Kapitel 6: „Enterprise Identity und Access Management“ - Prof. Dr. Norbert Pohlmann

Kapitel 6: „Enterprise Identity und Access Management“

Übungsaufgabe 1

Beantworten Sie die folgenden Fragen zu dem Enterprise Identity und Access Management Referenzmodell.

1. Welcher Teil des EIAM definiert die Ziele eines Unternehmens im Zusammenhang mit Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit?

2. Wo werden die Entscheidungen über Zugriffsberechtigungen auf der Basis von Nutzeridentitäten, -rollen und Zugriffsrechten getroffen?

3. Welches Modul im EIAM-Referenzmodel ist für den Schutz des Unternehmens vor Angriffen verantwortlich?

Lösung:

1. Ziele
In der Policy werden Ziele eines Unternehmens im Zusammenhang mit Sicherheit, Vertraulichkeit, Integrität und Verfügbarkeit definiert.

2. Entscheidungen über Zugriffsberechtigungen
Die Entscheidungen über Zugriffsberechtigungen werden im Modul „Access Management“ des EIAM-Referenzmodels getroffen.

3. Schutz des Unternehmens vor Angriffen
Für den Schutz des Unternehmens ist das Modul „Information Protection“ des EIAM-Referenzmodels verantwortlich.

Übungsaufgabe 2

Welche Folgen hat es, wenn eine Angreiferin die „Single-Sign-Off“ Komponente in einem EIAM-System übernimmt?

Lösung:

Sie könnte dafür sorgen, dass der Nutzer sich nicht korrekt an einer, für die Angreiferin interessante, Applikation abmeldet, um dann auf diese Applikation, mit der Session des Nutzers, zuzugreifen.

Übungsaufgabe 3

Warum ist es wichtig, dass das Löschen einer Entität in das Life Cycle Management übernommen wird?

Lösung:

Alte Accounts könnten noch aktiv sein und von einem Angreifer übernommen werden. „Verärgerte“ ehemalige Mitarbeiter könnten sich immer noch Zugang verschaffen.

Übungsaufgabe 4

Sie beraten eine Firma, die mehrere Tochterfirmen betreibt. Innerhalb einer Umstrukturierung sollen die Abteilungen der Tochterfirmen enger zusammen arbeiten. Bisher hat jede Tochterfirma ihr eigenes Entity-Management umgesetzt, was nun zu Problemen führt, da die Firmen die Entitäten der anderen Firmen nicht kennen. Wir würden Sie das Entity-Management umstrukturieren?

Lösung:

Ein großes Entity-Management für alle Tochterfirmen, Rollen für die jeweiligen Mitarbeiter, die festlegen, zu welcher Tochterfirma diese gehören. So kennt jeder alle Entitäten und es kann immer noch gesichert werden, dass gewisse Mitarbeiter nur auf die Daten einer Tochterfirma zugreifen können (über die Rollen).

ODER

Eine andere Lösung ist der Austausch der Entitäten zwischen allen Firmen. Das ist allerdings umständlich.

Übungsaufgabe 5

Innerhalb eines streng geheimen Forschungsprojekts müssen zwei Wissenschaftler unterschiedlicher Institutionen wichtige Ergebnisse auf einem sicheren Kanal teilen. Welche Teile der EIAM-Systeme der jeweiligen Institutionen sind unmittelbar von dieses Prozess betroffen und warum?

Lösung:

Federation, da zwei Unternehmen zusammenarbeiten.
Information Protektion, da sicherer Austausch der Daten umgesetzt werden muss.

Kapitel 6: „Enterprise Identity und Access Management“ Prof. Dr. Norbert Pohlmann - Cyber-Sicherheitsexperten