600, 800 oder eben noch viel mehr Anwendungen hat, dass man das entsprechend dann auch in 400, 600, 800 Berechtigungskonzepten aktuell halten muss, pflegen muss und immer noch keine zentrale Übersicht hat. Deswegen merkt man an diesem Punkt schon, sinnvoll ist es hier irgendwie auch eine zentrale Stelle zu haben, wo das Ganze dokumentiert wird, wo man eine Übersicht hat, welche Maschinenidentitäten haben wir und eben da bessere Transparenz herrscht.

Das Thema Update und Überprüfung ist so wichtig in Bezug auf das Thema Eigentümer und Dokumentation. Klar ist diese Veränderung zeitnah anzupassen, aber wie vorhin schon auch erwähnt, auch hier zählen ähnliche Prozesse wie die Rezertifizierung. Die sollten auch hier durchgeführt werden. Das heißt auch ein zentraler Baustein des Ganzen. Und dann haben wir noch den Punkt der Kategorisierung, die wir ganz gerne auch durchführen, gerade am Anfang, wenn man noch dabei ist, sich eine Übersicht über alle seine Maschinenidentitäten zu verschaffen.

Hier wirklich sich einmal anzuschauen, wie sehen die bisherigen Lifecycle-Prozesse aus? Sind die für alle gleich? Welche kann man vielleicht kategorisieren? Weil das einfach eine sehr gute Ausgangsbasis ist, um dahingehend dann darauf basierend zu entscheiden, welche Lifecycle-Prozesse können wir entsprechend wie umsetzen und wo können wir Dinge standardisieren und wo sind gegebenenfalls Besonderheiten weiterhin notwendig.

Wie immer besteht die Governance jeweils natürlich aus den Richtlinien, die Vorgaben, die man macht, zum Beispiel unter welchen Umständen darf eine Maschinenidentität angelegt werden. Auch hier sollte man sicherstellen, dass es immer einen tatsächlichen Zweck dahinter gibt, dass man die Zahl möglichst auch gering hält, weil die auch relativ schnell explodieren kann. Und natürlich müssen auch Verantwortlichkeiten klar geklärt sein, wer macht was, in welchen Prozessen. Und genau Prozesse eben das zweite große Thema der Governance, die definiert werden müssen.

Hier sollte auch der gesamte Lifecycle abgedeckt werden, weil man sonst einfach nicht sicherstellen kann, dass die Verwaltung funktioniert. Also wirklich von Neuanlage über die Rechtezuweisung, Berechtigung dieser Maschinenidentitäten, über die Rezertifizierung, Wechsel von Eigentümern, die vorkommen können, bis zur Deaktivierung und Löschung. Wenn man hier einzelne Aspekte nicht entsprechend berücksichtigt, dann hat man kein funktionierendes Management mehr.

Sagen wir, die Eigentümerwechsel können nicht abgebildet werden, dann ist das relativ ungünstig und funktionieren die Rezertifizierung jedenfalls auch nicht mehr. Insgesamt gelten hier viele der Prinzipien, die wir auch aus dem IAM für die Personenidentitäten kennen, wie zum Beispiel das Minimalprinzip. Themen wie these privilege, need to know, sollten hier entsprechend auch berücksichtigt werden.

Aber einfach aufgrund der großen Masse an Maschinenidentitäten und auch der Unterschiedlichkeit dieser, macht es definitiv Sinn, auch auf Standardisierung und Zentralisierung Wert zu legen, einfach um sicherzustellen, dass man die große Masse der Maschinenidentitäten verwalten kann. Und das bringt uns eigentlich auch zu der Erkenntnis, am Ende muss diese Governance in der Regel durch verschiedene Tools unterstützt werden. Wir brauchen Automatisierung überall, wo es möglich ist. Sonst schafft man das nicht, mit z.B. einzelnen Personen nachher 10.000 Accounts verwalten.

So eine Rezertifizierung manuell ist einfach unheimlich viel Aufwand. Das heißt, hier sollte man wirklich schauen, wo kann man das Ganze mit Tools unterstützen. Entweder im IAM-System, wo vielleicht schon die rechten Accounts etc. vorliegen und die ohne auch schon bekannt sind. Oder für einzelne Prozesse, gegebenenfalls auch Service Management Tools, einfach um sicherzustellen, dass die ganzen Prozesse eingehalten werden und standardisiert ablaufen.

Genau, jetzt haben wir einmal gesehen, wo startet man, wo möchte man hin. Und jetzt will ich noch einmal kurz gerne darauf eingehen, wie man dabei vorgehen kann, das Ganze zu erreichen. Wir sind jetzt hier bei dem Beispiel, z.B. bei einem Kunden, der noch recht am Anfang steht. Also in der ersten Phase Discovery Detection erstmal eine Übersicht gewinnen muss, darüber, welche Maschinenidentitäten er hat, um eben diese Basis zu haben, um sicherzustellen, dass die nachher auch alle entsprechend verwaltet werden.

Gegenfalls macht hier diese Kategorisierung und Analyse der Lifecycle-Prozesse auch Sinn. Aber was wir auch ganz häufig sehen, ist, dass erstmal eine Bereinigung und eine Eigentümerzuweisung notwendig ist. Über die letzten zig Jahre hat sich da häufig eine große Zahl an Maschinenidentitäten angesammelt. Die werden nicht alle noch benötigt. Da sind nicht immer die Daten aktuell, je nachdem auch wer die wie gepflegt hat, dass wir hier wirklich sicherstellen müssen, eine gute Datenqualität zu haben, damit die Prozesse nachher auch funktionieren.

Und da ist eben dieses Thema Eigentümer auch super wichtig. Genau, das brauchen wir dann, bevor wir in der Phase 4 die Prozesse dann wirklich implementieren können, mit der aktiven Verwaltung starten. Diese ersten drei Schritte kann man in der Regel noch mit der Definition der Prozesse, der Definition der Richtlinien, Vorgaben etc. parallelisieren, sodass man hier nicht ganz warten muss. Aber es ist auf jeden Fall wichtig als Vorarbeit, bevor dann die Implementierung der Prozesse losgeht und diese wirklich genutzt werden.

Und zuletzt ergibt es noch Sinn, gewisse Verbindungen auch zu den Personenprozessen aufzusetzen. Zum Beispiel, dass wenn ein Eigentümer das Unternehmen verlässt, man hier entsprechend triggern kann, dass ein neuer Eigentümer hinterlegt ist. Nicht eins zu eins die gleichen Prozesse verwenden, aber das hilft einfach nachhaltig, hier auf dem aktuellen Stand zu bleiben und sicherzugehen, dass das auch nachhaltig funktioniert und up to date bleibt. In der Wege kann man das einmal im Großen durchlaufen und dann sind diese Maschinenidentitäten auch erstmal verwaltet.

