Zero-Trust-Framework

Funktionsweise eines Zero-Trust-Frameworks

Das klassische Netzwerksicherheitsmodell konzentrierte sich auf den Randbereich des Netzwerks, oder auch Netzwerkperimeter, und verfolgte einen Ansatz der Vertrauenswürdigkeit. Der Grundgedanke war, dass Bedrohungen für das Netzwerk stets von außen kamen und dass jeder Benutzer innerhalb der Netzwerkgrenzen als vertrauenswürdig eingestuft wurde. Mithilfe von Schutzmaßnahmen an der Netzwerkgrenze versuchten Unternehmen, Malware und andere Bedrohungen zu identifizieren und daran zu hindern, überhaupt in das Netzwerk einzudringen.

Dieser Ansatz für die Netzwerksicherheit bringt verschiedene Probleme mit sich, wie die Aufweichung der Netzwerkgrenzen, die Gefahr von Insider-Bedrohungen und den unzureichenden Schutz, den Netzwerksicherheitslösungen bieten. Zur Lösung dieser Probleme entwickelte John Kindervag, seinerzeit Vice President und Principal Analyst bei Forrester Research, das Konzept für eine Zero-Trust-Sicherheitsstrategie. Es beruht auf dem Prinzip, dass jedes Vertrauensverhältnis innerhalb einer Sicherheitsrichtlinie eine potenzielle Schwachstelle darstellt.

Bei der Zero-Trust-Sicherheitsstrategie wird Insidern nicht mehr implizit vertraut und Außenstehenden misstraut, sondern es wird niemandem mehr automatisch vertraut. Stattdessen werden die Zugriffsrechte und Berechtigungen von Fall zu Fall je nach Bedarf und Rolle vergeben. Einen guten Einstieg in das Thema „Zero Trust“ bietet der Artikel zur Zero-Trust-Architektur.

Was ist ein Zero-Trust-Netzwerk?

Die Umsetzung der Zero-Trust-Prinzipien in der Unternehmensumgebung setzt die Einrichtung eines Zero-Trust-Netzwerks voraus. In einem Zero-Trust-Netzwerk werden Zero-Trust-Richtlinien wie Zero Trust Network Access (ZTNA) oder Software-Defined Perimeter (SDP) durchgängig in der gesamten Umgebung eines Unternehmens implementiert und durchgesetzt.

Im Folgenden erfahren Sie, wie Sie ein klassisches, perimeterbasiertes Sicherheitsmodell durch ein Zero-Trust-Netzwerk ersetzen, mit dem Sie den heutigen Cyberbedrohungen begegnen und diese abwehren können.

Schritt 1: Identifizieren einer Schutzoberfläche

Die Verwaltung des Zugriffs auf Unternehmensressourcen ist ein zentraler Bestandteil einer Zero-Trust-Sicherheitsstrategie. Wie bereits erwähnt gewähren Zero-Trust-Richtlinien von Fall zu Fall den Zugriff auf Ressourcen anhand von rollenbasierten Zugriffskontrollen. Damit der Ressourcenzugriff gesteuert werden kann, müssen diese Ressourcen bekannt sein.

Ein wesentlicher Schritt bei der Einrichtung eines Zero-Trust-Netzwerks ist das Festlegen einer Schutzfläche aus den Ressourcen, die ein Unternehmen schützen möchte. Eine Schutzfläche setzt sich aus den DAAS eines Unternehmens zusammen:

