Überprüfung von Sperrungen nach fehlgeschlagenen Anmeldeversuchen

Keycloak protokolliert jeden fehlgeschlagenen Anmeldeversuch für ein Benutzerkonto, einschließlich Zeitstempel und Quelle. Ein Beam-Agent liest dieses Ereignisprotokoll. Wenn ein Konto den konfigurierten Schwellenwert für fehlgeschlagene Versuche überschreitet, prüft der Agent, ob das Muster nach einem Tippfehler einer einzelnen Person bei der Passworteingabe aussieht oder nach Versuchen, die sich von einer Quelle aus über viele Konten verteilen, was auf ein ernsteres Problem hindeutet. Bei einem routinemäßigen Tippfehler-Muster erhält der Benutzer eine Benachrichtigung mit einem Link zum Zurücksetzen. Ein verteiltes Muster wird stattdessen direkt an das Sicherheitsteam eskaliert. Der Agent entsperrt niemals selbst ein Konto oder setzt ein Passwort zurück – beides bleibt die Entscheidung einer Person.

Bereinigungs-Warnungen für veraltete Sitzungen

Keycloak erfasst jede aktive Sitzung, einschließlich des Startzeitpunkts und des Ablaufs des Tokens. Ein Beam-Agent liest die Sitzungsdaten nach einem festen Zeitplan aus. Sitzungen, deren Dauer die für das Konto erwartete Zeit weit überschreitet – wie etwa ein Token, das noch Tage nach der letzten Anmeldung des Benutzers über ein anderes System aktiv ist –, werden für das Sicherheitsteam zur Beendigung markiert. Sitzungen, die sich noch innerhalb eines normalen Arbeitstages bewegen, oder solche, die mit einem Dienstkonto verknüpft sind, das dauerhaft aktiv bleiben soll, werden von dieser Markierung ausgeschlossen. Der Agent beendet Sitzungen nicht selbst, er weist lediglich auf diejenigen hin, die die Aufmerksamkeit einer Person erfordern.

Benachrichtigungen über Änderungen von Rollenzuweisungen

Keycloak speichert, welchen Rollen und Gruppen jeder Benutzer angehört, was wiederum steuert, worauf dieser Benutzer zugreifen kann. Ein Beam-Agent liest Änderungen bei der Rollenzuweisung in Echtzeit mit. Bei einer routinemäßigen Änderung, wie der Aufnahme eines neuen Mitarbeiters in die Standardgruppe seines Teams, wird dies ohne Benachrichtigung protokolliert. Bei einer Änderung, durch die eine administrative oder hochgradig privilegierte Rolle zugewiesen wird, benachrichtigt der Agent das Sicherheitsteam unverzüglich darüber, wer die Änderung vorgenommen hat und für wen. Der Agent weist Rollen niemals selbst zu und entzieht sie auch nicht, er überwacht lediglich Änderungen, die ein Administrator bereits in Keycloak vorgenommen hat, und berichtet darüber.