Zero-Trust-Sicherheit | Was ist ein Zero Trust-Netzwerk?
Zero Trust ist ein Sicherheitsmodell mit strengen Zugriffskontrollen nach dem Prinzip, standardmäßig niemandem zu vertrauen, auch nicht denjenigen, die sich bereits innerhalb des Netzwerkperimeters befinden.
Lernziele
Nach Lektüre dieses Artikels können Sie Folgendes:
- Zero-Trust-Sicherheit definieren
- Die Technologien und Prinzipien hinter Zero Trust definieren
- Lernen Sie, wie man eine Zero Trust-Sicherheitsarchitektur implementiert
Ähnliche Inhalte
Möchten Sie noch mehr erfahren?
Abonnieren Sie theNET, Cloudflares monatliche Zusammenfassung der beliebtesten Einblicke in das Internet!
Link zum Artikel kopieren
Was versteht man unter Zero Trust-Sicherheit?
Zero-Trust-Sicherheit ist ein IT-Sicherheitsmodell mit einer strikten Identitätsprüfung für alle Personen und Geräte, die auf Ressourcen in einem privaten Netzwerk zugreifen möchten. Dabei kommt es nicht darauf an, ob sie sich innerhalb oder außerhalb des Netzwerkperimeters befinden. ZTNA ist die wichtigste Technologie im Bereich der Zero Trust-Architektur. Es handelt sich um einen ganzheitlichen Ansatz zur Netzwerksicherheit, der mehrere verschiedene Prinzipien und Technologien umfasst.
Einfacher ausgedrückt: Die traditionelle IT-Netzwerksicherheit vertraut allem und jedem innerhalb des Netzwerks. Eine Zero Trust-Architektur traut nichts und niemandem.
Traditionell wird die Sicherheit bei IT-Netzwerken durch ein „Castle-and-Moat“-Konzept gewährleistet. In diesem Konzept („Burg mit Wassergraben“) wird es den Benutzer schwer gemacht, von außerhalb des Netzwerks Zugriff zu erhalten, aber standardmäßig vertraut man jedem, der sich innerhalb des Netzwerks befindet. Das Problem bei dieser Vorgehensweise ist, dass ein Angreifer, der einmal den Zugriff auf das Netzwerk erlangt hat, über alles darin frei verfügen kann.
Diese Schwachstelle bei „Castle-and-Moat“-Sicherheitssystemen ist dadurch noch kritischer, dass die Daten eines Unternehmens nicht mehr nur an einem Ort aufbewahrt werden. Heutzutage werden Informationen häufig über mehrere Cloud-Anbieter verteilt, deshalb ist es schwierig, im gesamten Netzwerk nur mit einem einzigen Sicherheitskontrollverfahren zu arbeiten.
Zero-Trust-Sicherheit hingegen bedeutet, dass man zunächst einmal niemandem vertraut, ob innerhalb oder außerhalb des Netzwerks, und dass jeder, der auf Ressourcen im Netzwerk zugreifen möchte, überprüft werden muss. Es hat sich gezeigt, dass diese zusätzliche Sicherheitsebene Datenschutzverletzungen verhindern kann. Studien haben ergeben, dass die durchschnittlichen Kosten einer einzelnen Datenschutzverletzung bei über 3 Millionen US-Dollar liegen. Bei solchen Zahlen überrascht es nicht, dass inzwischen viele Unternehmen auf Zero-Trust-Sicherheit setzen möchten.
Was sind die wichtigsten Grundsätze von Zero Trust?
Kontinuierliche Überwachung und Überprüfung
Die Philosophie hinter einem Zero Trust-Netzwerk geht davon aus, dass es sowohl innerhalb als auch außerhalb des Netzwerks Angreifer gibt. Also sollte keinem Nutzer oder Gerät automatisch vertraut werden. Zero Trust verifiziert die Identität und die Privilegien der Nutzer sowie die Identität und Sicherheit der Geräte. Anmeldungen und Verbindungen werden in regelmäßigen Abständen unterbrochen, sodass Nutzer und Geräte ständig neu verifiziert werden müssen.
