Glossar
Privileged Access Workstation (PAW)
Eine Privileged Access Workstation ist ein gehärtetes, dediziertes Gerät nur für administrative Aufgaben – isoliert von E-Mail, Surfen und der täglichen Arbeit.
Eine Privileged Access Workstation (PAW) ist ein Gerät, das ausschließlich für sensible Administration reserviert ist – typischerweise für Tier-0-Systeme wie Domänencontroller, PKI oder Server zur Identitätssynchronisierung. Sie läuft mit einem gehärteten, abgeschotteten Image mit Anwendungs-Allowlisting, ohne lokale Administratorrechte für den Benutzer, ohne E-Mail-Client und ohne allgemeines Surfen im Internet und wird ausschließlich aus ihrem eigenen Tier heraus verwaltet. Für alles andere nutzen Administratoren ein separates, gewöhnliches Gerät. Ein Jump-Server allein ist keine PAW: Ist das Gerät kompromittiert, über das der Jump-Server erreicht wird, sind es auch die Tastatureingaben und die Sitzung.
Das ist relevant, weil das Gerät, an dem ein Administrator tippt, Teil der Sicherheitsgrenze ist. Phishing, bösartige Browserinhalte und kompromittierte Helpdesk-Tools landen regelmäßig auf alltäglichen Arbeitsstationen; meldet sich dort ein Domänen-Admin an, übernimmt der Angreifer diesen Zugriff. Eine PAW beseitigt den häufigsten Einstiegspunkt für den Diebstahl von Anmeldeinformationen. Kombinieren Sie sie mit Authentifizierungsrichtlinien, die Tier-0-Konten die Anmeldung nur von PAWs erlauben, sodass gestohlene Anmeldeinformationen anderswo wertlos sind.
Siehe Privileged Access Workstations aufbauen und Tier 0 und privilegierter Zugriff.