Erfolgreiche Zero-Trust-Implementierung: 5 Schritte und eine Checkliste für die Bereitstellung

Was ist eine Zero-Trust-Implementierung?

Mit einem Zero-Trust-Sicherheitsmodell können Unternehmen die Sicherheit von Daten und IT-Ressourcen verbessern und gleichzeitig einen umfassenderen Einblick in ihr Ökosystem erhalten. Die Zero-Trust-Implementierung umfasst in der Regel mindestens fünf Schritte, wie das Hinzufügen von Mikrosegmentierung zum Netzwerk, das Hinzufügen einer mehrstufigen Authentifizierung und die Validierung von Endgeräten.

Im Folgenden beschreiben wir diese Implementierungsschritte und stellen wichtige Überlegungen zur Auswahl Ihrer Zero-Trust-Lösungen vor. Abschließend gehen wir auf die Herausforderungen ein, denen die meisten Unternehmen bei der Umsetzung einer Zero-Trust-Strategie begegnen, und zeigen auf, wie diese bewältigt werden können.

Dieser Beitrag gehört zu unserer Reihe von Artikeln über Zero Trust Network Access (ZTNA).

Zero-Trust-Implementierung in 5 Schritten

Im Folgenden finden Sie verschiedene Prinzipien und Technologien, die bei der Zero-Trust-Implementierung in Ihrem Unternehmen hilfreich sein können:

1. Bereitstellen einer SASE-Lösung

Secure Access Service Edge (SASE) vereint SD-WAN und Punktlösungen für Netzwerksicherheit in einem zentralen, cloudnativen Service. SASE kann im Rahmen Ihrer Zero-Trust-Strategie eingesetzt werden. Die folgenden Aspekte sollten Sie bei der Auswahl einer SASE-Lösung berücksichtigen:

• Integration: Die von Ihnen gewählte SASE-Lösung sollte sich möglichst nahtlos in Ihre bestehende Netzwerkarchitektur einfügen. Unternehmen, die zum Beispiel geschäftskritische Infrastrukturen vor Ort betreiben, empfehlen wir eine SASE-Lösung mit Zero-Trust-Komponenten, die eine sichere Verbindung zu Cloudressourcen und älteren Infrastrukturen ermöglicht.
• Funktionen: Mit den Funktionen Ihrer SASE-Lösung müssen Sie in der Lage sein, potenzielle Bedrohungen abzuwehren und den durch einen Angriff verursachten Schaden zu begrenzen. So sollten Sie mit der Lösung beispielsweise Mikrosegmentierung, Patching und Sandboxing durchführen und die Identitäts- und Zugriffsverwaltung nutzen können.
• Schadensbegrenzung: Durch nichts kann wirklich garantiert werden, dass es nicht zu einem Sicherheitsverstoß kommt. Idealerweise sollte die gewählte SASE-Lösung Sie dabei unterstützen, jegliche Bedrohung, die in das Netzwerk gelangt ist, einzudämmen, um den Schaden insgesamt zu begrenzen.

SASE vereinfacht die Implementierung der unten genannten Technologien, da sie in einem einzigen verwalteten Service zusammengefasst sind.

2. Nutzen von Mikrosegmentierung

Bei der Mikrosegmentierung werden die zu sichernden Netzwerkbereiche in kleinere Zonen aufgeteilt. Auf diese Weise lassen sich die Zugriffsrechte für bestimmte Teile Ihres Netzwerks separat festlegen. Dank dieser Trennung können Sie einigen Benutzern, Anwendungen oder Diensten den Zugriff auf bestimmte relevante Zonen erlauben, während Sie ihn für andere einschränken.

Verwandtes Thema: Lesen Sie unseren Leitfaden zum Zero-Trust-Netzwerk.

3. Verwenden einer mehrstufigen Authentifizierung (MFA)

Bei der MFA müssen Benutzer mindestens zwei Authentifizierungsfaktoren eingeben, zum Beispiel:

• Einen Kenntnisfaktor: Informationen, die nur der Benutzer kennen sollte, wie z. B. ein Muster, ein Passwort oder eine PIN.
• Einen Besitzfaktor: Informationen oder Objekte, über die nur der Benutzer verfügt, wie z. B. eine Smartcard, ein Mobiltelefon oder eine EC-Karte.
• Ein Inhärenzfaktor: Dieser Faktor beruht auf den biometrischen Merkmalen eines Benutzers, z. B. einem Netzhaut-, Gesichts- oder Fingerabdruckscan.

Das System bestätigt die Authentifizierung nur, wenn alle Faktoren validiert sind.

4. Implementieren des Least-Privilege-Prinzips

Das Least-Privilege-Prinzip sieht die Beschränkung des Benutzerzugriffs und der Berechtigungen auf das Mindestmaß vor, das es den Benutzern ermöglicht, ihre Arbeit zu erledigen. Beispielsweise können Sie Benutzern nur die minimal erforderlichen Berechtigungen zum Ausführen, Lesen oder Schreiben von Ressourcen und Dateien gewähren.

