Vertrauen ist gut, Zero Trust ist besser: Um die IT-Sicherheitsrisiken für Unternehmen zu reduzieren, werden nach dem Zero-Trust-Prinzip so wenige Berechtigungen wie möglich erteilt. Unbegründetes Vertrauen gegenüber Nutzer*Innen, Geräten oder Diensten wird strikt vermieden. Wie Sie das Sicherheitskonzept in Ihrem Unternehmen implementieren (ohne Ihre gesamte IT-Architektur umzukrempeln), erfahren Sie in diesem Artikel.
Was bedeutet Zero Trust?
Zero Trust (auf Deutsch: null Vertrauen) ist ein ganzheitliches Konzept für die IT-Sicherheit von Unternehmen und umfasst verschiedene Richtlinien und Technologien. Ein Zero-Trust-Ansatz misstraut grundsätzlich allen Geräten, Anwender*Innen und Diensten innerhalb oder außerhalb des eigenen Netzwerks. Im Zentrum stehen die kritische Prüfung des Datenverkehrs und die Authentifizierung aller Zugriffe.
Vorteile gegenüber herkömmlichen Sicherheitsmodellen
Die klassische Network Security basiert auf dem Castle-and-Moat-Konzept der Perimetersicherheit. Nach diesem Konzept wird allen Komponenten innerhalb des Netzwerks vertraut. Nur was außerhalb der „Burg“ (castle) und jenseits der „Wassergräben“ (moat) liegt, wird als potenziell gefährlich eingestuft und abgeblockt.
Darin liegt jedoch das Problem: Befindet sich ein Angreifer erst einmal im Netzwerk, hat er Zugriff auf alle sensiblen Daten. Heute ist das umso kritischer, da Unternehmensdaten immer seltener on-premises im eigenen Rechenzentrum liegen, sondern oft über verschiedene Cloud-Umgebungen verteilt sind. Zudem greifen Mitarbeiter*Innen, Externe und Partner immer öfter remote auf Projekte und Informationen zu. Die Risiken sind bekannt, wie diverse Umfragen zeigen. Laut 2021 Cloud Security Report von (ISC)² sind 93 % der befragten Organisationen mäßig oder extrem besorgt über die Sicherheit in ihrer Cloud.
An dieser Stelle setzt das Zero Trust Prinzip an: Als zusätzliche Sicherheitsebene berücksichtigt es interne sowie externe Bedrohungen, das Zero Trust Prinzip funktioniert datenzentriert. Dadurch eignet es sich also vor allem für Unternehmen, deren IT-Architektur sich über verschiedene Netzwerke erstreckt und deren Geschäftsbetrieb externe Zugriffe erfordert.
Die Grundpfeiler des Zero-Trust-Prinzips für Unternehmen
Da Zero Trust ein Konzept und kein Produkt ist, entsteht die Wirksamkeit erst aus dem Zusammenspiel einzelner Maßnahmen. Eine solide Sicherheitslösung berücksichtigt möglichst viele Grundpfeiler des Zero-Trust-Prinzips.
Überwachung und Validierung
Da Gefahren innerhalb und außerhalb des Netzwerks lauern, werden sämtliche Zugriffe überwacht und validiert. Darunter fallen neben der Identität und Berechtigungen aller Benutzer*Innen auch die Geräte- und Anwendungssicherheit. Bestehende Verbindungen sollten nach dem Anmelden in regelmäßigem Abstand gekappt werden, um die eingeloggten Anwender*Innen und Geräte immer wieder neu zu überprüfen.
Kontrolle von Geräten
Alle Geräte mit Zugriff auf das Firmennetzwerk unterliegen einer strikten Kontrolle: Wie viele Geräte versuchen, auf das Netzwerk zuzugreifen? Ist jedes Gerät auch autorisiert? Wurde ein Gerät womöglich kompromittiert? Ihr Zero-Trust-System sollte in der Lage sein, diese und weitere Faktoren zu überprüfen.
Minimale Berechtigungen
Ob intern oder extern, der Zugriff erfolgt per se mit den geringsten Berechtigungen. Benutzer*Innen erhalten nur so viel Zugriff wie nötig (Least Privilege), sehen also möglichst wenige sensible Netzwerkbereiche. Vorsicht bei Virtual Private Networks (VPNs): Sie geben nach der Anmeldung häufig Zugriff auf das gesamte Netzwerk und eignen sich deshalb nur bedingt zur Autorisierung.
Mikrosegmentierung
Ein weiterer Grundpfeiler des Zero Trust Prinzips ist die Mikrosegmentierung. Durch das Festlegen bestimmter Sicherheitsperimeter für unterschiedliche Zonen ist ein sicherer Zugang zu einzelnen Netzwerkbereichen möglich. Nur Anwendungen oder Programme, die für das jeweilige Mikrosegment autorisiert sind, können dann auch darauf zugreifen.
Aufdecken von Lateral Movement
Darüber hinaus muss ein Zero-Trust-Modell verdächtige Seitwärtsbewegungen im Netzwerk entdecken und verhindern können. Haben Cyberkriminelle ein Netzwerk kompromittiert, kann eine Zero-Trust-Lösung die Angreifer*Innen einschließen und den Schaden begrenzen. Der segmentierte Zugang und die regelmäßig unterbrochene Verbindung verhindern das Eindringen in benachbarte Mikrosegmente des Netzwerks. Wird ein unbefugter Zugriff entdeckt, steht das kompromittierte Konto oder Gerät direkt unter Quarantäne.
