Das Principle of Least Privilege (POLP)

(Teil 1 meiner Artikelserie über Sicherheitsprinzipien in Microsoft SQL-Servern & Datenbanken)

Das erste Sicherheitsprinzip, das ich besprechen werde, ist eines, das den meisten Systemadministratoren bekannt ist: das Principle of Least Privilege (= „Prinzip der geringsten Privilegien“) (kurz: POLP). Es besagt, dass die erforderlichen Berechtigungen für eine Aufgabe nur den Zugriff auf die benötigten Informationen oder Ressourcen gewähren sollen, die eine Aufgabe erfordert. Bei der Vergabe von Berechtigungen sollen so wenig Privilegien wie möglich vergeben werden.

POLP ist deshalb so wichtig, weil es zunächst die Privilegien sind, auf die es jeder Angreifer abgesehen hat. Bei der Entwicklung einer Anwendung ist die Verwendung eines Benutzerkontos mit den geringsten Privilegien (LUA) die erste Einsatzregel.

Hinweis
Die Benutzerkontensteuerung (User Account Control, UAC) in Windows ist eine Funktion, die Microsoft entwickelt hat, um Administratoren dabei zu unterstützen, standardmäßig mit den niedrigsten Berechtigungen zu arbeiten und diese nur bei Bedarf auf höhere Berechtigungen zu erweitern.

Sie wissen vielleicht auch, dass Microsoft empfiehlt, Dienstkonten zu trennen. Diese bewährte Sicherheitspraxis wird allgemein als service account isolation (= „Isolierung von Dienstkonten“) bezeichnet und hängt mit POLP zusammen: Die Verwendung getrennter Dienstkonten verhindert eine Erhöhung der Berechtigungen, was leicht passiert, wenn ein Konto für mehrere Zwecke gemeinsam genutzt wird und infolgedessen die Berechtigungen vermischt werden. – Dies würde gegen das Prinzip des geringsten Privilegs verstoßen.

Sowohl POLP als auch die Isolierung von Dienstkonten helfen dabei, die Angriffsfläche zu reduzieren (attack surface reduction).

– Lesen Sie mehr zu diesem Thema hier: SQL Server Sicherheit – SQL Server | Microsoft Docs

und hier: Oberflächenkonfiguration – SQL Server | Microsoft Docs

Die Isolierung von Dienstkonten verhindert auch laterale Bewegungen (lateral movement) zwischen Diensten, wenn sich ein Angreifer Zugriff auf einen Dienst verschafft hat. Sehen Sie, wie in der Sicherheit das eine mit dem anderen verbunden ist?

Hinweis
Lateral movement ist eine gängige Angriffsstrategie, um von einem Ziel zum nächsten zu gelangen: Wenn in das Hauptziel (z. B. den Datenbankserver) nicht direkt eingedrungen werden kann, versuchen Angreifer, in einem anderen Server des Systems im selben Netzwerk Fuß zu fassen und dann weitere Angriffe zu starten, um zum endgültigen Ziel zu gelangen, und zwar Server für Server oder Dienst für Dienst.