Der Anteil der Unternehmen, die auf Infrastructure-as-a-Service-Plattformen zurückgreifen, steigt kontinuierlich und beträgt heute rund 73 Prozent. Dies bietet Unternehmen viele Chancen, geht aber auch mit neuen Security-Herausforderungen einher. Um die Sicherheit beim Zugriff auf IaaS-Plattformen zu erhöhen, hat Thycotic seinen Hochgeschwindigkeitstresor DevOps Secrets Vault nun optimiert und ermöglicht es seinen Kunden ab sofort, Secrets erst im Moment der Anfrage zu generieren und zudem zeitlich zu beschränken.
DevOps-Tools, welche IT- und Entwickler-Teams im Rahmen der Software- und Anwendungsentwicklung auf IaaS-Plattformen einsetzen, sind praktisch, stellen aber auch ein Sicherheitsrisiko dar. Denn diese Werkzeuge umfassen sowohl Open-Source- als auch kommerzielle Software, zahlreiche Plug-Ins für andere Tools sowie Abhängigkeiten von Bibliotheken. Dies macht die Werkzeuge einerseits zwar sehr leistungsfähig, begünstigt andererseits aber auch Fehlkonfigurationen und Sicherheitslücken, die die Integrität der Secrets gefährden.
Thycotics DevOps Secrets Vault eliminiert diese Risiken, indem er dynamische Secrets just-in-time, d.h. im Moment der Zugriffsanfrage, automatisch generiert und zur Verfügung stellt, deren Nutzung aber gleichzeitig zeitlich beschränkt. So laufen die Berechtigungsnachweise, die ein Benutzer oder eine Ressource, wie z.B. ein Konfigurationswerkzeug, anfragt, nach einer bestimmten Zeit automatisch ab, was das Risiko einer späteren Kompromittierung minimiert. Je enger ein Secret definiert ist, d.h. je weniger Privilegien es umfasst und je kürzer es gültig ist, desto wertloser und uninteressanter ist es für einen Angreifer.
Erstmals auf den Markt gebracht hat Thycotic seinen DevOps Secrets Vault im Sommer 2019, vor allem um den hohen Anforderungen von DevOps hinsichtlich Geschwindigkeit und Skalierbarkeit nachzukommen. Vor allem die Kombination aus fest programmierten Passwörtern, kurzlebigen privilegierten Konten und hohem Ressourcenbedarf macht effektives Privileged Access-Management für DevOps- und IT-Security-Teams zu einer großen Herausforderung. Mit DevOps Secret Vault profitieren sie von einem leistungsfähigen Passworttresor, der eine sichere Verwaltung von dynamischen (automatisch wechselnden) Zugangsdaten ermöglicht, ohne dabei den Entwicklungsprozess zu stören. Dabei wird eine Balance zwischen Geschwindigkeit, Agilität und Sicherheit erreicht. Dank der neuen Just-in-Time-Funktion sichert die Lösung nun auch die Zugriffe auf die bekannten Infrastructure-as-a-Service (IaaS)-Plattformen Amazon Web Services (AWS), Microsoft Azure sowie Google Cloud Platform (GCP) effektiv ab.