Multi-Faktor-Authentifizierung (MFA)
Die Multi-Faktor-Authentifizierung (MFA) ist eine weitere Säule der Zero-Trust-Security. Gemäß der MFA erfordert die Authentifizierung eines Benutzers mindestens zwei Bestätigungen, um Zugang zu gewähren. In der Praxis ist häufig eine 2-Faktor-Authentifizierung (2FA) im Einsatz, bei der neben dem Passwort noch ein separat zugesendeter Code einzugeben ist.
Das Zero Trust Prinzip in fünf Schritten
Keine falsche Scheu: Auch wenn das Zero Trust Prinzip als Framework schwer greifbar scheint, ist der Einstieg jederzeit möglich. Der Prozess ist iterativ und ermöglicht, mit Ihrem aktuellen Setup anzufangen und Ihr System kontinuierlich zu optimieren. Während Sie die einzelnen Schritte des Ansatzes durchlaufen, sammeln Sie Erfahrungen und gewinnen tiefere Einblicke, die Ihrem Team die Feinjustierung erleichtert.
1. Definition der Schutzfläche
Identifizieren Sie zunächst die Schutzfläche Ihrer IT-Umgebung. Sie setzt sich aus den geschäftskritischen und sensiblen Daten, Assets, Anwendungen und Services (DAAS) im Netzwerk zusammen. Da die Schutzfläche nur jene Bereiche umfasst, die den Geschäftsbetrieb aufrechterhalten, ist sie kleiner als die tatsächliche Angriffsfläche und lässt sich daher auch leichter definieren. Eine große Hilfe sind Next-Generation Firewalls (NGFs). Sie lassen sich einfach in Ihr bestehendes Netzwerk implementieren und bieten umfassende Transparenz auf der Anwendungsschicht (Layer 7). Mithilfe einer NGF können Sie Protokolle erstellen, die wiederum die Bestimmung Ihres DAAS-Profils erleichtern.
2. Ermittlung des Datenverkehrs
Sobald Sie die Schutzfläche Ihrer IT-Architektur kennen, lässt sich der relevante Datenverkehr erfassen. Das Scannen der Transaktionsflüsse von Benutzer*Innen, Anwendungen und Verbindungen innerhalb des Firmennetzwerks zeigt, wie verschiedene DAAS-Elemente mit anderen Netzwerkressourcen interagieren. So wird deutlich, an welchen Stellen Kontrollen erforderlich sind und Daten gezielt abgeschirmt werden müssen. Tools wie NGFs schaffen Layer-7-Transparenz und bieten Ihren Data Specialists einen granularen Einblick in die Datenströme.
3. Aufbau einer Zero-Trust-Architektur
Sind die DAAS-Abhängigkeiten bekannt, kann Ihr Team das Sicherheitsnetz aufbauen und gezielte Kontrollmechanismen an der Schutzfläche einrichten. NGFs fungieren dabei als Segmentierungsgateway und erstellen Mikrosegmente von Perimetern. Diese Mikroperimeter legen sich als dynamische Grenzkontrolle um die Schutzfläche und ermöglichen so einen granularen Layer-7-Zugriff. Durch die Entschlüsselung, Inspektion und Protokollierung jedes einzelnen Pakets, das die Schutzfläche erreicht, kann der Zugriff auf den genehmigten Datenverkehr und autorisierte Anwendungen begrenzt werden. Integrierte Sicherheitsdienste wie Intrusion Prevention System (IPS), Data Loss Prevention (DLP) und DNS-Sicherheit untersuchen das gesamte System auf schädliche Komponenten. Zusätzliche Verifizierungsmechanismen wie MFA ermöglichen eine noch striktere Überprüfung der Benutzeridentität – und damit auch mehr IT-Sicherheit.
4. Konfiguration von Zero-Trust-Richtlinien
Mithilfe eines Segmentierungsgateways gewinnt Ihr Team neben tiefen Einblicken in den Datenverkehr auch zusätzliche Zugriffskontrollen mit Zero-Trust-Richtlinien. Die Richtlinien werden auf Layer 7 implementiert und bestimmen, wer welchen Mikroperimeter durchqueren darf. Definiert werden sie mit der Kipling-Methode anhand der klassischen W-Fragen, darunter: Wer sollte auf eine bestimmte Ressource zugreifen können? Wann versucht die Identität, auf die Ressource zuzugreifen? Wo wird ein Paket hingeschickt und warum versucht dieses Paket, auf eine bestimmte Layer-7-Ressource zuzugreifen?
5. Überwachung und Pflege
Der letzte Schritt des iterativen Zero-Trust-Prozesses besteht aus der Überwachung und Wartung Ihres Netzwerks. Kommen weitere Komponenten hinzu oder entstehen neue Abhängigkeiten zwischen Daten, kann Ihr Team diese jederzeit in das Zero-Trust-Framework integrieren. Idealerweise werden auch alle internen und externen Layer-7-Protokolle regelmäßig überprüft. Je mehr Telemetriedaten über die IT-Umgebung vorliegen, umso leichter lassen sich neue Erkenntnisse zur Verbesserung Ihrer Zero-Trust-Architektur und damit Ihrer IT-Security gewinnen.
