Was ist Zero-Trust?
Zero-Trust ist ein Sicherheitsmodell mit angenommenen Datenpannen, das für Entwickler von Cybersicherheitslösungen, Systemintegratoren und DevOps-Teams entwickelt wurde. Es soll wesentliche Cybersicherheitsfunktionen in eine allgegenwärtige IT-Umgebung integrieren, um eine mühelose Planung und Entscheidungsfindung in Hinblick auf Cybersicherheitsfragen zu ermöglichen.
Früher: Wir vertrauen jedem innerhalb des Netzwerkperimeters.
In der Vergangenheit verwendeten Unternehmen für ihre Netzwerksicherheit ein sogenanntes Burg&Burggraben-Modell (Castle&Moat-Modell). Standardmäßig wurde allen Benutzern und Geräten innerhalb des Netzwerkperimeters vertraut, was bedeutete, dass sie sich vor dem Zugriff auf Unternehmensressourcen nicht authentifizieren mussten. Nur Benutzer und Geräte, die sich außerhalb des Netzwerkperimeters befanden, mussten sich authentifizieren. Dies war durchaus funktionabel, da sich nahezu alle Mitarbeiter und Geräte innerhalb der Grenzen eines Bürogebäudes befanden und dadurch ein klar definierter Netzwerkperimeter bestand.
Schon vor der Coronapandemie haben Cloud Computing und Mobilitätswünsche das Konzept eines Netzwerkperimeters in Frage gestellt. Die Nachwirkungen der Pandemie-Lockdowns haben dem Konzept komplett den Garaus gemacht. Um all ihren neuen Homeoffice-Mitarbeitern gute Arbeitsmöglichkeiten zu bieten, sahen sich Unternehmen gezwungen, ihre Digitalisierungspläne um Monate oder Jahre zu beschleunigen. Unternehmen migrierten schnell zu cloud-basierten Umgebungen (meist Multi-Cloud oder Hybrid), damit ihre Mitarbeiter von überall aus auf Arbeitsressourcen zugreifen konnten. Dies bedeutete, dass sich die Anzahl der Endpunkte, Websites, Systeme, Datenbanken und Anwendungen, die eine Authentifizierung und Ende-zu-Ende-Verschlüsselung erfordern, exponentiell vervielfachte.
IT-Administratoren versuchten, unterschiedliche Lösungen, die für homogene Vor-Ort-Infrastrukturen entwickelt wurden, in heterogene, cloud-basierte Umgebungen zu integrieren. Es gelang ihnen jedoch nicht, eine umfassende Transparenz, Sicherheit und Kontrolle von Netzwerken und Endpunkten zu erreichen. Das Burg&Burggraben-Modell bröckelte und Cyberangriffe nahmen massiv zu, da Kriminelle die unzureichenden Sicherheitsmaßnahmen zunehmend aus.
Heute: Wir vertrauen niemandem!
Im Gegensatz zum Burg&Burggraben-Modell vertraut Zero-Trust keinen menschlichen Benutzern und keinen Geräten, egal wo sie sich befinden. In einer Zero-Trust-Umgebung müssen sich alle Benutzer und Geräte authentifizieren, bevor sie auf Unternehmensressourcen zugreifen können. Anstatt sich darauf zu verlassen, wo sich Nutzer befinden, lässt Zero-Trust sie beweisen, wer sie sind.
Bei richtiger Implementierung erhalten IT-Administratoren vollständige Transparenz über alle Benutzer, Systeme und Geräte. Menschen, Anwendungen und Dienste können sicher kommunizieren, sogar über Netzwerkumgebungen hinweg. Es spielt keine Rolle, ob Benutzer sich von zu Hause, Hotels, Cafés oder Flughäfen verbinden oder ob sie ihre eigenen Geräte verwenden. Administratoren können genau sehen, wer sich von wo mit dem Netzwerk verbindet und worauf zugegriffen wird. Und Benutzer erhalten erst Zugriff, sobald sie ausdrücklich bewiesen haben, dass sie die sind, für die sie sich ausgeben.