Es sollte sich aber klar sein, dass das in bestimmten Teilen auch ein kontinuierlicher Prozess ist. Also wenn es neue Technologien gibt, dann kann es auch sein, dass man neue Maschinenidentitäten erstmal suchen und erkennen und in den Prozess reinbringen muss oder auch, dass zwischendrin noch einmal jedenfalls weitere Bereinigungen notwendig sind, je nachdem, wie das Unternehmen dann auch genau strukturiert ist. Dann würde ich jetzt noch einmal kurz die gerade genannten Themen zusammenfassen, bevor ich dann an den Klaus übergebe. Und zwar noch einmal hier als Key Takeaways zusammengefasst.

Wir haben einmal das Thema, wirklich Maschinenidentitäten sind nicht eins zu eins wie Personen. Das heißt, sie benötigen ihre eigenen Prozesse und ihre eigene Governance. Das Thema Ownership ist ganz zentral, weil man es für funktionierende Prozesse benötigt und auch aus regulatorischer Sicht vorgegeben ist, wenn es relevant ist. Automatisierung sollte eine ganz zentrale Rolle spielen, einfach damit das Ganze langfristig funktioniert und man es schafft, eben diese Masse an Maschinenidentitäten auch wirklich aktiv zu verwalten. Und hier hilft auch das Thema Zentralisierung.

Eben nicht jeder macht in seinem System, was er möchte, sondern dass man eben Transparenz hat, auch kontrollieren kann, werden die Vorgabenrichtlinien eingehalten und man sollte entsprechend regelmäßig überprüfen, gibt es sowohl die Maschinenidentitäten, die noch aktuell, aber auch generell, gibt es technologischen Fortschritt, neue Best Practices, die auch in der ganzen Governance entsprechend zu berücksichtigen sind. Genau, und jetzt freue ich mich, an Klaus weiterzugeben, der das Ganze nochmal aus SailPoint Perspektive erklärt.

Gut, dann schaue ich mal, was ich hier von der SailPoint Seite zu beisteuern kann. Jetzt haben wir viel Theorie gehört dazu und das, was Maybrit gesagt hat, trägt auch so ziemlich das, was wir aus der Praxis rauskennen. Wir haben Maschinenidentitäten jetzt als separate Verwaltung, haben wir seit der Navigate letztes Jahr angeboten, also seit Oktober letztes Jahr ungefähr. Natürlich war das schon immer mit On-Prem-Produkten möglich, sich da was Eigenes zu schreiben. Der eine oder andere Kunde hat das auch gemacht, aber Sie wissen, wie das ist mit eingeschriebenen Sachen.

Da gibt es dann Kopfmonopole, die sind manchmal nicht richtig gepflegt, dann sind manchmal die Wünsche größer, als das, was man tatsächlich realisieren kann, dann hat man keinen Bock mehr darauf und so weiter und so fort. Also weit weg von einem gewissen Regularium. Was ist jetzt das alte Dilemma dabei? Da war auch schon eine Frage in die Richtung, ob man da konkretere Sachen an den Risiken messen kann. Vielleicht kann ich da auch schon gleich ein bisschen was dazu beantworten. Ich habe die Slides in Englisch gemacht, weil wir oftmals für ein internationales Publikum präsentieren.

Darum, falls Sie die Slides weitergeben sollen, ist es auf die Art und Weise vielleicht leichter, als wenn ich es in Deutsch gemacht hätte. Also ich habe mir schon was dabei gedacht, warum ich die in Englisch gelassen habe. Also wir haben einmal den Punkt, dass wir nicht wissen, wer der Owner ist. Das ist eben rechtzeitig und ausführlich beleuchtet worden dabei. Dann gibt es halt diese integrativen Prozesse, die halt dann irgendwas aus der AD rauslesen. Und die AD ist ja nicht das einzige Konstrukt, das irgendeine Form von Maschinenitäten enthält.

Und die kommen dann in irgendeinen Excel-Sheet und dann kümmert sich am Ende des Tages vielleicht auch keiner mehr drum. Die Visibility ist eigentlich das, was am meisten fehlt. Also wo haben wir tatsächlich überall Maschinen, und ich sage jetzt mal Maschinen-Accounts, weil für uns ist nochmal ein Unterschied zwischen einem Maschinen-Account und einer Maschinen-Unität. Da komme ich aber noch dazu. Und natürlich dieses übliche, ich mache nichts, dann kann auch nichts passieren.

Ich weiß da wohl, ich habe da Maschinen-Unität, und ja, dann müsste man das Passwort vielleicht mal auch ändern, aber ich weiß nicht, wo ich es dann noch überall ändern muss. Also lasse ich lieber alles wie es ist, dann kann es nichts passieren. Vor allen Dingen kann mir keiner, mich dann hinter jemand fragen, was hast du denn da wieder gemacht. Also das sind so Dinge, die wir relativ oft mitbekommen, dass man nach dem Motto, don't touch a running system, und dann kann nichts passieren. Die Wahrheit ist aber, dass diese Maschinen-Accounts sind eigentlich der Honeypot.

Ein Honeypot ist ja eher eine Falle. Also es ist eigentlich das beliebte Einsteiger-Szenario für jeden Hacker, egal wie. Er findet immer irgendwo den berühmten, ungepatchten NT-Server am Ende des Tages noch, der irgendwo mit einem schlecht geschützten NT-Account irgendwo mit einem Bein im Internet rumsteht. Lachen Sie bitte nicht. Das kommt öfter vor, als Sie es vielleicht für möglich halten. Und es muss ja nicht unbedingt ein NT-Server sein.

Also wir haben das schon unheimlich oft erlebt, dass dann irgendwelche Maschinen, die in der Cloud irgendwo hängen, mit einem Bein im Internet, mit einem Bein bei Ihnen im Netz drin sind, ein relativ schwacher Account ist, oftmals eine Maschinen-Identität, die eben auch gebraucht wird, zum Beispiel um diesen Server hochzufahren, und dann passieren die unmöglichsten Sachen damit.

Also unmöglich heißt, ein Hacker kommt rein darüber, verbreitet sich darüber, kann sich einen weiteren Account anlegen, sie kommen vielleicht 14 Tage später dazu, das Ding zuzumachen, ist dem Hacker dann egal, er kann sich selber einloggen. Sie werden ja heute nicht mehr gehackt, im klassischen Sinne, das hat sich auch umgesprochen, sondern Hacker loggen sich heute ein, nachdem das passiert ist.

