Zero Trust – Vertrauen kommt vom Verifizieren

Clouds, BYOD, Homeoffice und Co. – die Verlagerung von Daten und Strukturen in Clouds und Remote-Verhältnisse ändern die Sicherheitsanforderungen. Zero Trust gilt heute als Standard für vernetzte Unternehmen. Definition und Grundlagen finden Sie hier.

“Verifizieren statt Vertrauen” – mit Zero Trust Security erlebten die Sicherheitsrichtlinien vieler Unternehmen eine Anpassung an moderne Anforderungen. Während vor Jahren Endgeräte noch einen festen Platz im Unternehmensnetzwerk hatten und voll unter der Kontrolle der IT standen, sind es im modernen Arbeitsumfeld Clouds, externe Mitarbeiter und Computer, Smartphones oder Tablets von Angestellten, welche die Netzwerke nutzen.

Zero Trust ist dabei mehr als die Nutzung bestimmter Sicherheitsprotokolle oder Verifizierungsmethoden. Das Zero Trust Model muss in Unternehmen, Krankenhäusern, staatlichen Einrichtungen und anderen Organisationen als Antwort auf steigende Schäden durch eine wachsende Anzahl von Cyberattacken verstanden werden.

Grundlagen und Voraussetzungen für Zero Trust sollen im Folgenden Awareness für die Notwendigkeit einer Umstellung schaffen.

Zero Trust Methoden und Netzwerk

Remote Arbeit ist praktisch und flexibel, doch waren die alten Sicherheitsstandards diesen Anforderungen nicht mehr gewachsen. Bis in das Jahr 2020 hatten sich größere IT-Anbieter auf Zero Trust Architecture und -Prinzipien eingestellt. Immer mehr vernetzte Unternehmen folgen diesen Anforderungen, um für Homeoffice, BYOD und Verwendung von Clouds gerüstet zu sein.

Zero Trust Definition: Zero Trust bedeutet übergeordnet ein Prinzip, bei dem Entitäten in einem Netzwerk vor der Nutzung von Apps, Zugriff auf Daten, Ausführen von Befehlen oder anderen Aktivitäten immer wieder erneut verifiziert werden.

Zentraler Aspekt ist zudem die Orchestrierung von Remote-Zugriff mit Zero Trust Network Access (ZTNA) als Gegenstück zum Virtual Private Network (VPN), bei der Entitäten vor dem Zugriff entsprechend der Zero Trust Methoden geprüft werden.

Die einmalige Verifizierung und anschließende automatische Zugriffsberechtigung einer Entität, die Verifizierung aufgrund von Standort und Netzwerk-Zugehörigkeit sollen überwunden und Sicherheitslücken geschlossen werden.

Mit Zero Trust wird “Trust but verify” durch den Grundsatz “Never Trust, Always Verify” abgelöst.

Warum Zero Trust Prinzip nutzen?

Gründe für Zero Trust sind in erster Linie in der erhöhten Sicherheit zu finden. Phishing Attacks werden erschwert und laterale Bewegungen oder Schäden nach einem Data Breach oder Hack minimiert. Zero Trust unterstützt zudem die Arbeit mit externen oder Remote-Arbeitern und bedeutet eine Modernisierung der Sicherheitsrichtlinien und mehr Mobilität für das Organisationsnetzwerk.

Was wird mit Zero Trust gesichert?

• Identitäten
• Daten
• Apps
• Geräte (Endpoints)
• Netzwerk/Infrastruktur

Wie funktioniert Zero Trust?

Der Aufbau einer Zero Trust Infrastruktur ist eine umfassende Aufgabe, welche sich durch die verschiedenen Teile des gesamten Unternehmensnetzwerks zieht. Je nach Ausgangslage und Zielbild werden dafür Mechanismen für die Verifikation der Entitäten im Organisationsnetzwerk nach deren Identifizierung geschaffen.

Die geeignete Struktur wird dabei mit den Faktoren der Verifikation verbunden, welche aus den Policies der Organisation, Compliance-Vorgaben und anderen Richtlinien zusammengesetzt wird und verschiedene Szenarien regelt bzw. Zugriff ge- oder verwehrt.

Möglichkeiten sind so vielseitig wie die Anforderungen: So kann in zu einem Zero Trust Prinzip auch gehören, dass der Zugriff von Entitäten darauf geprüft wird, ob er normal ist oder als verdächtig gilt.

Der Grundsatz von IAM – den richtigen Entitäten aus den richtigen Gründen zur richtigen Zeit den passenden Zugriff zu gewähren – gilt somit auch als maßgebend im Zero Trust Modell. Mit Funktionen wie Privileged Access Management unterstützt IAM die Sicherheitsgrundsätze und wird zum Teil des Prozesses.

