Anzeige

Security Schild

Der Begriff „Zero Trust“ zeigt in aktuellen Studien, Marktanalysen, IT-Sicherheitsstrategien und Fachbeiträgen eine gewisse Dauerpräsenz. Ob es nun das „Zero Trust Maturity Model“ ist, ein „Zero Trust Network Access (ZTNA)“ oder das „Continous Adaptive Risk and Trust Assessment (CARTA)“ – alle Ansätze versprechen höhere Sicherheit und besseren Schutz gegenüber aktuellen Bedrohungen.

Wirklich neu ist das Konzept aber nicht: Der Begriff wurde von Analysten bereits im Jahr 2010 geprägt; der Ursprung geht sogar noch weiter zurück bis in die 2000er, als das Jericho Forum eine Initiative startete, die eine Zukunft nach der klassischen Perimetersicherheit be- schreibt.

Warum ist die Vertrauensfrage so aktuell?

Generell entstammen die Konzepte der Netzwerk- und Perimetersicherheit einer Zeit, in der von einer vollständigen Kontrolle über das Netzwerk und den damit verbunden Kommunikationswegen ausgegangen wurde. Geräte und Netzwerkanschlüsse befanden sich allesamt innerhalb der Firmengebäude. Drahtlose Technologien waren kaum im Einsatz und die Kupferverkabelungen in öffentlich zugänglichen Bereichen galten als bedenklich, da sie im Gegensatz zu Glasfaserverbindungen abhörbar waren. Die größte Gefahr sah man in dieser Zeit in den eigenen Mitarbeitern oder Personen, die grundsätzlich Zugang zum Gebäude hatten und Industriespionage betrieben. Auch wenn wir uns heutzutage nicht von dieser Gefahr freisprechen können, so zählt diese Bedrohungsart aktuell sicherlich nicht zu den Hauptsorgen der CISOs weltweit. Vielmehr entwickelt sich die Bedrohungslage in rasantem Tempo und schier grenzenlos weiter. Die Dezentralisierung von Daten und Zugriffen, die durch den Einsatz von Cloudservices und die Notwendigkeit des uneingeschränkten mobilen Arbeitens bedingt wird, verschärft die Situation zunehmend. Es liegt auf der Hand, dass die beschriebenen Ansätze der Netzwerksicherheit in dieser Zeit keinen adäquaten Schutz mehr bieten können.

Was kann man sich unter Zero Trust vorstellen?

Zero Trust beschreibt weder eine dedizierte Technologie noch ein genormtes Verfahren. Vielmehr handelt es sich hierbei um eine konzeptionelle Leitlinie, die auf Vorsicht, Umsicht und einer gewissen Skepsis beruht. Untermauert wird diese häufig durch Claims wie „Never Trust, always verify“ oder „Application Access ≠ Network Access“.

Worin liegt also der Unterschied zu den bisherigen Security-Ansätzen? Das grundsätzliche Ziel besteht darin, möglichst viele Informationen zu sammeln: Mit deren Hilfe werden aktuelle Zugriffe bewertet und entsprechend zugelassen oder abgewehrt. Das bedeutet: Auch eine erfolgreiche Authentifizierung gewährt daher nicht automatisch einen Datenzugriff, da zusätzlich weitere Signale berücksichtigt werden wie Zugriffsort, -gerät oder die Risikobewertung des Nutzers per se. Das Bewertungsergebnis entscheidet schließlich darüber, ob der erfolgreich authentifizierte Benutzer einen eingeschränkten (also auf seine Nutzerrolle angepassten) oder sogar gar keinen Zugriff auf bestimmte Applikationen und Daten erhält.

Neben solch einer fallbezogenen Entscheidung gilt grundsätzlich das Minimalprinzip. Das bezieht sich sowohl auf Zugriffsrechte innerhalb einer Applikation, den restriktiven Umgang mit privilegierten Benutzern (administrative Accounts) als auch auf den Verzicht auf nicht notwendige Netzwerkzugriffe.
 

Die Zeiten, in denen ein Unternehmen behaupten kann, alle Systeme, Daten und Applikationen direkt kontrollieren und steuern zu können, sind leider ebenso überholt wie viele der bisherigen Ansätze zur Netzwerk- und IT-Sicherheit.


Was unterscheidet Zero Trust Ansätze?

Am Beispiel des durch das Marktforschungsinstitut Gartner beschriebenen aktuellen ZTNA-Modells lässt sich die Besonderheit dieses Ansatzes gut herausstellen. Schaut man sich herkömmliche Netzwerke an, gibt es in der Regel ein Urvertrauen (Level of Trust). Der Zugriff aus dem Unternehmensnetzwerk erfolgt erst einmal uneingeschränkt über das gesamte Netzwerk. Modernere Netzwerkarchitekturen arbeiten mit groben Netzsegmentierungen nach dem Ausschlussprinzip: Demnach schließt ein Unternehmen aus, dass ein Mitarbeiter von seinem Device aus direkten Zugriff auf das Datensicherungsnetz benötigt – und entzieht es ihm somit. Aufgrund des notwendigen Zugriffs auf den zentralen Fileserver und die fehlende Mikrosegmentierung (also ein Segment pro Applikation und Anwendungsfall) hat jedes Gerät im Firmennetz erstmal übergreifenden Netzzugriff. Die Authentifizierung des Benutzers und die Überprüfung der Zugriffsrechte erfolgen erst im Anschluss. Die Netzsicherheit wird zusätzlich durch die Notwendigkeit der mobilen Arbeit beeinflusst. VPN-Zugriffe ermöglichen in der Regel den vollständigen Netzwerkzugriff aus der Ferne und schaffen so häufig weitere – teils unkontrollierte – Netzübergabepunkte zwischen dem Unternehmensnetz und dem Internet. Nicht umsonst stellen Ransomware-Angriffe eine der aktuell größten Bedrohungsszenarien dar, da sie genau diese Schwachstellen ausnutzen.