Also das sind einfach, und Sie sehen es hier selbst, das ist also hier aus dem IBM-Report, Data Breach Report, 83% der Organisationen hatten im letzten Jahr ein Takeover von so einem Maschinen-Account. Also das ist wirklich ein reales Szenario, ob Sie es glauben oder nicht, das ist nicht die Frage, ob denn das irgendwann passieren wird, sondern die Frage ist eher, wann Ihnen das passiert ist. Jetzt haben Sie vielleicht nur Glück gehabt. Also das ist kein Spaß dabei, das ist einfacher noch als Social Hacking, das muss man sich einfach klar machen dabei. Jetzt was kann man dagegen tun?

Das heißt also, wir haben das Problem, wir finden es auch mit den vielen Accounts, das haben Sie ja auch bestätigt in der Umfrage, dass das da ist. Ich finde es spannend, und das sind unsere eigenen Umfragen, die wir intern machen. Wir haben eine Kundenbasis von ungefähr 3000 Kunden, und wir fragen diese Kunden halt, hey, ist das bei euch ein Thema, sollen wir uns darum kümmern, sollen wir da irgendwas machen? Also wir priorisieren diese Sachen anhand des, was die Kunden brauchen.

Und 47% der Kunden sagen, dass sie also mehr als 10 mal Externe, mehr als 10 mal Maschinen-Identitäten haben, als sie eben interne Identitäten verwalten. Da war ich schon ein bisschen baff, wie ich das gehört habe. Das ist also schon eine Menge aus meiner Sicht. Und wenn Sie glauben, da wird nichts gehackt, das ist einfach nur mal aus dem letzten halben Jahr, kennt vielleicht nicht jeder, 23 and me, das ist so eine, da kann man halt so Familienhistorie betreiben und so ein Kram. Die sind geknackt worden, da sind Millionen von Accounts weggekommen.

Ich meine, das ist natürlich dann ein perfekter Vektor zu irgendwelchen schönen Neffen-Betrügereien oder, Sie kennen das dann, Mami, Mami, ich habe hier, das und das, oder Oma, Jummi, das ist es mir passiert. Ich brauche dringend Geld, sowas in dieser Art. Wenn ich denn weiß, wie die genauen Verhältnisse sind in der Familie, dann sind das natürlich schöne Toren, sowas zu machen. Oder Kronos, kennt auch kaum jemand, aber die sind halt geknackt worden. Hier sind also von 8000 Firmen die Accounts weggekommen, also die Accounts, wenn es darum geht, eben das Human Resource zu verwalten davon.

Ich meine, das sind schon Hausnummern, die können einem schon schwindelig machen dabei und das passiert alles über solche Weak Accounts. Also nicht, dass Sie denken, wir hätten da jetzt im großen Stil irgendwelche Fehler gemacht oder Firewalls offen gelassen. Wir bemühen uns alle, irgendwo sicher zu sein und trotzdem passiert es immer wieder. Also was müssen wir jetzt eigentlich reinbauen dabei?

Ich meine, das hat Maybrit eben schon mal angerissen. Es geht um das Discovery, dass ich also aus meinen unkorrelierten Accounts, das heißt also, ich habe von meinem HR-System die Identitäten bekommen, ich habe aus den verschiedenen Systemen ausgelesen Accounts und konnte die über Identitätenattribute einfach den Identitäten zuweisen. Ich weiß also, welche Identität hat welche Accounts in AD, in SAP, das hast du nicht gesehen. Aber da bleibt ja immer noch eine ganze Menge unkorrelierter Accounts übrig. Was ist jetzt mit denen?

Muss ich jetzt jeden Account oder diese Accounts durchflühen, um zu finden, wer der Richtige ist? Also das wäre das Discovery. Da gibt es natürlich auch zu, die müssten auch in irgendeiner Form klassifiziert werden. Also was sind das für Accounts? Sind das Bots? Sind das Service-Accounts für irgendwas? Da ist ja durchaus ein Unterschied. Ein Bot sollte beispielsweise eine Versionsnummer vielleicht haben für die Software, auf der er gerade steht.

Ownership-Assignment ist eben, glaube ich, jedem klar, ist auch lange gesprochen worden eben, das ist ein anderer Prozess als ein Ownership von einem Entitlement, weil das ist halt ein anderer Lebenszyklus, der dem einfach folgt. Dann ist Maschinen, Sie sehen schon Maschinen-Identity-Assignment. Also wir sehen durchaus die Option, dann mehrere Maschinen-Accounts zu Maschinen-Identen zusammenzufassen. Genauso wie Sie das ja mit echten physikalischen Identitäten auch machen, die mehrere Accounts beinhalten.

Genauso kann man das auch mit Maschinen-Identen machen, um zum Beispiel nach Apps oder nach bestimmten Applikationen, was weiß ich, Sie fassen alle Maschinen-Accounts von allen Schweißrobotern zusammen, sowas in dieser Art, um Ihnen so eine Idee zu geben. Das wäre so ein Punkt, oder alle Maschinen-Identitäten, die irgendwas an SAP-Accounts machen, die sitzen da zu einer Maschinen-Identität zusammen. Sowas kann man tun. Das ist eine Option dabei. Und natürlich der wichtige Punkt, die Access-Certification. Das ist also das, was wir in diese Use-Cases jetzt erstmal eingebaut haben.

Es ist ein Cloud-Ansatz. Das heißt, wir haben jetzt erstmal diesen Use-Case eingebaut. Wir haben in der Klassifizierung ein bisschen geholfen mit KI dabei. Und da würde ich jetzt einfach gerne ein paar Screenshots zu zeigen, dass wir mal eine Idee haben, wie sowas tatsächlich aussehen kann. Also das jetzt, wer unser Produkt kennt, mag es da vielleicht wiederfinden.

Also da, wo ich die Ressourcen, wo ich also Sourcen anbinde, also Applikationen anbinde dabei, da kommt alles Übliche rein, das ich die Akkreditations mache. Also ich lese meine Accounts ein, ich lese meine Entitlements ein. Und da gibt es einen Punkt, der nennt sich Machine Account Classification.

Also ich kann hier einmal sagen, also gut, ich möchte hier eine Customized Classification machen und bin jetzt einfach in der Lage, wie Sie hier sehen, ich kann hier, so ich auch ganz normal meine Accounts qualifizieren kann, kann ich jetzt in den unkorrelierten Accounts einfach nochmal drüber gucken, unseren Account-Name, hat der irgendwas mit .dot entbrannt oder ist da irgendwas mit, kommt der aus einer bestimmten EU? Wenn ich zum Beispiel, viele ADs sind heute besser organisiert, als man glauben mag.