Drei Leitprinzipien bilden den Kern der Zero-Trust-Sicherheit:
Es wird eine Datenpanne angenommen.
Jeder Mensch oder jedes Gerät könnte potenziell gehackt werden, selbst im Büro. Deshalb lautet das zweite Leitprinzip …
Die Identität muss ausdrücklich verifiziert werden.
Alle Menschen und Geräte müssen beweisen, dass sie die sind, für die sie sich ausgeben. Vorher können sie nicht auf Netzwerkressourcen zugreifen. Und das ist noch nicht alles …
Es werden nur die geringsten Zugriffsrechte erteilt.
Selbst wenn ein Benutzer explizit verifiziert wurde, sollte er nur die minimale Menge an Netzwerkzugriff haben, die er für seine Arbeit benötigt. Und kein bisschen mehr.
Die 6 Säulen der Zero-Trust-Sicherheit
Laut Microsoft sollte eine Zero-Trust-Implementierung am besten anhand der folgenden sechs Säulen geplant werden. Sie alle sollen geprüft und dann entsprechend überarbeitet oder ersetzt werden.3
Identität
In einem Zero-Trust-Modell muss jeder Benutzer, sowohl Mensch als auch Gerät, eine eindeutige digitale Identität haben. Wann immer diese Identität den Zugriff auf eine Ressource anfordert, muss das System sie mit einer starken Authentifizierung verifizieren. Zusätzlich muss über eine Art Verhaltensanalyse bestätigt werden, dass die Zugriffsanforderung für diesen Benutzer nicht ungewöhnlich ist. Sobald nun die Identität voll authentifiziert ist, darf sie nur die geringsten Berechtigungen haben, die zur Erfüllung ihrer Aufgaben erforderlich ist.
Um dies zu erreichen, müssen alle Benutzer starke, eindeutige Passwörter für jedes Konto verwenden und die Multi-Faktor-Authentifizierung (MFA) muss überall da aktiviert sein, wo sie unterstützt wird. Außerdem müssen Echtzeit-Erkennung, automatisierte Problembehebung und verbundene Intelligenzlösungen bereitgestellt werden, um Konten auf Kompromittierung zu überwachen und auf potenzielle Probleme reagieren zu können.
Endpunkte
Nur konforme, vertrauenswürdige Apps und Geräte sollten auf Daten zugreifen dürfen. Bevor Sie Mitarbeitern den Zugriff auf Unternehmens-Apps auf Mobilgeräten gestatten, fordern Sie sie auf, ihre Geräte in der Mobilgeräteverwaltung (MDM) zu registrieren und sie auf ihren allgemeinen Zustand und die Einhaltung der Sicherheitsrichtlinien des Unternehmens überprüfen zu lassen. MDM-Lösungen geben Administratoren auch Einblick in den Gerätezustand, die Konformität und die Umsetzbarkeit von Richtlinien und Sicherheitskontrollen, z. B. das Blockieren von Kopieren/Einfügen oder Herunterladen/Übertragen.
Ressourcen_htimzt_0032
Daten
Ressourcen_htimzt_0032
Anwendungen
Der Zugriff auf Anwendungen und die Berechtigungen müssen ebenso streng kontrolliert und eingeschränkt werden wie der Zugriff auf Daten. Sperren Sie den Zugriff auf Anwendungen, überwachen Sie die Nutzung der Anwendungen auf ungewöhnliches Verhalten und verwenden Sie die rollenbasierte Zugriffskontrolle (RBAC), um sicherzustellen, dass die In-App-Berechtigungen der Benutzer angemessen sind und den Least-Privilege-Zugriffsprinzipien entsprechen.
Infrastruktur
Die Verwaltung von Berechtigungen sowohl für lokale Infrastrukturen als auch für cloud-basierte VMs, Container und Microservices kann mitunter eine große Herausforderung darstellen. Automatisieren Sie so viele Prozesse wie möglich. Verwenden Sie Just-in-Time-Zugriff (JIT), um Abwehrmaßnahmen zu verstärken. Setzen Sie Sicherheitsanalysen ein, um Anomalien und Angriffe zu erkennen, gefährliches Verhalten automatisch zu melden, Vorfälle näher zu untersuchen und letztlich Abhilfe zu schaffen.