• Daten: Einer der häufigsten Gründe für die Wahl einer Zero-Trust-Strategie ist die Verhinderung von Datenschutzverletzungen und die Einhaltung von Datenschutzverordnungen. Die Identifizierung und Klassifizierung der Daten eines Unternehmens ist eine Grundvoraussetzung, damit die Zugriffsrechte für diese Ressourcen sinnvoll verwaltet werden können.
• Assets: Ein modernes Unternehmen verfügt über vielfältige Ressourcen, wie herkömmliche PCs, Mobilgeräte, cloudbasierte Ressourcen und IoT-Geräte (Internet der Dinge). Die Zunahme von Remotearbeit und Mobilgeräten hat zur Folge, dass viele Unternehmen kaum den Überblick über ihren gesamten Bestandskatalog behalten können. Für eine erfolgreiche Zero-Trust-Bereitstellung ist es jedoch unerlässlich, diese mangelnde Transparenz zu beheben.
• Anwendungen: Anwendungen sind für jedes Unternehmen äußerst wertvolle Ressourcen und ein beliebtes Ziel von Cyberangriffen. Die Ausnutzung von Sicherheitslücken in Anwendungen kann einem Angreifer Zugang zu sensiblen Daten verschaffen oder ihm einen Ausgangspunkt bieten, von dem aus er andere Ziele angreifen kann. Daher wird eine vollständige Liste sämtlicher Geschäftsanwendungen benötigt, um eine Strategie für deren Schutz zu erarbeiten.
• Services: Die Ausweitung der Cloud führt dazu, dass viele Unternehmen cloudbasierte Services nutzen oder anbieten. Diese Services stellen ebenfalls potenzielle Schwachstellen und Angriffsvektoren für Cyberkriminelle dar und müssen ebenso identifiziert und geschützt werden.

Schritt 2: Analysieren der Zusammenhänge

Zero-Trust-Netzwerke funktionieren nach dem Prinzip der minimalen Berechtigung. Das bedeutet, dass Benutzern nur die Berechtigungen gewährt werden, die sie für ihre Arbeit wirklich brauchen.

Damit diese Berechtigungen passend zugewiesen werden können, muss bekannt sein, welche Zugriffsrechte und Berechtigungen die Mitarbeiter und IT-Geräte benötigen, um ihre jeweiligen Aufgaben zu erfüllen. Am besten lässt sich dies erreichen, indem die Aktivitäten im Tagesgeschäft erfasst werden.

Durch die Überwachung des Unternehmensnetzwerks kann dann eine Zuordnung der Kommunikationswege und Zusammenhänge zwischen DAAS, der Infrastruktur, den Services und den Benutzern erstellt werden. Anhand dieser Datenflüsse im Netzwerk lassen sich die Kommunikationswege ermitteln, die gemäß einer Zero-Trust-Richtlinie zulässig sind, und die, die als unnötig oder unerwünscht blockiert werden sollten.

Die Analyse der Abhängigkeiten und Kommunikationsmuster innerhalb eines Unternehmensnetzwerks bildet die Grundlage für die Umsetzung einer Zero-Trust-Strategie, doch das ist nicht der einzige Vorteil. Wenn ungewöhnliche oder verdächtige Datenflüsse entdeckt werden, kann dies Maßnahmen zur Gefahrenabwehr einleiten, durch die Unternehmen in ihren Netzwerken vorhandene Viren und Bedrohungen beseitigen können.

Schritt 3: Implementieren von Mikrosegmentierung

Zugriffskontrollen werden in der Regel an Netzwerkgrenzen durchgeführt, an denen der Datenverkehr durch eine Netzwerksicherheitsappliance geleitet wird. Zur Umsetzung einer Zero-Trust-Strategie muss ein Unternehmen über viele dieser Grenzen verfügen, um eine differenzierte Schutzfunktion und Zugriffskontrolle für die Unternehmensressourcen zu gewährleisten.

Die Errichtung von Grenzen im gesamten Unternehmensnetzwerk setzt die Implementierung einer Mikrosegmentierung voraus. Bei der Mikrosegmentierung wird jede Unternehmensressource in einem eigenen Bereich platziert, und der Datenverkehr wird auf Layer 7 überwacht und gefiltert.

Diese Überwachung von Layer 7 ist wichtig, um die für Zero Trust erforderliche Transparenz zu gewährleisten. Die Verbreitung von Cloud Computing und servicebasierten Bereitstellungsmodellen hat zur Folge, dass die Datenverkehrsanalyse von Layer 3/4 nicht mehr die nötige Granularität und Transparenz bietet, um den Zweck des Datenverkehrs im Netzwerk zu ermitteln. Mit der Layer-7-Analyse können Unternehmen Daten auf Anwendungsebene einsehen und für ihre Entscheidungen hinsichtlich der Zugriffskontrolle heranziehen.