Ich bin da auch immer wieder positiv überrascht, dass da tatsächlich auch Leute sich dran halten, weil man verstanden hat, dass eine ordentliche AD das halbe Leben ist. Das heißt, wenn dann Ihre Service-Accounts immer in einer bestimmten EU aufgehoben sind, kann man auch genau sagen, alle, die da herkommen, sind für mich automatisch Service-Accounts oder vielleicht sogar noch besser organisiert sind.

Oder, oder, was immer Sie auch da haben, also es gibt verschiedene Gruppen, das passt natürlich nicht alles hier auf den Screenshot drauf, aber Sie verstehen, was ich meine. Das heißt also, hier können Sie nochmal genau qualifizieren, was ist da drin, und laufen da mal drüber und finden das. Das wäre dann Discovery und Klassifizieren dabei. Und natürlich ist immer wichtig, die Ownership zu bilden.

Sie können das manuell machen, wir haben aber gleich die Zuweisung, man kann das natürlich auch elektrisch machen, alles manuell zu machen, macht ja auch keinen Sinn, wenn das zigtausend von Accounts sind, ist das eine Strafarbeit, die will keiner wirklich machen. Aber man kann das auch manuell nachbessern, das ist auch wichtig, es geht nicht nur der elektrische Weg, sondern man kann das auch manuell machen, oder kann das auch im Workflow zuweisen, oder was immer Ihnen richtig und adäquat scheint dabei. Und das lässt sich tun damit.

Sie haben die Option, dieses Mapping zu machen, habe ich eben gerade gesagt, Account zu Account oder Account zu Identität. Also soll jetzt der Account, dieser Maschinenaccount, einem bestimmten führenden Account zugewiesen werden in der AD und der gehört zu einer Identität, oder möchten Sie lieber den Account direkt zu einer Identität zuweisen, beide Optionen sind möglich. Das klassische Mapping, wo Sie sagen können, was hätte ich denn gerne. Und Sie nutzen immer die existierenden Attribute im System.

Sie müssen nichts neu schaffen, sondern es muss wiederholbar sein, die Sachen müssen ja nachvollziehbar sein. Also nutzen Sie Attribute, die entweder am Account oder an der Identität dran sind, wo Sie sagen, wenn das zutrifft, dann bitte das dann entsprechend zuweisen. Das ist eine Entscheidung, die Sie vorher treffen. Und der aus unserer Sicht wichtigste Punkt ist natürlich die Zertifizierung von diesen Maschinenaccounts. Also wie gehe ich jetzt damit um? Wie kann ich sagen, ja wird noch gebraucht, oder was immer auch da alles reingreift.

Sie haben also einmal die Option, wenn Sie so eine Zertifizierung erstellen, können Sie sagen, welche Applikation möchte ich mir denn angucken? Sie können in eine Applikation reingucken, Sie können auch alle 250 nehmen, die Sie haben. Das spielt keine Rolle dabei. Sie können die frei auswählen. Wenn Sie natürlich mehrere 10.000 von diesen Sachen haben, macht es hier genauso Sinn, das auf Applikationen runterzubrechen und dann vielleicht sogar noch mehr Details reinzunehmen, damit es einfach für jemanden, der das zertifiziert, überschaubar bleibt.

Und natürlich ist das nicht immer, Entschuldigung, nicht immer so einfach, so sehen wir hier. Aber Sie sehen können, Sie haben hier Maschinen-Identitäten und da drüben gibt es eine Maschinen-Identität, die heißt srv-iis-service. Das ist dann relativ einfach, was dazu ist. Oftmals finden Sie einfach nur eine kryptische Nummer. Das ist kein Bug von uns, sondern das ist so, wie diese Maschinen-Identität in dem Zielsystem, das wir eingelesen haben, entstanden ist. Wir werden diesen Namen auch nicht ändern, weil es ist der Name dieser Identität oder dieses Accounts.

Was Sie aber sehr wohl machen können, Sie können natürlich den Namen davon ändern, können sagen, der ist einstammend dafür, der Account, das kann man dann wieder sehen. Aber Sie sehen natürlich immer, und das ist das Wichtige, die Entitlements dieser Accounts und die Berechtigung in dem Zielsystem. Also hier zum Beispiel zwei aus Active Directory haben hier Datacom und DBAs.

Sie sehen, wie oft die benutzt worden sind in dem letzten Zertifizierungszeitraum. Sie können zur Not über diese drei Punkte in Details gehen und können genau sehen, was ist denn das für eine, sehen als die Details von dieser Gruppe dabei. Und wenn Sie Empfehlungen, oder wenn das entsprechend häufig genutzt wird, dann können Sie auch KI benutzen, um Empfehlungen dafür auszusprechen, als braucht diese Maschine tatsächlich diesen Account aus dem, was wir als KI ablesen können im Vergleich zu den Peergroups.

Sprich also, wenn das ein Account ist, andere Maschinenaccounts haben die ähnliche Dinge. Das ist zwar lange nicht so relevant, wie das beispielsweise bei echten Inditäten ist, am Endgerät, aber es hilft manchmal, in eine bestimmte Richtung zu gehen. Also so können Sie solche Zertifizierungen aussehen.

So, wir haben aber noch einen draufgesetzt, seit wir das im Oktober gebracht haben, denn wir haben herausgefunden, also wir sind ja auch dann permanent am Nachschauen, wie geht es unseren Kunden damit, was wird da gemacht, und wir finden also im Schnitt über 8000 Serviceaccounts, Bots, andere Maschinenaccounts, in den Directories von unseren Kunden, die angeschlossen sind.

Das, ich weiß, das klingt verrückt, ich habe das erstmal auch gesagt, ist das ein wertifizierter Wert, ist das richtig, wir denken uns die Zahlen nicht aus, darum sagen wir die Zahlen schon so präzis, das kann eigentlich gar nicht sich irgendjemand aus dem Finger gesogen haben, sondern es ist tatsächlich so. Das heißt also, das sind Punkte, hier muss man schon mal drauf gucken, was ist das eigentlich.

Das ist natürlich ein Average, wenn man wahrscheinlich Kunden hat, wir haben natürlich auch Kunden mit Millionen von Inditäten, da ist das natürlich überhaupt ein Klacks, wenn man 8000 oder mehr hat davon, aber es gibt halt auch deutlich kleinere Kunden, die auch erhebliche Mengen an diesen Serviceaccounts haben, das ist zumindest ein Punkt, über den man drüber nachdenken sollte, ob man das machen sollte.