Sie können das Least-Privilege-Prinzip auch auf die Beschränkung der Zugriffsrechte für nicht personenbezogene Ressourcen, wie Systeme, Anwendungen, Geräte und Prozesse, anwenden. Hierzu erteilen Sie diesen Ressourcen nur die Berechtigungen, die sie für die Durchführung der vorgesehenen Aktivitäten benötigen.

5. Validieren aller Endgeräte

Geräten, die nicht verifiziert wurden, wird nicht vertraut. Mithilfe von Zero-Trust-Sicherheitsmodellen können Sie Ihre Endgeräte validieren und identitätsbezogene Kontrollen auf die Endpunktebene ausweiten. Dazu muss in der Regel sichergestellt sein, dass die Geräte registriert sind, bevor sie Zugriff auf Ihre Ressourcen erhalten. Die Registrierung von Geräten erleichtert deren Identifizierung und Verifizierung. Durch eine Geräteüberprüfung können Sie feststellen, ob der Endpunkt, der auf Ihre Ressourcen zugreift, Ihre Sicherheitsanforderungen erfüllt.

Checkliste für die Zero-Trust-Bereitstellung

Die folgenden Aspekte sollten Sie bei der Implementierung einer Zero-Trust-Lösung berücksichtigen:

Herausforderungen bei der Umsetzung einer Zero-Trust-Strategie

Bei der Umsetzung einer Zero-Trust-Strategie in Ihrem Unternehmen müssen Sie die folgenden Herausforderungen angehen und bewältigen.

Komplexe Infrastruktur

Heutzutage verfügen Unternehmen in der Regel über eine Infrastruktur, die aus Proxyservern, Servern, Geschäftsanwendungen, Datenbanken und Software-as-a-Service-Lösungen (SaaS) besteht. Einige Infrastrukturkomponenten werden möglicherweise lokal ausgeführt, während andere in der Cloud betrieben werden.

Es kann schwierig sein, jedes Netzwerksegment zu sichern und gleichzeitig die Anforderungen einer hybriden Umgebung mit einer Kombination aus alten und neuen Anwendungen und Hardwarekomponenten zu erfüllen. Diese komplexe Umgebung macht es für Unternehmen schwierig, eine vollständige Zero-Trust-Implementierung umzusetzen.

Umsetzung einer Zero-Trust-Implementierung mit mehreren Tools

Zur Unterstützung eines Zero-Trust-Modells setzen Unternehmen verschiedene Tools ein, zum Beispiel:

• Tools für Zero Trust Network Access (ZTNA) bzw. Software-Defined Perimeter (SDP)
• SASE- (Secure Access Service Edge) oder VPN-Lösungen
• Tools für die Mikrosegmentierung
• Mehrstufige Authentifizierung (MFA)
• Single Sign-On (SSO)
• Lösungen für die Gerätezulassung
• Intrusion Prevention Systems (IPS)

Viele dieser Tools sind jedoch nur für bestimmte Betriebssysteme, Geräte und Cloudprovider geeignet. Die meisten Unternehmen unterstützen nicht viele unterschiedliche Geräte. Sie führen einige Services in lokalen Rechenzentren aus, andere in einer oder mehreren Cloudanwendungen, haben Benutzer mit Windows-, Mac- und anderen netzwerkfähigen Geräten und betreiben möglicherweise Server mit unterschiedlichen Linux-Distributionen und unterschiedlichen Windows Server-Versionen.

Vor allem in großen Unternehmen lässt sich nur schwer sicherstellen, dass Zero-Trust-Lösungen in allen Tools und Umgebungen einheitlich funktionieren.

Verwandtes Thema: Lesen Sie unseren Leitfaden zur Zero-Trust-Architektur.

Änderung der Denkweise

Die Einführung eines Zero-Trust-Modells in einem großen Unternehmen erfordert die Unterstützung aller Interessengruppen, damit eine erfolgreiche Schulung, Planung und Umsetzung möglich ist. Ein Zero-Trust-Projekt betrifft praktisch alle Mitarbeiter, weshalb sich alle Führungskräfte und Vorgesetzten auf den Ansatz einigen sollten. Üblicherweise werden Veränderungen in Unternehmen nur langsam umgesetzt. Allein die Firmenpolitik kann den Erfolg des Projekts gefährden.

Kosten und Aufwand

Unternehmen müssen Zeit, Personal und Gelder investieren, um eine Zero-Trust-Strategie umzusetzen. Damit ein Zero-Trust-Modell funktioniert, muss zunächst festgelegt werden, wer auf welche Bereiche des Netzwerks zugreifen darf. Zudem muss eine entsprechende Netzwerksegmentierung vorgenommen werden – dies erfordert eine sorgfältige Planung und gute Zusammenarbeit.

Zudem müssen Unternehmen Personal einstellen oder zuteilen, das die Netzwerksegmentierung durchführt und fortlaufend verwaltet. Je besser Zero-Trust-Systeme in die Umgebung integriert sind, desto einfacher wird dies.