Zero-Trust-Modell
Das Zero-Trust-Modell ist ein Sicherheitsansatz, bei dem eine strenge Überprüfung des Anwenders beziehungsweise des Gerätes unabhängig von dessen Standort in Bezug auf das Netzwerk erfolgt. Durch das Einschränken, wer privilegierten Zugang zu einem Rechner oder einem Netzwerksegment innerhalb einer Organisation bekommt, werden die Möglichkeiten für Angreifer stark eingeschränkt. Eine Netzwerkumgebung, in der dieses Sicherheitsmodell Anwendung findet, wird auch als Zero-Trust-Netzwerk bezeichnet.
Zu den Grundsätzen des Zero-Trust-Modells gehört, dass Schwachstellen oft dann ausgenutzt werden, wenn Unternehmen Einzelpersonen oder auch Außenstehenden in Sachen Berechtigungen gegenüber zu sehr vertrauensselig sind. Daher sieht der Ansatz Zero Trust vor, dass zunächst keinem Benutzer, unabhängig davon ob inner- oder außerhalb des Netzwerks, standardmäßig vertraut werden soll.
Der Begriff „Zero Trust“ wurde ursprünglich von einem Analysten von Forrester Research im Jahr 2010 eingeführt. Anbieter wie Cisco oder Google haben das Modell kurz darauf adaptiert.
Die Bedeutung von Zero Trust
Die traditionelle Herangehensweise an die Netzwerksicherheit wird gerne mit einer Burg mit Zugbrücke inklusive Wassergraben verglichen. Es ist zwar einigermaßen schwierig in die Burg zu gelangen, aber wer dies erst einmal geschafft hat, kann sich innerhalb der Burg dann relativ ungehindert frei bewegen. Angesichts heutiger IT-Landschaften, bei denen Anwender von überall aus auf interne Anwendungen und Cloud-Dienste zugreifen, wirkt dieser Ansatz wie eine Burg etwas aus der Zeit gefallen.
Das Zero-Trust-Modell berücksichtigt, dass es nicht sinnvoll ist, sich nur auf die Sicherheit am Perimeter zu kümmern. Viele Datenverstöße wurden nur möglich, weil ein Angreifer die Firewall einer Organisation überwunden hatte und eine Authentifizierung für interne Systeme erhalten hat. Zero Trust ist daher ein deutlich stärkerer Ansatz zum Schutz wichtiger Ressorucen.
Grundlagen des Zero-Trust-Modells
Es existieren unterschiedlichste Technologien und Prinzipien, um Zero Trust in der Praxis umzusetzen, aber folgende grundlegenden Punkte gehören in jedem Fall dazu:
- Kein grundsätzliches Vertrauen. Keinem Benutzer oder Gerät sollte standardmäßig Vertrauen.
- Prinzip der minimalen Rechte. Der Anwender sollte nur das unbedingt erforderliche Minimum an Zugang erhalten.
- Berechtigungen und Netzwerkkomponenten werden in kleinere Segmente mit individuellen Zugangsanforderungen unterteilt.
- Risikobewertung und -analyse. Der gesamte Netzwerkverkehr sollte protokolliert und auf verdächtige Aktivitäten untersucht werden.
Den Ansatz Zero Trust umsetzen
Folgende bewährte Vorgehensweisen sollten bei der Umsetzung des Zero-Trust-Modells in einer Organisation berücksichtig werden:
- Die Richtlinien für die Netzwerksicherheit sollte immer wieder auf den Prüfstand und ihre Aktualität überprüft werden. Sie sollten regelmäßig auf Schwachstellen und Wirksamkeit überprüft werden.
- Es sollte ausnahmslos für alle Anwender die Multifaktor-Authentifizierung (MFA) umgesetzt werden.
- Es sollten in jedem Fall alle Geräte, die sich versuchen ins Netzwerk einzuloggen, überprüft werden. Es darf nur denjenigen Zugriff gewährt werden, die den gesetzten Sicherheitsstandards entsprechen.
- Es sollten Netzwerksegmentierung, Mikrosegmentierung und Perimetersegmentierung konsequent umgesetzt werden, um die einzelnen Bereiche des Netzwerks zu sichern.
- Es muss für größtmögliche Transparenz im Netzwerk gesorgt werden, um in Falle eines Falles den Missbrauch des Zugriffs auf Daten verhindern zu können.
- Die Benutzerzugriffe und auch die Zugriffe durch Administratoren sollten regelmäßig in kurzen Abständen überprüft werden.