Und um diese Sachen ein bisschen einfacher zu machen, wir machen halt nun mal viel mit KI, beziehungsweise mit Machine Learning, sag ich mal, natürlich auch mit Generic AI oder mit Agendic AI, das wird halt immer mehr, also wir sind auf den Plattformen der Produktivität angekommen, das ist bei uns fest in unsere Atlas Plattform mit eingebaut, also Sie können sich nicht dagegen, Sie müssen es zwar nicht benutzen, aber Sie können sich nicht dagegen werden, dass Sie es haben, wenn Sie unser Produkt einkaufen und da haben wir heute die Option, dass wir schon hier mit Machine Discovery einfach drüber gehen und wir zeigen Ihnen, also warum haben wir diesen Account jetzt aus deinen unkorrelierten Accounts als Machine Account definiert.

Die Liste hier geht noch eine ganze Ecke weiter, ich habe nur so ein kleines Fettsichen davon machen können, aber da ist natürlich, und da läuft all unsere Erfahrung rein, also wir lernen bei unseren Kunden, warum Machine Accounts als Machine Accounts definiert werden und wenn das etwas ist, was wir relativ häufig finden, das haben wir diesem LLM beigebracht und das LLM rast dann im Prinzip über Ihre restlichen offenen Accounts und sagt Ihnen, also folgende habe ich als Machine Account definiert, Sie müssen das nicht akzeptieren, das ist nur ein Vorschlag, die Maschine wird Ihnen immer nur einen Vorschlag machen, aber Sie haben ein Fettchen in der Hand, Sie müssen jetzt nicht über 200, 300 oder 200, 3000 dieser Accounts drüber rasen und sich ein eigenes Bild machen, sondern Sie können halt anhand Stichproben eigentlich dann vielleicht entscheiden, passt das oder passt das nicht für mich, das ist ein wichtiger Punkt und ich möchte einfach nochmal eine Lanze für AI generell sprechen, ich weiß, dass halt alle sagen, oh, das ist alles AI-Driven und hast du hier gesehen und da macht KI was und sowas, das ist schon ein Unterschied, Sie brauchen halt immer eine riesige Datenbasis dafür, wenn Sie damit arbeiten wollen, ich habe ganz bewusst über diese knapp 3000 Kunden gesprochen, die wir aktuell haben, wir haben 1200 eigentrainierte LLMs, denen wir selbst beigebracht haben, wie sie funktionieren, immer nur auf unseren Erfahrungen, die wir mit unseren Kunden gemacht haben, die Daten, die wir daraus gelernt haben, das ist auch immer ein geschlossenes System, wir geben das nicht nach außen, ausschließlich unsere Kunden können davon partizipieren, nur dass wir mal so eine Größenordnung haben, das sind bis zu drei Petabyte, die wir da jeden Tag bewegen, also das ist not a piece of cake, das ist also nichts, was man mal eben so im eigenen Rechenzentrum mitlaufen lässt und es sind reichlich Decisions, die da eben mit beeinflusst sind, das heißt also, wir haben das ja in Zertifizierung mit dabei, wir haben das in Vorschlägen für Access, wir haben das in verschiedenen Dingen, wo wir eben diese Art Entscheidungen werden, aufgrund dieser Empfehlungen getroffen dabei und das sind also immerhin 79 Prozent aller Identitäten, die darüber gemanagt werden, also das ist ein Punkt, der bei uns fest verankert ist, das ist not nice to have, sowas zu haben bei uns, sondern wir verstehen, dass diese Menge an Daten, die es hier zu kontrollieren gibt, im IRM-System, dass das einfach nur noch mit Machine Learning funktioniert, sie kriegen anders einfach kein Hebel mehr dran, um relativ schnell zu gescheiten Ergebnissen zu kommen.

Das war mein Sinn dazu. Besten Dank. Vielen Dank, Klaus. Das war super spannend. Wir kommen jetzt zur Q&A-Session. Ich erwähne es nochmal, dass wir jetzt die Chance haben, auch dass Sie die Chance haben, als Teilnehmer hier nochmal Ihre Fragen beizusteuern und wir geben Ihnen auch die Chance, weil wir jetzt als erstes erstmal auf die Post gucken werden, auf die Umfragen, die ich vorhin gestartet habe und da sind ein paar spannende Ergebnisse rausgekommen. Insbesondere habe ich diese Posts während des Vortrags beobachtet und die haben sich nochmal verändert.

Das fand ich ganz spannend, weil ich glaube auch, dass es so deutlich mehr die Realität betrifft. Wir haben ja angefangen mit der Frage, wer es überzeugt, dass es in Ihrer Organisation mehr Maschinen als menschliche Identitäten gibt. Das war am Anfang relativ gleich verteilt. Mittlerweile sind wir doch dabei angekommen, dass es so, es ist zwar immer noch sehr gleich verteilt, aber dass so über 30 Prozent sagen, ja, wir haben mehr Maschinenidentitäten. Jeweils ein Viertel sagt, wahrscheinlich, aber wir haben es nicht quantifiziert.

Oder nein, wir haben noch mehr menschliche Identitäten und 19 Prozent sagen, wir haben keinen Einblick da rein, weil wir es halt noch nicht tracken. Ich fange mal bei Maybrit an. Spiegelt das das wieder, wie das auch in der Praxis für euch ankommt oder kommen bei euch eh diejenigen an, die schon handeln wollen? Teilweise unterschiedlich, aber wir sehen doch durchaus häufig, dass, das habe ich noch ein offener Punkt, das kommt auch darauf an.

Manchmal gibt es auch Findings, dann schauen wir mal rein, dann sieht man, dass da tatsächlich gerade in Bezug auf die Maschinenidentität noch wenig vorliegt. Und wenn man dann auch mal schaut, wie viele Accounts sind das eigentlich nach einer gewissen Analyse, das habe ich eine sehr hohe Zahl.

Klaus, vielleicht noch von deiner Erfahrung her? Ich muss zugeben, ich habe gerade eine Frage beantwortet. Das sagst du bitte nochmal.

Ja, genau. Also, ob dieses Bild mit der relativen Gleichverteilung, mit der Einschätzung, ob ich mehr Maschinenidentitäten oder weniger habe, spiegelt das deine Realität wieder oder kommen bei euch diejenigen an, die eh schon wissen, dass sie viel mehr haben oder könnt ihr überzeugen, dass es doch mehr sind?

Also, ich glaube, es ist einfach... Schau, das Problem ist, wir sehen das aus der Sicht eines IAM-Herstellers und ein IAM-System lebt von Content. Wenn ich jetzt natürlich an meinem IAM-System von meinen 200, 300, 400 Anwendungen oder noch mehr, die ich möglicherweise im Unternehmen habe, nur 30 oder 40 angeschlossen habe an meinem System und sage dann, oh, ich habe nicht so viele Maschinenidentitäten, ja, dann ist der Blick natürlich nicht besonders weit, weil ich eben nur ein Sechstel meiner Systeme angeschlossen habe.