Geringste Privilegierung (minimaler Zugang)
Ein weiteres Prinzip der Zero-Trust-Sicherheit sind geringstmögliche Zugriffsberechtigungen. Das bedeutet, dass Benutzer nur so viel Zugriff erhalten, wie sie benötigen, ähnlich wie bei einem Armeegeneral, der seinen Soldaten nur so viele Informationen gibt, wie sie unbedingt brauchen. Damit haben die Benutzer möglichst wenig mit allen sensiblen Teilen des Netzwerks zu tun.
Die Implementierung des minmalen Zugangs erfordert eine sorgfältige Verwaltung der Nutzerrechte. VPNs eignen sich nicht gut für Ansätze zur Autorisierung nach dem Prinzip des geringsten Privilegs, da die Anmeldung bei einem VPN einem Nutzer Zugriff auf das gesamte verbundene Netzwerk gewährt.
Kontrolle des Gerätezugriffs
Zusätzlich zu den Kontrollen des Nutzerzugriffs erfordert Zero Trust auch strenge Kontrollen des Gerätezugriffs. Zero Trust-Systeme müssen überwachen, wie viele verschiedene Geräte versuchen, auf ihr Netzwerk zuzugreifen, sicherstellen, dass jedes Gerät autorisiert ist, und alle Geräte überprüfen, um sicherzugehen, dass sie nicht kompromittiert worden sind. Dadurch bietet das Netzwerk noch weniger Angriffsfläche.
Mikrosegmentierung
Bei Zero-Trust-Netzwerken wird auch mit Mikrosegmentierung gearbeitet. Damit ist die Methode gemeint, Sicherheitsperimeter in kleine Zonen aufzuteilen, um den Zugriff für separate Teile des Netzwerks separat zu verwalten. Wenn die Dateien eines Netzwerks beispielsweise in einem einzelnen Rechenzentrum liegen und dieses Rechenzentrum mit Mikrosegmentierung arbeitet, kann das Netzwerk Dutzende voneinander getrennter sicherer Zonen enthalten. Eine Person oder ein Programm mit Zugriff auf eine dieser Zonen kann ohne separate Autorisierung auf keine der anderen Zonen zugreifen.
Laterale Bewegung verhindern
In der Netzwerksicherheit bedeutet „laterale Bewegung“, dass ein Angreifer sich innerhalb eines Netzwerks bewegt, nachdem er Zugang zu diesem Netzwerk erhalten hat. Selbst nach dem Aufdecken des Einstiegspunkts des Angreifers sind laterale Bewegungen oft schwer zu erkennen, da der Angreifer bereits andere Teile des Netzwerks kompromittiert hat.
Zero Trust wurde entwickelt, um Angreifer einzuschließen, so dass sie sich nicht lateral bewegen können. Da der Zero Trust-Zugriff segmentiert ist und regelmäßig neu eingerichtet werden muss, kann ein Angreifer nicht zu anderen Mikrosegmenten innerhalb des Netzwerks überwechseln. Sobald die Anwesenheit des Angreifers entdeckt wird, kann das kompromittierte Gerät oder Nutzerkonto unter Quarantäne gestellt und vom weiteren Zugriff abgeschnitten werden. (In einem Burg und Burggraben-Modell, wenn laterale Bewegungen für den Angreifer möglich sind, hat die Quarantäne des ursprünglich kompromittierten Geräts oder Nutzers wenig bis gar keine Wirkung, da der Angreifer bereits andere Teile des Netzwerks erreicht hat).
Multi-Faktor-Authentifizierung (MFA)
Auch Multifaktor-Authentifizierung (MFA) spielt bei Zero-Trust-Sicherheit eine zentrale Rolle. MFA bedeutet, dass man für die Authentifizierung eines Benutzers mehr als einen Nachweis heranzieht. Die Eingabe eines Passworts allein reicht nicht aus, um Zugriff zu erhalten. Häufig wird MFA in Form von 2-Faktor-Autorisierung (2FA) umgesetzt, zum Beispiel bei den Online-Plattformen von Facebook und Google. Zusätzlich zur Eingabe eines Passworts muss ein Benutzer, bei dem 2FA für diese Dienste aktiviert wurde, auch einen Code eingeben, der an ein anderes Gerät gesendet wird, z. B. ein Handy. Damit liegen gleich zwei Belege dafür vor, dass er derjenige ist, der er zu sein vorgibt.