Netzwerk
Segmentieren Sie Netzwerke, um zu verhindern, dass sich Cyberkriminelle seitlich bewegen und auf sensible Ressourcen zugreifen. Nutzen Sie „In-Pipe“-Netzwerksicherheitskontrollen, um die Transparenz zu erhöhen. Hierzu zählen Tools für Echtzeit-Bedrohungsschutz, Ende-zu-Ende-Verschlüsselung, Überwachung und Analyse.
Bewährte Methoden bei der Implementierung einer Zero-Trust-Architektur
Die schwierigste Herausforderung bei der Implementierung einer Zero-Trust-Lösung ist die Frage, wo man anfangen soll. Zero-Trust hat viele verschiebbare Teile. Außerdem gibt es keine universellen Standards für die „Zero-Trust-Implementierung“. Im Folgenden finden Sie bewährte Methoden, damit Zero-Trust für Ihr Unternehmen leichter umsetzbar ist.
Machen Sie sich bewusst, dass Zero-Trust eine langfristige Verpflichtung und keine einmalige Lösung ist.
Mit dem Wandel von Technologien, Workflows und Gefahren wird sich auch Ihre Zero-Trust-Architektur verändern.
Stellen Sie sicher, dass Sie die Unterstützung von Ihrer Geschäftsleitung haben.
Zero-Trust erfordert eine „Alles-oder-Nichts“-Mentalität und ein festes Engagement aller Führungsebenen und Teams. Die erfolgreichsten Zero-Trust-Unternehmen der CRA-Studie erhielten alle die Unterstützung von der Geschäftsleitung, während Unternehmen, die weiterhin mit der Einführung von Zero-Trust kämpfen, eine mangelnde Unterstützung als größten Stolperstein nannten.4
Fangen Sie klein an.
Um Geschäftsausfälle zu vermeiden, empfiehlt NIST, am Anfang der Implementierung zunächst risikoarme Geschäftsressourcen zu migrieren und dann zu kritischeren Ressourcen überzugehen, wenn Ihr Team mehr Erfahrung mit Zero-Trust hat.5
Konzentrieren Sie sich im Zweifelsfall zuerst auf IAM.
Unter den erfolgreichsten Zero-Trust-Unternehmen der CRA-Studie war Identity and Access Management (IAM) die am häufigsten implementierte Zero-Trust-Komponente, wobei 86 % der Befragten Zero-Trust-Strategien auf ihre IAM-Prozesse und -Kontrollen angewendet haben.6
Bewährte Methoden bei der Auswahl einer Zero-Trust-Lösung
Für einige ist Zero-Trust ein Paradigma, für andere eine Philosophie, ein Rahmen, ein Modell oder sogar eine Bewegung. Das Fazit bleibt jedoch ein und dasselbe: Das Ziel von Zero-Trust besteht letzten Endes nicht darin, bestimmte Produkte bereitzustellen, sondern die gewünschten Ergebnisse zu erzielen. In dieser Hinsicht ist Zero-Trust für die Cybersicherheit das, was DevOps für die Softwareentwicklung sind: eine grundlegende Veränderung in der Herangehensweise von Unternehmen in puncto Sicherheit.
Es gibt viele Zero-Trust-Lösungen auf dem Markt, aber nicht alle sind für Ihre Datenumgebung und Ihre Anforderungen geeignet. NIST7 empfiehlt, bei der Auswahl von Zero-Trust-Tools folgende Fragen zu klären:
Erfordert die Lösung die Installation von Komponenten auf Client-Geräten?
Clientseitige Lösungen könnten Geschäftsprozesse einschränken und die Produktivität beeinträchtigen. Sie verursachen zudem zusätzlichen Verwaltungsaufwand für Ihr IT-Team.
Funktioniert die Lösung auch, wenn Unternehmensprozesse vor Ort existieren?