Das heißt also, wenn mir jemand sagt, der tatsächlich alle Systeme, die er hat, an einem IAM-System angeschlossen hat, mit alle Systeme meine ich alles, was einen Account und Berechtigung beinhaltet und das angeschlossen hat und das alles aggregiert hat und mir dann sagt, wir haben nicht so viele Maschinenaccounts, okay, dann glaube ich das. Aber vorher halte ich das für ein bisschen Selbstbedrohung.

Okay, danke dir. Nehmen wir noch schnell die zweite Umfrage. Wie verweicht Ihre Organisation derzeit die nichtmenschlichen Identitäten? Und da zeigt sich drin, dass Automatisierung schon relativ viel angewandt wird. Ungefähr 30 Prozent sagen, wir haben das mit einem dedizierten Governance- und Lifecycle-Prozess im Griff und die anderen ignorieren wir mal. Ist das die Realität auch in eurer Praxis oder unterstützt ihr genau gerade die, die den nächsten Schritt gehen wollen? Vielleicht auch wieder mit Maybrit anfangen?

Tatsächlich ist das auch wieder ein bisschen eine Frage, wie tief geht man da rein? Wir sehen häufig, dass es bestimmte Maschinenidentitäten, technische User, Roboter, sowas gibt, wo es tatsächlich schon Prozesse gibt. Wir gehen aber häufig davon aus, dass das nicht alle wirklichen Maschinenidentitäten abdeckt. Man fokussiert sich da gerne auf die, die relativ einfach und offensichtlich sind. Meistens gibt es aber noch Applikationssysteme ein bisschen weiter tiefer drin, wo wir dann doch noch einige finden, die jetzt noch nicht in bestimmten automatisierten Prozessen drin sind.

Aber ja, es gibt in der Regel schon für erste Maschinenidentitäten, je nachdem, welche Kategorie das ist, da schon Prozesse vor Ort, ob die dann immer entsprechend komplett eingehalten werden und auch der Automatisierungsgrad, der hängt ja wirklich vom Unternehmen ab und auch, wie weit man mit dem eher ganz generell ist. Klaus, wolltest du noch etwas dazu sagen?

Ja, es ist einfach eindeutig eine Frage des Reifegrads der Firma selbst. Ich meine, wir hatten vor der Pandemie, ich glaube ein Jahr oder zwei Jahre vor der Pandemie, hatten wir unseren ersten Kunden, der mehr Bots hatte als interne Mitarbeiter.

Bots, ich sage ganz bewusst Bots, das kleine Fensterchen, was da aufgeht und sagt, hey, ich sehe, du bist auf meiner Seite, wie kann ich dir helfen? Das war damals die Citibank, die hatten, glaube ich, 600.000 von diesen Bots am Laufen.

Ich meine, damals habe ich schon gedacht, okay, das ist eine Ausreise, das kannst du vergessen. Ich habe die Zahl auch nicht ganz geglaubt, wenn ich ehrlich sein soll, aber ich bin eines Besseren belehrt worden. Diese Zahl ist vollkommen relevant oder vollkommen realistisch. Das ist tatsächlich das, was die machen auf den Maschinensystemen. Und natürlich brauchen die Benutzung. Wir haben damals angefangen, in unserer On-Prem-Software extra einen Identity-Typ zu schaffen, Bots, dass da eben eine Versionsnummer und eine Superweise hinterlegt werden konnte, dass man sowas machen kann.

Also die Notwendigkeit war schon immer da. Jetzt, wo immer mehr von der OT eben auch mit in dem IDM-System gesehen wird, wo man sagt, okay, diese Accounts müssen ja in irgendeiner Form sichtbar sein. Was liegt näher, als das mit einem System zu machen, das Accounts und Berechtigungen ausliest?

Ja, ganz wichtig, das ist zum Beispiel etwas, was IGA-Leitsysteme nicht machen. Die legen Ihnen vielleicht Accounts an, aber die lesen Ihnen keine aus und schon gar keine Entitlements dazu. Also das ist halt nun mal ein großer Unterschied.

Ja, das kommt jetzt immer mehr, aber ich meine, die meisten Kunden hängen halt noch, war ich nicht gerade beim Joiner-Mover-Lieber-Prozess und jetzt soll ich mich um Maschinen-Identitäten kümmern, wie passt das zusammen? Also man muss einfach sehen, dass man eine Priorität reinkriegt im Unternehmen selbst, dann sagt, über was müssen wir uns denn eigentlich kümmern? Was brauchen wir denn, um solche Prozesse zu machen? Man kann es auf jeden Fall losgelöst voneinander tun.

Also man kann durchaus über Maschinen-Identitäten reden und kann die auch verwalten und analysieren und anschauen, ohne, dass ich irgendetwas an dem Joiner-Mover-Lieber-Prozess ändern muss. Das ist also nicht so, dass ich erst das eine und dann das andere machen muss. Aber man muss natürlich diese Parallelität wollen. Das ist natürlich nicht immer ganz einfach in den Köpfen der Menschen zu sagen, ja was jetzt, wo soll ich denn anfangen?

Das kann ich immer nur sagen, dann ist jemand wie die Leute einfach der perfekte Partner zu sagen, also komm, setz uns mal hin, hol uns mal einen Kaffee und dann gucken wir mal, wo wir anfangen, wo ist denn wirklich Druck auf dem Kessel? Das geht immer zu beachten.

Ja, dankeschön. Die dritte Frage kann man sich praktisch eigentlich schon fast selber erklären. Teilnehmer, die an diesem Webinar teilnehmen, die sind natürlich daran interessiert, wie sie mit diesem Thema gut umgehen. Deswegen zeigt sich das auch, hohe und mittlere Priorität sind weit über 50 Prozent, dass man da rein in den nächsten 12 bis 24 Monaten was tun möchte, dass man da auch investieren möchte. Aber das war eigentlich fast zu erwarten für die Teilnehmer. Gehen wir lieber zu den Fragen rüber und da sind ein paar ganz spannende drin.

Natürlich, Klaus, du hast es vorhin schon angedeutet, ich lese einmal vor, jenseits der Theorie, welche Beispiele aus der Praxis gibt es denn für solche Sicherheitsverletzungen, die ich nur theoretisch angebracht habe, oder Risiken im Zusammenhang mit den schlecht verwalteten nichtmenschlichen Identitäten. Gibt es da irgendwas, worüber ihr sprechen dürft? Das hatte ich ja vorhin gesagt, also diese 83 Prozent der befragten Kunden in diesem IBM Data Breach Report haben ja berichtet, dass sie über einen Maschinen-Account gebreached worden sind.