Beim ZTNA wird der Ansatz umgekehrt. Der Benutzer muss sich erst unter Berücksichtigung verschiedener Einflussfaktoren authentifizieren, um dann in einem vollständig segmentierten Netz Zugriff auf einzelne Applikationen zu erhalten. Die ihm gewährten Zugriffe richten sich an einem Rollenkonzept aus und werden immer wieder aufs Neue bewertet. Das oben genannte Prinzip des „Urvertrauens“ wird ausgehebelt.

Die Praxis verlangt zusammenfassend weniger eine exakte Umsetzung eines vollständigen Konzeptes als vielmehr ein Umdenken in Bezug auf grundsätzliche Annahmen und konzeptionelle Ansätze. Die Zeiten, in denen ein Unternehmen behaupten kann, alle Systeme, Daten und Applikationen direkt kontrollieren und steuern zu können, sind leider ebenso überholt wie viele der bisherigen Ansätze zur Netzwerk- und IT-Sicherheit. Die grundsätzliche Idee, Zugriffe kritisch zu hinterfragen und zu beurteilen, ein sicheres Identitäts- und Zugriffsmanagement zugrunde zu legen und eben nur die absolut notwendigen Ressourcen zugänglich zu machen ist eine Interpretation von Zero Trust, die einen praktischen Ansatz liefert und eine gute Grundlage novellierter Sicherheitskonzepte bildet.

Fazit: Wenn Sie das Prinzip Never trust, always verify in die Tat umsetzen und in Sicherheitsfragen beherzigen, verhilft Ihnen das vermeintliche Buzzword „Zero Trust“ zu einem praktikablen Ansatz für moderne IT-Security.

Daniel Philips, Head of CIS
Daniel Philips
Head of CIS, synalis GmbH & Co.KG

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Artikel zu diesem Thema

Cyber Security
Okt 21, 2020

Neuer Ansatz zum Schutz von Workstations

Stormshield, ein Unternehmen für Cybersicherheit in kritischen Infrastrukturen und…
Cybersecurity
Jun 29, 2020

Warum Zero Trust Security?

Das Zero-Trust-Modell für Datensicherheit beruht auf zwei Grundsätzen. Erstens: Vertrauen…

Weitere Artikel

Cybercrime

Effizienter Schutz vor Credential Stuffing

Die globale Coronavirus-Pandemie hat das Problem von Credential Stuffing noch verschärft. Bei dieser Angriffsmethode probiert ein Cyberkrimineller eine große Anzahl gestohlener Anmeldedaten bei mehreren Websites aus. Damit möchte er sich unbefugten Zugang zu…
Weihnachten Kalender

Der Adventskalender für mehr IT-Sicherheit

Die Weihnachtszeit naht und für Viele ist das Öffnen von 24 Adventskalender-Türchen eines der am meisten geschätzten Dezember-Rituale. Passend dazu startet zum zweiten Mal die Aktion “Sicher im Advent”
Business Continuity Management

Business Continuity Management: Überlebenswichtig in Corona-Zeiten

Die Corona-Pandemie stellt zahlreiche Unternehmen auf eine harte Probe. In dieser unsicheren Wirtschaftslage können Systemausfälle oder Ähnliches nicht nur Zeit, Geld und die Reputation kosten, sondern auch die Existenz.
E-Mails

E-Mail-Kommunikation mittels Blockchain: totemomail Verified

Die E-Mail ist gerade im Geschäftsleben nach wie vor das universelle Kommunikationsmittel, obwohl ihren Vorteilen auch Nachteile wie Phishing-Risiken oder die fehlende Revisionssicherheit gegenüberstehen.
Netzwerk-Sicherheit

Das Netzwerk sichern wie den Firmen-Komplex

Ransomware-Angriffe nehmen mehr und mehr zu, nicht zuletzt begünstigt durch die fortschreitende Digitalisierung, Cloudmigration und breit angelegte Tele-Arbeit. Nun gilt es, die Strategie für Netzwerksicherheit ebenfalls zu adaptieren. Mehr Homeoffice. Mehr…
Endpoint Security Baum

Welche Strategie schützt den Endpunkt?

In einer perfekten Welt wäre Software vollkommen sicher und Angriffe wären unmöglich. Sie ist jedoch zu komplex, um perfekt entworfen oder programmiert werden zu können, jedenfalls, wenn Menschen im Spiel sind. Selbst die sichersten Anwendungen haben Fehler.

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!