Zero-Trust-Sicherheit: Nichts annehmen, alles überprüfen

Zero Trust ist ein Sicherheitsmodell auf militärischem Niveau offiziell unterstützt vom US-Verteidigungsministerium. Es ist ein Sicherheitsparadigma, das niemandem vertraut, luftdicht ist und keine endgültige Freigabe gewährt, während es ständig potenzielle Bedrohungen auf jeder organisatorischen Ebene überwacht.

Unternehmen halten Zero Trust-Sicherheit für unerlässlich für ihren Betrieb, da ungehinderte Konnektivität, Remote-Arbeit und grenzüberschreitende Zusammenarbeit die Grenzen zwischen sicheren und unsicheren Geschäftsumgebungen verwischt haben.

In diesem Artikel erfahren Sie, was Zero Trust ist, wie und warum Sie es anwenden sollten und was Sie daraus gewinnen können. Nehmen Sie sich ein Beispiel am Pentagon und nutzen Sie Zero Trust, um Ihr Unternehmen gegen Hacker zu stärken.

Was ist Zero Trust?

Zero Trust ist ein Sicherheitsmodell, das sich von traditionellen, perimeterbasierten Verteidigungen entfernt. Stattdessen werden Authentifizierung in kurzen Intervallen und Autorisierung mit minimalen Rechten für jeden Akteur innerhalb und außerhalb einer Organisation auferlegt.

Zero Trust bedeutet, dass jede Person innerhalb der Organisation ein potenzieller Angriffsvektor sein könnte – ob absichtlich oder nicht. Schadsoftware, Social Engineering und andere Hacking-Techniken lassen niemanden sicher, nicht zum Werkzeug eines Kriminellen zu werden.

Alle Vorteile von Zero Trust lassen sich in einer Aussage zusammenfassen: maximale Immunität gegen Bedrohungen und minimale Auswirkungen, wenn sie auftreten. Alle Zero Trust-Prinzipien und -Technologien arbeiten auf dieses eine Ziel hin.

Wie funktioniert Zero Trust?

Im Wesentlichen basiert Zero Trust-Architektur auf einer dynamischen Sicherheitsrichtlinie und einer systemweiten Sammlung von Sicherheitsinformationen.

Eine dynamische Sicherheitsrichtlinie erfordert von Organisationen, klare Regeln für den Zugang zu und die Kontrolle über ihre Vermögenswerte und Ressourcen zu definieren. Diese sollten so granular wie möglich sein, was die Vertrauenszonen verkleinert und potenzielle Bedrohungen auf überschaubare Bereiche beschränkt.

Sobald die dynamische Richtlinie in Kraft ist, muss die Sicherheitsintelligenz funktionieren. Dies umfasst das Sammeln und Analysieren von Netzwerkprotokollen, Benutzer-IDs, Verhaltensmustern, Geolokalisierungsdaten, Bedrohungsdatenbanken und anderen Informationen, die helfen, die Richtlinie umzusetzen.

Hauptprinzipien der Zero Trust-Sicherheit

Die Zero Trust-Sicherheit basiert auf den folgenden Hauptprinzipien:

• Kontinuierliche Überwachung und Validierung. Alle Ressourcen sind standardmäßig gesperrt. Zugriffstoken laufen schnell ab, was die Benutzer zwingt, ihre Anmeldeinformationen in kurzen Intervallen erneut einzugeben.
• Zugriff mit minimalen Rechten. Benutzer sind nur in dem Maße autorisiert, dass sie ihre Aufgaben an einer Ressource ausführen können.
• Gerätezugriffskontrolle. Die Sicherheitsüberprüfung gilt nicht nur für Benutzer, sondern auch für Maschinen, die versuchen, sich mit dem Netzwerk zu verbinden.
• Mikrosegmentierung. Alle Ressourcen werden in Segmente unterteilt, sodass ein Sicherheitsvorfall nur einen kleinen und überschaubaren Teil der Vermögenswerte der Organisation betrifft.
• Einschränkung der lateralen Bewegung. Hacker können sich im Netzwerk nicht mehr frei bewegen, sobald sie drinnen sind, da alle Zugriffe kurzfristig, mit minimalen Rechten und segmentiert sind.
• Multi-Faktor-Authentifizierung. Benutzer müssen mehr als ein Beweisstück für ihre Identität bereitstellen – beispielsweise Passwörter und SMS-Codes.

Zero Trust-Anwendungsfälle

Zero Trust wird die Sicherheit in jedem Unternehmen verbessern, aber seine Implementierung erfordert einen unternehmensweiten Aufwand. Verständlicherweise ist nicht jedes Unternehmen bereit, dieses Engagement einzugehen. Dennoch ist es wert, in Zero Trust zu investieren, wenn bestimmte Umstände vorliegen. Ziehen Sie Zero Trust in Betracht, wenn Sie:

• Sich um Ransomware sorgen. Ein erfolgreicher Ransomware-Angriff hängt von der Fähigkeit des Angreifers ab, in das Zielsystem einzudringen und genügend Kontrolle zu erlangen, um eine Verschlüsselung durchzuführen.
• Remote-Mitarbeiter beschäftigen oder mit nicht unternehmensinternen Datenquellen kommunizieren. Jeglicher externen Datenverkehr zu Ihrer Organisation – sei es von Personen oder externen Diensten wie SaaS oder APIs – erhöht die Gefahr von bösartigen Angriffen.
• Nach einer sichereren Alternative zu VPN suchen. VPNs entsprechen nicht den Zero Trust-Prinzipien, da sie einen pauschalen Zugang zu Ihrem Netzwerk ermöglichen.
• Eine Cloud- oder Multi-Cloud-Umgebung verwalten. Cloud-, Multi-Cloud- oder hybride Infrastrukturen sind anfälliger für Angriffe als lokale Infrastrukturen.
• Gesetzlich oder durch Versicherungen verpflichtet sind, Zero Trust umzusetzen. Einige Organisationen, wie Regierungsinstitutionen in den USA, sind gesetzlich verpflichtet, Zero Trust-Protokolle zu befolgen.
  Ebenso zwingt eine wachsende Welle von Ransomware-Angriffen Versicherer, ähnliche Anforderungen in ihre Allgemeinen Geschäftsbedingungen aufzunehmen.