Das ist für mich, sagen wir mal, mehr als ein Risiko, wenn das 83 Prozent sind. Also haben wenigstens einmal ein Ändern von so einem, also eine Übernahme von so einem Maschinen-Account, halt, dass jemand die Credentials erraten hat, oder sonst irgendwie geknackt hat, hat sich über diesen Account da reingesetzt und hat sich dann eben durchgehangelt.

Ich meine, diese Hacker können ja nicht nur gut irgendwo in so ein System reinkönnen, die kennen sich auch von der System-Ebene aus. Die wissen, wie sie dann irgendwo ein Account anlegen können und nach der auf einmal Mehrberechtigung, dann brauchen die irgendwann gar nicht mehr diesen einen Wiegen-Account, sondern machen das dann über einen. Also dieses Kitsch-Hacking von dem Account, das findet vielleicht nur, keine Ahnung, zwei Wochen statt, und danach, wenn er einen Account hat, mit dem er arbeiten kann, der liebe Hacker, hat er wieder alle Zeit der Welt.

Also, wenn man sich diese, wie soll ich das sagen, diese Log-Files anguckt, die da manchmal noch übrig bleiben, sagt der immer, Gottes Willen, nichts abschalten, bitte alles so lassen, wie es ist, bis ich die Log-Files noch retten kann, dann ist das halt eben ein Punkt, der immer wieder zeigt, dass die Hacker, das geht nicht innerhalb von 14 Tagen, die Hacker haben ein halbes Jahr Zeit, manchmal zwei Jahre Zeit, bis sie dann sagen, so, und jetzt mal gucken, wie die sich fühlen, wenn sie am Montagmorgen alle miteinander verkryptet sind. Ja, das ist kein Druck.

Entspricht das auch deiner Praxis, Maybrit?

Ja, also, es ist definitiv immer ein großes Thema, man sieht, es ist einfach eine riesige Menge an Accounts, über die wir hier sprechen, und natürlich damit auch eine große Angriffsfläche, vor allem, da man auch schauen muss, inwieweit hat man da ein Auge drauf oder nicht, je nachdem, wie weit die Reife ist, ob es da Governance-Prozesse drum herum gibt oder nicht, kann es natürlich auch sein, dass man eine große Anzahl dieser technischen Accounts hat, die vielleicht schon lange nicht mehr gebraucht werden, keiner traut sich diese abzuschalten und auch hier muss man sagen, dass auch diese Machine Identitäten häufig recht umfangreiche Rechte haben.

Das ist definitiv, wenn man darüber reinkommt, ein großes Risiko für die Unternehmen. Okay, und das passt auch zu der einen Frage, die ich nach vorne ziehe, kann ich die Anzahl dieser Accounts auch wieder reduzieren? Wir haben vorhin über den Lifecycle gesprochen, dann würden die ja eigentlich, wenn der Lifecycle funktioniert, ordentlich auch wieder dann verschwinden, wenn es sie nicht mehr braucht. Angenommen, es gäbe diesen Lifecycle überall ordentlich implementiert. Gibt es andere Mittel und Wege, diese Accounts zu reduzieren?

Klaus, du hattest schon geantwortet, ja, bei uns schon, da musst du mehr ins Detail gehen. Eigentlich nicht. Es ist eigentlich immer die Frage, wie Malpret das gesagt hat, manche von diesen Accounts erscheinen einfach nur temporär und dann fallen sie halt, die nur temporär sind und dann wieder abgeschaltet werden.

Wenn es dafür ein Lifecycle gibt oder nicht, dann wenn sie nicht mehr korreliert werden, nicht mehr zusammen, also nicht mehr entdeckt werden, dann werden sie einmal nicht mehr gefunden und wenn dann auch die KI über die Begrifflichkeit des Namens diesen Account nicht mehr findet, dann ist er mit großer Wahrscheinlichkeit weg. Das ist also schon ein Punkt dabei, dass man natürlich diese Accounts auch wieder reduzieren kann. Die Frage ist halt, ist das ein Prozess, den ich aus meinem IDM-System raussteuern möchte?

Das wird bei uns kommen, dass ich diese komplette Maschinen-Entität, den Lifecycle wirklich komplett anlegen kann. Also das Nächste, was bei uns kommt, ist, dass ich Accounts anlegen kann und spätestens mit dem Anlegen dieser Accounts haben wir den Lifecycle komplett unter Kontrolle, weil er von uns angetriggert worden ist. Momentan sind wir immer noch auf die Aktion von dem Zielsystem angewiesen. Das wird sich aber irgendwann ändern. Also das dauert immer lange, das kommt alles jetzt noch im ersten halben Jahr. Okay. Eine Frage kam gerade rein, aber die möchte ich auch nach vorne ziehen.

Das ganze Thema Überwachung der Tätigkeit, zu deutsch so User Behavior Analytics für Nicht-User, also für Maschinen-Identitäten. Inwiefern ist das schon etwas, was zum Einsatz kommt? Sind das Strategien, die man jetzt schon verwendet, um zu sagen, okay, diese Maschine sollte eigentlich dies und das tun und das andere alles nicht, sodass man auch da so ein Normal und eine Abweichung identifizieren kann?

Mal kurz, soll ich mal reinspringen? Du kannst gerne beginnen. Also das ist, also die Antwort ist, it depends. Das heißt, es ist immer eine Frage, ein IDM-System ist ja kein, wie soll ich das sagen, natürlich schon Aktivsystem, dass es auf bestimmte Dinge reagiert, aber es braucht natürlich bestimmte Trigger, um damit arbeiten zu können. Wir machen also kein User Behavior, sondern wir gucken uns nur an, wie oft werden Berechtigungen benutzt. Das ist ein Unterschied. Also wir gucken nicht, wo geht der überall hin, was macht der gerade?

Allerdings können wir von solchen Systemen getriggert werden. Also alles, was mit Intruder Detection zu tun hat, da lauern wir drauf. Wir haben da also Kontakt zu den entsprechenden Systemen, da gibt es direkte Konnektoren bei uns und man kann uns sehr wohl über diese Trigger direkt ansprechen und sagen, hier ist gerade was passiert, hier musst du was tun und dieses musst du was tun, das kann ein Workflow sein, der eben nur eine Zertifizierung ausstellt für einen Account bis hin zu einem Abschalten und einem Nachfragen, hast du das wirklich gebraucht, was du da gemacht hast?

Also die Reaktion, die darauf notwendig ist, ist einfach eine Frage, was der Kunde als dringend bezeichnet. Im Moment sind wir da eben noch auf dem Weg, dass wir reagieren. Wie es sich jetzt weiterentwickelt, ist vielleicht eher eine Frage, wie die Kunden das gerne hätten.