Bei der Ausarbeitung einer Mikrosegmentierungsrichtlinie kann die Kipling-Methode ein nützliches Hilfsmittel sein. Mit ihr wird eine Zero-Trust-Richtlinie definiert, die sich an den Antworten auf sechs Fragen orientiert, darunter:

1. Wer stellt die Anforderung?
2. Welche Ressource wird angefordert?
3. Woher kommt die Anforderung?
4. Wann wurde die Anforderung gestellt?
5. Warum benötigt der Benutzer Zugriff auf diese Ressource?
6. Wie fordert der Benutzer den Zugriff an?

Durch die Beantwortung dieser Fragen können Unternehmen herausfinden, ob eine bestimmte Anforderung mit den Sicherheitsrichtlinien des Unternehmens im Einklang steht oder nicht. So kann beispielsweise der Zugriff auf eine bestimmte Ressource nur von bestimmten Computern aus zulässig sein, obwohl die Anforderung von einem Gerät eines Remotemitarbeiters aus gestellt werden kann. Selbst wenn der Mitarbeiter rechtmäßigen Zugriff auf die Ressource hat, kann dann die Anforderung nicht angenommen werden, wenn sie von dem falschen Gerät kommt. Für eine erfolgreiche Zugriffskontrolle ist es wichtig, nicht nur die Benutzeridentität zu kennen, sondern auch das Gerät, von dem die Anforderung kommt.

Erste Schritte zur Umsetzung einer Zero-Trust-Strategie

Die jüngsten Ereignisse haben gezeigt, dass herkömmliche Sicherheitsstrategien einfach nicht mehr ausreichen. Datenschutzverletzungen sind an der Tagesordnung, Ransomware-Angriffe nehmen zu, und auch andere Cyberbedrohungen sind nach wie vor präsent. Für Unternehmen ist es daher wichtiger als je zuvor, ihre Remotemitarbeiter optimal zu schützen.

Die Implementierung eines Zero-Trust-Netzwerks ist ein mehrstufiger Prozess. Der wichtigste Schritt dabei ist die Auswahl der richtigen Sicherheitslösungen, mit denen die Zero-Trust-Richtlinien des Unternehmens umgesetzt werden können. Älteren Sicherheitslösungen mangelt es an Reichweite oder granularen Sicherheitsfunktionen, sodass sich Zero-Trust-Richtlinien nicht durchsetzen lassen. ZTNA ist ein integraler Bestandteil des SASE-Frameworks (Secure Access Service Edge) von Gartner und stellt die perfekte Alternative zu herkömmlichen Lösungen dar.

Mit SASE lässt sich die Zero-Trust-Strategie einfach und bequem umsetzen. Bei der SASE-Lösung wird der gesamte Datenverkehr über einen SASE-PoP (Point of Presence) geleitet, der eine Layer-7-Datenverkehrsanalyse und die Durchsetzung von Sicherheitsrichtlinien ermöglicht. Zudem lassen sich mit SASE Zero-Trust-Richtlinien für Remotemitarbeiter mit ZTNA durchsetzen, was für Unternehmen heutzutage immer wichtiger wird. Weitere Informationen über die ZTNA-Funktionen von SASE finden Sie unter diesem Link.

Als Marktführer im SASE-Bereich wurde Cato Networks bereits mehrfach im ZTNA-Marktleitfaden von Gartner als Anbieter der Netzwerk- und Sicherheitslösungen ausgezeichnet, die Unternehmen künftig benötigen werden. Wenn Sie mehr über den Einsatz von SASE zur Implementierung von Zero Trust erfahren möchten, kontaktieren Sie uns. Außerdem können Sie eine Demo buchen, um sich selbst ein Bild von den Vorteilen von Cato SASE Cloud zu machen.