Privileged User Monitoring (PUM)

Was ist Privileged User Monitoring (PUM)?

Privileged User Monitoring (PUM) bedeutet, die Aktionen von Konten mit erweiterten Rechten aufzuzeichnen und zu prüfen: System- und Datenbankadministratoren, Root- und Servicekonten sowie externe Dienstleister. NIST definiert einen privilegierten Nutzer als jemanden, der sicherheitsrelevante Funktionen ausführen darf, die normale Nutzer nicht ausführen dürfen. PUM liefert einen Prüfpfad und erkennt Missbrauch früh.

Warum es wichtig ist

• Ein einziges kompromittiertes Admin-Konto kann alles offenlegen, was es erreicht.
• Missbrauch von innen, ob absichtlich oder aus Versehen, fällt in privilegierten Aktivitäten am ehesten auf.
• Viele Compliance-Rahmenwerke erwarten Prüfpfade für administrative Aktionen. Prüfen Sie den genauen Wortlaut des für Sie geltenden Rahmenwerks.
• Nach einem Vorfall zeigen die Protokolle, was in welcher Reihenfolge geschah.

Was PUM aufzeichnet

PUM und PAM

Privileged Access Management (PAM) steuert, wer privilegierten Zugriff erhält und wie lange: Tresor, Rotation, Just-in-Time-Vergabe. PUM beobachtet, was nach der Vergabe passiert. In der Praxis ist PUM eine Funktion innerhalb eines PAM-Programms. Beide ergänzen Ihr Identity and Access Management (IAM) und Ihre rollenbasierte Zugriffskontrolle, die festlegen, wer Rechte überhaupt halten darf.

So funktioniert es in der Praxis

1. Listen Sie alle privilegierten Konten auf, auch Servicekonten und Zugänge von Dienstleistern.
2. Leiten Sie privilegierte Sitzungen über einen kontrollierten Punkt wie einen Bastion-Host oder Zugriffs-Proxy, damit sie protokolliert werden.
3. Senden Sie Protokolle an einen Speicher, den die Administratoren selbst nicht ändern können.
4. Alarmieren Sie bei ungewöhnlichem Verhalten. User and Entity Behavior Analytics (UEBA) erstellt eine Baseline und meldet Abweichungen, und eine XDR-Plattform kann sie mit anderen Signalen korrelieren.
5. Prüfen Sie Alarme und Stichproben von Sitzungen regelmäßig und testen Sie, ob die Erkennung funktioniert.

Häufige Fehler

• Änderbare Protokolle: Ein kompromittierter Admin löscht seine Spuren.
• Unbeobachtete Servicekonten: oft mächtiger als jede Person und selten geprüft.
• Aufzeichnen ohne Auswertung: Aufnahmen, die niemand ansieht, schrecken nicht ab.
• Zu viele Alarme: Laute Regeln werden ignoriert. Beginnen Sie mit wenigen wichtigen.
• Geteilte Admin-Passwörter: Man weiß nicht, wer was getan hat. Nutzen Sie persönliche Konten. Siehe auch Datenbanksicherheit.

Wo LoadFocus passt

LoadFocus ist kein PAM- oder Überwachungsprodukt für privilegierte Nutzer und zeichnet keine Admin-Sitzungen auf. Neben PUM kann es Ihre eigenen Endpunkte beobachten: API-Monitoring alarmiert Sie, wenn eine Admin- oder Login-API langsam wird oder ausfällt, und Lasttests zeigen, wie sich diese Systeme unter Last verhalten. Zur Sicherheit von Testdaten lesen Sie Best Practices für Cloud-Testing-Sicherheit.

Häufige Fragen zu Privileged User Monitoring

Was ist der Unterschied zwischen PUM und PAM?

PAM steuert, wer privilegierten Zugriff erhält und unter welchen Bedingungen. PUM zeichnet auf und prüft, was diese Nutzer tun. PUM ist meist ein Teil eines PAM-Programms.

Wer gilt als privilegierter Nutzer?

Jeder, dessen Konto mehr darf als normale Nutzer: System- und Datenbankadministratoren, Root- und Cloud-Administratoren, Servicekonten und Dienstleister mit erweitertem Zugriff.

Muss PUM jede Sitzung aufzeichnen?

Nicht unbedingt. Viele Teams protokollieren Befehle und Abfragen für jeden privilegierten Zugriff und zeichnen vollständige Sitzungen nur für die riskantesten Fälle auf, etwa Produktionsdatenbanken und externe Zugänge.

Wie unterscheidet sich PUM von UEBA?

PUM ist die Praxis, privilegierte Aktivität zu beobachten. UEBA ist eine Technik dafür: Sie lernt normales Verhalten und meldet Abweichungen.