Also wir, es gibt natürlich Systeme, die es heute schon können und wir stehen eigentlich mehr bei SailPoint auf Integration anstatt auf Get Rid and Replace. Also wir gucken lieber, dass wir bessere Konnektoren bauen, als dass wir sowas selber bauen. Also da müssen wir einfach gucken, was der Kunde hat. Aber in aller Regel können wir uns da dran connecten und können davon gesteuert werden, also von externen Drückersystemen.

Okay, perfekt. Trotzdem, Malte, noch etwas ergänzen oder passt das aus deiner Sicht so?

Ja, also zur Zeit spielt es noch nicht die Hauptrolle. Die Frage ist, wie Klaus gerade meinte, auch welche Informationsbasis hat man da bereits. Natürlich kann man schauen, welche anderen Systeme hat man im Einsatz.

Klar, wenn es um privilegierte Sachen kommen, kann man auch nicht gehen mit einem Pump-Tool, das entsprechende Monitoren oder ein SIEM hat, wo vielleicht schon bestimmte Dinge beobachtet werden. Aber es ist definitiv etwas, was man in Zukunft bestimmt noch mehr nutzen kann, aber eben sicherstellen muss, dass man die Information auch hat und auf der Basis agieren kann.

Okay, super. Dankeschön. Wir laufen jetzt aufs Ende zu. Ich habe noch eine Frage, die mich interessiert. Unterscheiden sich gewisse Branchen, die jetzt schon schneller mit dem Thema Maschinenidentitäten auf euch zukommen oder bestimmte Charakteristiken in Cloud Native, in Entwicklungsinstitute oder ein stark kundenorientiertes Unternehmen? Oder ist das breit verteilt aus eurer Wahrnehmung? Wer sollte denn jetzt mal langsam anfangen? Ich glaube, grundsätzlich für alle wichtig. Wir merken es zum einen natürlich im regulierten Bereich, wenn da bestimmte Findings sind.

Da ist es dann aber in der Regel meistens schon zu spät. Deswegen natürlich idealerweise früher schon sich damit auseinandersetzen und auch bei Unternehmen, die eine sehr, sehr große Anzahl haben oder auch das Thema IoT in Zukunft noch eine große Veranstaltung machen, wie kann man die auch ins IAM entsprechend integrieren? Dann passt die allerletzte Frage, die hole ich jetzt noch schnell rein. Eine Frage kommt rein. Ich mache mir bei Maschinenidentitäten in der Cloud Sorgen.

Kann ein IAM-System, so wie wir es gerade besprochen haben, auch in diesen Cloud-Prozess eingebunden werden, ohne da zu bremsen, aber trotzdem die Sicherheit zu liefern? Vielleicht Klaus zuerst. Kurze Antwort, ja.

Also das, ich meine, unser System, das, was ich hier gestellt habe, ist natürlich Cloud-basierend, das heißt, wir arbeiten mit Microservices, wir arbeiten mit Multitenants, also wir respektieren die Cloud- Architektur, so wie sie vorgegeben ist und diese Maschinen, ich nehme mal an, mit Maschinenidentitäten in der Cloud sind die gemeint, die eben Maschinen in der, also Server in der Cloud in ihrem Raum betreuen sollen und die können wir natürlich auch so abfangen, das ist überhaupt keine Frage.

Wir haben dafür spezielle Konnektoren auch, also durchaus Cloud-zu-Cloud-Konnektoren, was natürlich deutlich schneller ist, also wenn ich über ein lokales Gateway gehe, aber man kriegt das alles eingefangen. Also die Frage ist, habe ich erstmal das Problem erkannt, ist die Gefahr tatsächlich halb gebannt?

Okay, super. Dann laufen wir aufs Ende zu. Ich mache das immer am Ende ganz gerne, zu sagen, so zehn Sekunden noch eine Empfehlung an die Zuhörer, wenn sie mit Maschinenidentitäten derzeit gerade nachdenken, womit sollten sie loslegen, wenn die vielleicht in den nicht so hoch priorisierten Teilnehmerkreisen waren? Was würdet ihr jedem ans Herz legen, mit den Maschinenidentitäten als erstes zu tun, wenn man sich noch nicht große Gedanken darüber gemacht hat? Vielleicht Maybeth als erstes?

Genau, ich glaube, einmal ganz allgemein darüber nachzudenken, welche Art hat man, was ist für die besonders wichtig, welche Vorgaben soll man da einhalten und dann vielleicht auch ein schrittweises Vorgehen anschauen, welche sind die wichtigsten, wird es erst schützen müssen und darf euch den nachrüstigen Plan machen. Perfekt, danke schön. Klaus? Ich kann nur das sagen, was ich immer sage, ein IDM-System braucht Content. Das heißt also, wenn ich nichts an meinem IDM-System angeschlossen habe, darf ich mich auch nicht wundern, wenn ich nichts draus ziehen kann.

Ich muss mich halt wirklich fragen, habe ich alle meine Applikationen gezählt? Also ich brauche eine Liste aller Digital Assets, alle, ohne Ausnahme.

Alles, was eine Identität hat, alles, was eine Applikation hat, alles, was in irgendeiner Form Lizenzen hat, überall, wo Berechtigungen hinten dran stecken, diese Sachen müssen am System angeschlossen werden. Und wer dann immer noch keine Maschinen-Identitäten findet, dem kann ich nur beglückwünschen, weil der hat ein hervorragendes strukturelles System. Ich glaube, dass er dann erst wirklich bewusst wird, wie groß das Problem ist, um das er redet. Content ist das A und O. Ein Maschinen-System, also ein IDM-System braucht Anschlüsse, also Anwendungen dran.

Wir liefern über 200 Konnektoren mit, das machen wir nicht aus Spaß an der Freude, also dran damit. Kann ich nur jedem ans Herz legen.

Perfekt, vielen Dank. Wir sind am Ende. Vielen Dank Maybrit, vielen Dank Klaus, das hat großen Spaß gemacht und es hat mir auch echt eine Menge gebracht, nochmal das in der Praxis zu sehen.

Ich hoffe, das hat auch den Teilnehmern viel gebracht. Wenn es noch Fragen gibt hinterher, ich denke, sowohl Maybrit als auch Klaus sind per Mail, per irgendwas erreichbar. Das heißt, stehen für Fragen zur Verfügung, gilt für mich natürlich auch.

Insofern, wenn wir da weiter in die Diskussion kommen können, von den unterschiedlichen Ansprechpartner-Seiten, von Analysten, von Hersteller, von Partner, der unterstützen kann bei der Implementation, kommen Sie auf uns zu, stellen Sie uns Fragen, löchern Sie uns, dafür sind wir da. Danke für die Zeit, danke für die Teilnehmer an euch beide, danke für die Zuschauer und Zuhörer, die mit uns hier dabei waren. Vielen Dank und bis dahin. Tschüss.