Was sind die Vorteile von Zero Trust?
Zero Trust als Philosophie ist für moderne IT-Umgebungen besser geeignet als herkömmliche Sicherheitsansätze. Eine Vielzahl von Nutzern und Geräten greift auf interne Daten zu, und die Daten werden sowohl innerhalb als auch außerhalb des Netzwerks (in der Cloud) gespeichert. Daher ist es weitaus sicherer, davon auszugehen, dass kein Nutzer oder Gerät vertrauenswürdig ist, als anzunehmen, dass präventive Sicherheitsmaßnahmen alle Löcher gestopft haben.
Der Hauptvorteil der Anwendung der Zero Trust-Prinzipien besteht darin, die Angriffsfläche einer Organisation zu verkleinern. Darüber hinaus minimiert Zero Trust den Schaden im Falle eines Angriffs, indem der Angriff durch Mikrosegmentierung auf einen kleinen Bereich beschränkt wird, was auch die Kosten für die Wiederherstellung senkt. Wenn Anmeldedaten gestohlen und Phishing-Angriffe durchgeführt werden, verringert Zero Trust die Auswirkungen, da mehrere Authentifizierungsfaktoren erforderlich sind. Es hilft bei der Abwehr jener Bedrohungen, die herkömmliche, auf den Perimeter ausgerichtete Schutzmaßnahmen umgehen.
Und durch die Verifizierung jeder Anfrage verringert die Zero Trust-Sicherheit das Risiko, das von Sicherheitslücken ausgeht, einschließlich IoT-Geräten, die oft schwer zu sichern und zu aktualisieren sind (siehe IoT-Sicherheit).
Welche Geschichte steckt hinter Zero-Trust-Sicherheit?
Der Begriff „Zero Trust“ wurde von einem Analysten bei Forrester Research Inc. im Jahr 2010 geprägt, damals wurde das Modell für dieses Konzept erstmals vorgestellt. Einige Jahre später gab Google bekannt, dass es Zero Trust-Sicherheit in seinem Netzwerk implementiert hatte, was in der Tech-Community zu einem wachsenden Interesse führte. Im Jahr 2019 führte Gartner, ein globales Forschungs- und Beratungsunternehmen, Zero Trust Security Access als eine Kernkomponente von Secure Access Service Edge (SASE) Lösungen auf.
Was ist Zero Trust Network Access (ZTNA)?
Zero Trust-Netzwerkzugang (ZTNA) ist die wichtigste Technologie, die es Unternehmen ermöglicht, Zero Trust-Sicherheit zu implementieren. Ähnlich wie bei einem software-definierten Perimeter (SDP) verbirgt ZTNA die meisten Infrastrukturen und Dienste und stellt eins-zu-eins verschlüsselte Verbindungen zwischen Geräten und den benötigten Ressourcen her. Erfahren Sie mehr darüber, wie ZTNA funktioniert.
Was sind einige Anwendungsfälle von Zero Trust?
Jedes Unternehmen, das auf ein Netzwerk angewiesen ist und digitale Daten speichert, wird wahrscheinlich eine Zero Trust-Architektur in Betracht ziehen. Einige der häufigsten Anwendungsfälle für Zero Trust sind jedoch folgende:
VPN ersetzen oder ergänzen: Viele Unternehmen verlassen sich für den Schutz ihrer Daten auf VPNs. Aber wie oben beschrieben, sind VPNs oft nicht der ideale Schutz gegen moderne Risiken.
Remote-Arbeit sicher unterstützen: Während VPNs zu Engpässen führen und die Produktivität von Remote-Mitarbeitern beeinträchtigen können, erweitert Zero Trust die sichere Zugriffskontrolle auf Verbindungen von überall her.