Geprüft werden im Zero Trust:

• Wer Zugriff anfordert
• Warum der Zugriff angefordert wird
• Wie Riskant das “Access Environment” ist

Zero Trust Architecture – das Netzwerk

Ein Zero Trust Network umfasst alle Strukturen und Entitäten in einem Unternehmensnetzwerk sowie angeschlossene Strukturen. Es erstreckt sich über:

• das interne Unternehmensnetzwerk,
• externe Teile des Unternehmensnetzwerks (Cloud),
• externe Teile des Netzwerks, die nicht zur Organisation gehören (z. B. Federation),
• Geräte im Netzwerk, die konfiguriert werden können (PC im Unternehmen) oder
• nicht konfiguriert werden können (BYOD) sowie
• weitere Entitäten und Strukturen.

Der Blick auf die Architektur eines Zero Trust Networks umfasst ebenso einen Fokus auf das “Wie”: Szenarien wie beispielsweise externe Cloud-Services oder Apps des Unternehmens, die von Remote-Arbeitern über ein fremdes Netzwerk (Netzwerk der externen Dienstleister) oder sogar öffentliches Netzwerk (z. B. öffentliches, unsicheres Wi-Fi) genutzt werden, müssen bedacht werden.

Die Umsetzung eines Zero Trust Netzwerks muss als Prozess betrachtet werden – fertige Komplettlösungen oder einen finalen Status gibt es, wie bei der Einführung einer Identity and Access Management Lösung, nicht.

Zero Trust Struktur und Interaktion

Um Zero Trust grundlegend zu implementieren, muss das Netzwerk als Modell dargestellt werden. In der Zero Trust Architecture finden sich Komponenten im internen Netzwerk (on-premise) oder in einem externen Netzwerk (Cloud-Based Service).

Die Verifizierung erfolgt über eine Policy. Dafür ist das Netzwerk analytisch aufzuspalten, beispielsweise im folgenden Basismodell, welches der NIST Special Publication 800-207 entnommen ist:

• Control Plane

  Im Control Plane befinden sich wie im Federated Management ein Policy Decision Point mit den Komponenten:

  Policy Engine (PE)

  In der PE erfolgt die Authentifizierung einer Entität anhand von internen und externen Policies. PE entscheidet und archiviert Entscheidungen über den Zugriff, arbeitet dabei in Verbindung mit der PA.

  Policy Administrator (PA)

  Die PA vollzieht die Entscheidung der PE, indem die Verbindung zwischen Entität und Ressourcen hergestellt oder untersagt wird. Dabei werden beispielsweise session-spezifische Tokens erstellt, die eine Entität für den Zugriff auf Teile der Datenstruktur bzw. des Unternehmensnetzwerks benötigt.

  Die PA konfiguriert den Policy Enforcement Point, der Verbindungen auf der Datenebene bestätigt und auch die Anfrage an den Policy Decision Point weiterleitet.

• Data Plane

  Im Data Plane erfolgt letztendlich der Datenaustausch zwischen Entitäten und dem internen und externen Unternehmensnetzwerk.

  • Eine Entität loggt sich in ein System ein und fragt von dort Zugriff auf bestimmte Ressourcen an.
  • Der Policy Enforcement Point (PEP) leitet die Anfrage in das Control Plane, von wo die Entscheidung erfolgt.
  • Im Anschluss autorisiert bzw. verifiziert der PEP die Anfrage,
  • der Entität wird unter bestimmten Bedingungen Zugriff auf den Teil der Ressource gewährt.

  Jede Form des Datenaustausches zwischen Endpunkt und Ressource erfolgt im Data Plane. Das Control Plane bleibt von diesen unberührt.

  Um die Entscheidungen über den Zugriff treffen zu können, werden verschiedene Systeme, Logs und Policies verwendet. Zu diesen gehören:

  • CDM-System
  • Compliance Systeme
  • Threat intelligence feeds
  • Activity Logs
  • Data Access Policies
  • PKI
  • ID management system
  • SIEM-System

  Bei diesem Modell handelt es sich um eine Basisdarstellung, welche das Zusammenspiel der Komponenten erklären soll. Es gibt weitere Möglichkeiten, die Zero Trust Struktur aufzubauen und auch weitere Möglichkeiten, Verifizierungspunkte zu gestalten. Welches Modell zu einer Organisation passt, entscheiden die Anforderungen an das Netzwerk.

IAM von OGiTiX und Zero Trust

Um einen effektiven, anwenderfreundlichen Ablauf der Anfragen im Zero Trust Modell zu unterstützen und mit Zero Trust Principles konform zu sein, kann die IAM-Software von OGiTiX durch verschiedene Funktionen das Gesamtbild des sicheren Organisationsnetzwerkes mitgestalten.

Mit Werkzeugen wie Roll Based Access Management und Principle of Least Privilege (PoLP) erhalten User nur den geringstmöglichen Zugriff, der für die Tätigkeit im Unternehmen notwendig ist.

Funktionen wie Rechteauditing, Self-Services und die Gestaltung des Rechtemanagements über Rollenkonzepte erhöhen Sicherheit und Effektivität in Ihrem Unternehmen. Wie IAM von OGiTiX Ihre Zero Trust Anforderungen unterstützen kann, erklären wir gern in einem individuellen Online-Meeting.