Einige Lösungen gehen davon aus, dass sich angeforderte Ressourcen in einer Cloud befinden (der sogenannte North-South-Traffic) und nicht innerhalb eines Unternehmensstandorts (der sogenannte East-West-Traffic). Das führt in hybriden Datenumgebungen zu Problemen, wenn zum Beispiel alte Unternehmensanwendungen für kritische Funktionen vor Ort im Unternehmen laufen, weil deren Migration in die Cloud nicht durchführbar ist.
Bietet die Lösung die Möglichkeit der Erfassung und Analyse von Interaktionen?
Zero-Trust-Zugriffsentscheidungen hängen stark von der Erfassung und Verwendung von Daten im Zusammenhang mit dem Prozessablauf ab – insbesondere für privilegierte Zugriffskonten.
Bietet die Lösung umfassende Unterstützung für verschiedene Anwendungen, Dienste und Protokolle?
Einige Lösungen unterstützen eine große Vielfalt von Protokollen (SSH, Web usw.) und Übertragungsprotokollen (IPv4, IPv6), aber andere funktionieren vielleicht nur per Internet oder E-Mail.
Müssen Nutzer bei der Zero-Trust-Lösung ihr bisheriges Verhalten bei Prozessen ändern?
Einige Lösungen erfordern möglicherweise zusätzliche Schritte, um einen bestimmten Workflow auszuführen. Dadurch muss Ihre Organisation möglicherweise Änderungen an Ihren vorhandenen Workflows vornehmen.
So kann Keeper Ihrem Unternehmen bei der Implementierung von Zero-Trust helfen
Die Zero-Trust/-Zero-Knowledge-Cybersicherheitssuite von Keeper ermöglicht Unternehmen die Einführung eines Zero-Trust-Fernzugriffs für ihre Homeoffice-Mitarbeiter mit den Vorteilen einer starken Authentifizierung, granularen Transparenz und umfassenden Kontrolle. Durch die Kombination von Enterprise Password Management (EPM) mit Secrets Management (SM) und Privileged Connection Management (PCM) bietet Keeper IT-Administratoren und Sicherheitsteams eine allgegenwärtige, zentrale Oberfläche, um jeden Benutzer auf jedem Gerät und von jedem Ort aus zu verfolgen, zu protokollieren, zu überwachen und zu schützen, während sie mit allen erlaubten Websites, Systemen und Anwendungen interagieren.
- Keeper Enterprise Password Management bietet Unternehmen vollständige Transparenz und umfassende Kontrolle über die Passwortpraktiken ihrer Mitarbeiter. Dies ist für die erfolgreiche Implementierung eines Zero-Trust-Sicherheitsmodells erforderlich. IT-Administratoren können die Verwendung von Passwörtern im gesamten Unternehmen überwachen und kontrollieren sowie Sicherheitsrichtlinien und Sicherheitskontrollen wie MFA, RBAC und Least-Privilege-Zugriff einführen.
- Keeper Secrets Manager bietet DevOps-, IT-Sicherheits- und Softwareentwicklungsteams eine cloudbasierte Plattform zur Verwaltung all Ihrer Infrastrukturgeheimnisse – von SSH- und API-Schlüsseln bis hin zu Datenbankpasswörtern und RDP-Zugangsdaten. Alle Server, CI/CD-Pipelines, Entwicklerumgebungen und Quellcodes ziehen Geheimnisse von einem sicheren API-Endpunkt. Jedes Geheimnis wird mit einem 256-Bit-AES-Schlüssel und dann erneut mit einem anderen 256-Bit-AES-Schlüssel verschlüsselt. Das Client-Gerät ruft verschlüsselten Chiffretext aus der Keeper-Cloud ab, und Geheimnisse werden lokal auf dem Gerät entschlüsselt – nicht auf dem Server.
- Keeper Connection Manager ist ein agentloses Remote-Desktop-Gateway, das DevOps- und IT-Teams mühelosen Zero-Trust-Netzwerkzugriff (ZTNA) zu RDP, SSH, Datenbanken und Kubernetes-Endpunkten über einen Webbrowser bietet. Alle Benutzer und Geräte durchlaufen einen strengen Authentifizierungsprozess, bevor sie auf Unternehmensressourcen zugreifen dürfen.