Zugriff auf Cloud und Multi-Cloud kontrollieren: Ein Zero Trust-Netzwerk verifiziert jede Anfrage, unabhängig von ihrer Quelle oder ihrem Ziel. Es kann auch dazu beitragen, die Nutzung nicht autorisierter cloudbasierter Dienste (sogenannte „Schatten-IT“) einzudämmen, indem es die Nutzung nicht genehmigter Apps kontrolliert oder blockiert.
Dritte und Auftragnehmer onboarden: Zero Trust kann den eingeschränkten Zugriff nach dem Least-Privilege-Prinzip schnell auf externe Parteien ausweite – sie verwenden in der Regel Computer, die nicht von internen IT-Teams verwaltet werden.
Neue Mitarbeiter schnell onboarden: Zero Trust-Netzwerke können auch die schnelle Einarbeitung neuer interner Nutzer erleichtern, was sie zu einer guten Lösung für schnell wachsende Unternehmen macht. Im Gegensatz dazu benötigt ein VPN eventuell mehr Kapazität, um eine große Anzahl neuer Nutzer aufnehmen zu können.
Was sind die wichtigsten Best Practices für Zero Trust?
- Netzwerk-Traffic und angeschlossene Geräte überwachen: Transparenz ist entscheidend, damit Nutzer und Rechner verifiziert und authentifiziert werden können.
- Geräte auf dem neuesten Stand halten: Sicherheitslücken müssen so schnell wie möglich gepatcht werden. Zero Trust-Netzwerke müssen den Zugriff auf Sicherheitslücken einschränken können (ein weiterer Grund, warum Überwachung und Überprüfung so wichtig sind).
- Das Prinzip des minimalen Zugangs für alle Mitarbeiter des Unternehmens anwenden: Von den Führungskräften bis zu den IT-Teams sollte jeder so wenig Zugriff haben, wie benötigt. Das minimiert den Schaden, wenn ein Endnutzerkonto kompromittiert wird.
- Das Netzwerk aufteilen: Durch die Aufteilung des Netzwerks in kleinere Teile können Sicherheitslücken früh geschlossen werden, bevor sie sich ausbreiten können. Eine effektive Methode hierfür ist die Mikrosegmentierung.
- So vorgehen, als gäbe es keinen Netzwerkperimeter: Wenn ein Netzwerk nicht vollständig abgekapselt ist (das passiert selten), sind die Punkte, an denen es das Internet oder die Cloud berührt, wahrscheinlich zu zahlreich, um sie zu eliminieren.
- Sicherheitsschlüssel für MFA verwenden: Hardware-basierte Sicherheits-Token sind nachweislich sicherer als Soft-Token wie Einmalpasswörter (OTPs), die per SMS oder E-Mail verschickt werden.
- Bedrohungsdaten einbeziehen: Da Angreifer ihre Taktiken ständig aktualisieren und verfeinern, ist es wichtig, die neuesten Bedrohungsdaten zu abonnieren. So kann man Bedrohungen erkennen, bevor sie sich ausbreiten.
- Nutzer nicht zum Umgehen von Sicherheitsmaßnahmen verleiten: Genauso wie übermäßig strenge Passwortanforderungen Nutzer dazu verleiten, immer wieder dieselben Passwörter zu verwenden, wollen Nutzer sich auch nicht stündlich über mehrere Identitätsfaktoren neu authentifizieren müssen – paradoxerweise verringert dies die Sicherheit. Denken Sie immer an die Bedürfnisse des Endnutzers.
So wird Zero-Trust-Sicherheit umgesetzt
Zero Trust mag komplex klingen, aber mit dem richtigen Technologiepartner lässt sich dieses Sicherheitsmodell recht einfach einführen. Cloudflare One zum Beispiel ist eine SASE-Plattform, die Netzwerkdienste mit einem integrierten Zero Trust-Ansatz für den Zugriff von Nutzern und Geräten kombiniert. Mit Cloudflare One implementieren Kunden automatisch Zero Trust-Schutz für alle ihre Assets und Daten.