BeyondTrust Password Safe

Im Zuge der digitalen Transformation steigen die Anforderungen an IT und Sicherheitsorganisationen: Neue Initiativen wie Digital Workplace, DevOps, Sicherheitsautomatisierung und IoT vergrößern die Angriffsfläche und führen zusätzliche digitale Risiken ein. Unternehmen müssen Sicherheitsrisiken neu bewerten und steuern, ohne den Betrieb zu unterbrechen, und Sicherheitsverantwortliche sollen die Sicherheitslage durch geeignete Kontrollen messbar verbessern. Privileged Access Management (PAM) wird als zentrale Kontrollgruppe beschrieben, weil privilegierte Zugriffe häufig uneingeschränkt und nur unzureichend überwacht sind, dem Prinzip des minimalen Privilegs widersprechen und individuelle Verantwortlichkeit erschweren.

Es werden zwei privilegierte Nutzergruppen unterschieden: Privileged Business Users mit Zugriff auf besonders sensible Daten sowie Privileged IT Users mit administrativem Zugriff auf Infrastruktur. Klassische IAM-Tools sind für Standardnutzer ausgelegt und decken privilegierte Szenarien wie Shared Accounts, Aktivitätsüberwachung und kontrollierte Privilegienerhöhung nicht ausreichend ab. PAM-Suites entwickeln sich daher von Kernfunktionen (Credential Vaulting, Passwortrotation, Privilegien-Delegation, Session-Management) hin zu Analytik privilegierter Nutzer, risikobasierter Sitzungsüberwachung und erweitertem Bedrohungsschutz.

BeyondTrust wird als etablierter Anbieter positioniert, dessen Password Safe als Flaggschiff für Shared Account Password Management inklusive Passwort-Tresor, Rotation, Self-Service-Workflows, Notfallzugriff („glass-break“) sowie Privileged Session Management dient. Es unterstützt zahlreiche Account-Typen (u. a. OS-, A2A-, Cloud-Accounts) und ersetzt hartcodierte Passwörter via API/CLI; Anwendungen werden dabei u. a. per PKI-Zertifikaten authentifiziert. Die Integration in die BeyondInsight-Plattform (inklusive Lizenz) erweitert Logging, Auditing, Reporting und Bedrohungsanalysen und kann mit Vulnerability Management risikobasierte Reaktionen wie Sitzungsbeendigung oder verstärkte Protokollierung auslösen. Stärken liegen in Reife, Integrationen, Partner-Ökosystem und hostzentrierter Granularität; Herausforderungen betreffen Integrationszyklen und teils zusätzliche Kosten für Bedrohungsanalyse über Vulnerability Management.

• Es gibt zwei primäre Arten privilegierter Nutzer: Privileged Business Users und Privileged IT Users.
• IAM-Tools für Standardnutzer bieten nicht die benötigten Fähigkeiten für Shared Accounts, Überwachung privilegierter Aktivitäten und kontrollierte Privilegienerhöhung.
• Zu zentralen PAM-Herausforderungen zählen Missbrauch geteilter Anmeldedaten, Missbrauch erhöhter Privilegien, Entführung privilegierter Credentials, Drittparteien-Missbrauch und versehentlicher Missbrauch.
• Tiefenschutz für Serverplattformen wie Unix, Linux und Windows fokussiert u. a. den Schutz von „root“- bzw. „admin“-Accounts und die Einschränkung bestimmter Shell-Befehle.
• BeyondTrust wurde 1985 als Symark gegründet und später in BeyondTrust umbenannt.
• BeyondTrust wurde Ende 2018 von Bomgar übernommen; das kombinierte Unternehmen bleibt ein Privatunternehmen mit nahezu 800 Mitarbeitern und etwa 20.000 Kunden weltweit.
• Password Safe unterstützt die Entdeckung und Rotation von SSH-Schlüsseln.
• Password Safe stellt eine REST-Schnittstelle bereit, um Passwörter automatisiert per API aus dem Tresor wiederherzustellen.
• Password Safe authentifiziert anfragende Anwendungen/Services für Passwortabruf u. a. mittels PKI (x.509)-Zertifikaten sowie optionalen Attributen wie Hostname und IP-Adresse.
• Password Safe kann in aktiv-passiver Hochverfügbarkeitskonfiguration Daten und Passwortänderungen nahezu in Echtzeit über Knoten replizieren und bietet zusätzlich eine Active/Active-Konfiguration für lineare Skalierung.

• „Neu entstehende Technologieinitiativen, wie der digitale Arbeitsplatz, DevOps, die Sicherheitsautomatisierung und das Internet der Dinge vergrößern weiterhin die Angriffsfläche von Unternehmen und führen neue digitale Risiken ein.“
• „Die privilegierte Art dieser Accounts bietet ihren Nutzern einen uneingeschränkten und oft auch nicht überwachten Zugriff über die IT-Assets des Unternehmens hinweg.“
• „Privileged Access Management-Tools sind darauf ausgelegt, diese Szenarien durch spezialisierte Techniken und einzigartige Prozesskontrollen anzusprechen.“
• „Während Credential Vaulting, Passwortrotation, kontrollierte Erhöhung und Delegation von Privilegien, Sitzungseinrichtung und Aktivitätsüberwachung im Mittelpunkt der Aufmerksamkeit für PAM-Tools standen, werden höher entwickelte Fähigkeiten wie die Analyse privilegierter Nutzer, risikobasierte Sitzungsüberwachung und erweiterter Bedrohungsschutz zur neuen Norm.“
• „Ein spezifischer Bereich ist der Tiefenschutz von Serverplattformen wie Unix, Linux und Windows.“
• „Password Safe bleibt BeyondTrust’s Shared Account Password Management (SAPM)-Flagschiffprodukt, das eine ausgereifte Lösung für einen Passwort-Tresor und Anmeldedaten-Management zusätzlich zu den Funktionen für eine privilegierte Sitzungsverwaltung bietet.“
• „Notfallzugriff und sog. ‚glass-break‘ Szenarien für den begrenzten Notfallzugriff werden durch die Konfiguration automatisierter Workflows für die Passwortfreigabe unterstützt.“
• „Immer wenn eine Kombination von Benutzername und Passwort in einer Anwendung oder einem Skript verwendet wird, kann sie einfach durch den API-Aufruf ersetzt werden, um das Passwort dynamisch von Password Safe zu erhalten.“
• „Die PSM-Funktionen von Password Safe sind auf dem Markt in einzigartiger Weise positioniert, da es Administratoren ermöglicht, Sitzungen direkt ausgehend von ihrem Standard-Toolset zu starten, ohne dass sie sich in der Administrations-Webkonsole anmelden müssen.“
• „Der hostzentrierte Ansatz für das Privileged Access Management bietet eine stärker granulare Kontrolle und ein besseres Management von Zielplattformen und Ressourcen als der proxybasierte Ansatz.“