Wie implementiert man Zero Trust?

Die Implementierung von Zero Trust umfasst drei Hauptphasen.

Phase 1: Visualisierung

Erstellung einer detaillierten Karte aller Ressourcen im Unternehmen sowie der vertrauenswürdigen Identitäten, Endpunkte, Arbeitslasten und möglichen Angriffsvektoren von innerhalb und außerhalb der Organisation.

Phase 2: Minderung

Entwicklung und Bereitstellung automatisierter Sicherheitsmaßnahmen: Echtzeitüberwachung und -prüfung, kontinuierliche Analysen, Zugriff mit minimalen Rechten, Netzwerksegmentierung und andere Mittel, die die Wahrscheinlichkeit und Auswirkungen von Bedrohungen verringern.

Phase 3: Optimierung

Verbesserung der Benutzererfahrung, ohne die Sicherheit zu gefährden. Eine gute Lösung ist risikobasierter bedingter Zugriff – ein Mechanismus, der Benutzer nach ihren Anmeldeinformationen fragt, wenn verdächtige Aktivitäten in Verbindung mit ihnen erkannt werden.

Wenn Sie mehr über die Implementierung von Zero Trust erfahren möchten, lesen Sie bitte unseren Leitfaden.

Best Practices für Zero Trust-Sicherheit von Object First

Bei Object First möchten wir, dass Sie niemals wieder ein Lösegeld zahlen müssen. Zero Trust wird Ihnen helfen, dieses Ziel zu erreichen – umso mehr, wenn Sie einige Best Practices beachten.

Lernen Sie unsere Sechs Alles kennen:

• Alles scannen. Wir können dies nicht genug betonen: Was Sie nicht sehen, können Sie nicht kontrollieren. Streben Sie an, 100 % des gesamten Datenverkehrs in Ihrer Organisation zu überwachen.
• Alles aktualisieren. Halten Sie Ihre Firmware, Software und Bedrohungsdatenbanken aktuell. Es dauert weniger Zeit, eine Schwachstelle auszunutzen oder Malware einzuschleusen, als diesen Artikel zu lesen.
• Alles einschränken. Gewähren Sie nur Autorisierungen mit minimalen Rechten. Geben Sie niemandem die Werkzeuge, die er nicht benötigt, oder Sie könnten überrascht sein, wie er sie verwendet.
• Alles segmentieren. Fragmentieren Sie Ihre Umgebung, um Vorfälle einzudämmen, falls sie auftreten. Je feiner die Unterteilung, desto geringer der Schaden.
• Alles hardware-authentifizieren. Eine SMS kann gefälscht oder abgefangen werden. Es ist schwieriger, ein hardwarebasiertes Token zu fälschen.
• Alles ausbalancieren. Werfen Sie den Benutzern nicht zu viele Sicherheitsanforderungen entgegen. Ein verärgerter Mensch denkt nicht klar und gibt leichter Fehler zu.

FAQ

Was ist Zero Trust in einfachen Worten? 

In einfachen Worten geht Zero Trust davon aus, dass jeder Datenverkehr eine Bedrohung darstellen könnte, daher wird er ständig überwacht und der Zugang zu Ressourcen ist nur begrenzt.

Was sind die fünf Säulen von Zero Trust? 

Die fünf Säulen von Zero Trust beziehen sich auf die Bereiche, die Informationen und Einblicke über das System bereitstellen, das durch Zero Trust geschützt ist. Diese Bereiche umfassen: Identität, Geräte, Anwendungen und Arbeitslasten sowie Daten.

Was ist ein Beispiel für Zero Trust?

Zero Trust-Sicherheit ist nützlich, wann immer eine unternehmenseigene Ressource auf eine nicht unternehmenseigene Ressource trifft. Betrachten Sie diese vier Beispiele:
1. Ein Drittanbieter benötigt Zugang zu Ihrem Netzwerk.
2. Ein Remote-Mitarbeiter auf Unternehmenshardware muss sich mit einem externen Dienst verbinden.
3. Ihr Unternehmen verwendet IoT-Geräte, die ihre Arbeitslast in die Cloud auslagern.
4. Ihr Unternehmen nutzt verteiltes Rechnen.

Was ist ZTNA?

ZTNA steht für Zero Trust Network Access. Es ist ein Gateway, das den Zugang zu Ressourcen unter dem Zero Trust-Paradigma schützt und verwaltet.
Wesentliche Merkmale von ZTNA umfassen die Gewährung von Zugriff pro Ressource und pro Benutzer, die Unterscheidung zwischen Netzwerk- und Anwendungszugriff sowie die Verschleierung von IP-Adressen gegenüber authentifizierten Entitäten.

Was ist NIST SP 800-207?

NIST SP 800-207 ist ein Zero Trust-Rahmenwerk, das vom National Institute of Standards and Technology entwickelt wurde. Es besteht aus Control Plane, das Zugriffsanforderungen über einen Policy Decision Point (PDP) filtert; und Data Plane, das die Entscheidungen über einen Policy Enforcement Point (PEP) umsetzt.