Unternehmen nach dem Prinzip Zero Trust richtig absichern
Der Ansatz Zero Trust hilft Unternehmen nicht nur dabei, die eigene Sicherheit zu verbessern, sondern erleichtert es auch, neue Geschäfts- und Betriebsmodelle bereitzustellen.
Es ist offensichtlich, dass die bestehenden Sicherheitskonzepte nicht ausreichen, um Unternehmen in der digitalen Bedrohungslandschaft zu schützen. Daher wird der Ansatz von Zero Trust beliebter: nichts und niemandem – weder innerhalb noch außerhalb des Unternehmensnetzwerks – vertrauen und alles überprüfen, was damit in Verbindung steht. IT-Gruppen übernehmen das Prinzip häufiger, um die Sicherheitslage ihres Unternehmens zu verbessern.
Zero Trust spiegelt auch die Realität der komplexen, heterogenen Netzwerkumgebungen wider. Diese umfassen mehrere öffentliche Clouds, SDN-Bereitstellungen und konventionelle lokale Netzwerke, was bedeutet, dass der traditionelle Netzwerk-Perimeter schnell verschwindet.
Das Zero-Trust-Modell erkennt dies und schreibt zur Erhöhung der Sicherheit die Schaffung von Mikrokontrollbereichen für alle sensiblen Unternehmens-Ressourcen vor. Hierfür werden Automatisierung und Analyse eingesetzt, um die Erkennung von und Reaktion auf Bedrohungen im gesamten Unternehmen zu beschleunigen.
Zero Trust verhindert zwar nicht jeden Angriff oder Verstoß, kann aber dafür sorgen, dass Unternehmen nicht zum Opfer einfacher Überfälle werden, weil Verstöße über Monate oder Jahre hinweg unentdeckt oder unbearbeitet blieben. Abgesehen vom Aspekt der Sicherheit, wird es für Unternehmen auch einfacher, neue Geschäfts- und Betriebsmodelle bereitzustellen und diese schnell und logisch zu schützen.
Wie sollten Unternehmen also das Zero-Trust-Konzept anwenden, um ihre Netzwerkprobleme zu lösen? Wie setzen sie die Best-Practice-Richtlinien in Geschäftsanforderungen um und stellen dann sicher, dass diese Anforderungen in ihrem gesamten Netzwerk implementiert und durchgesetzt werden? Dies kann mithilfe der vier Hauptkomponenten des Zero-Trust-Frameworks erfolgen: Netzwerksichtbarkeit, Automatisierung, Segmentierung und Compliance.
Ganzheitliche Sichtbarkeit
Die Zero-Trust-Leitlinie von Forrester ist eindeutig – „Sie können nicht schützen, was Sie nicht sehen können.“ Wenn Verantwortliche nicht wissen, wo ihr Unternehmen seine Daten speichert, wie vertraulich diese sind, welche Anwendungen darauf zugreifen können, oder wie Mitarbeiter, Partner und Kunden sie verwenden, dann ist der Schutz vor Datenverstößen ein Glücksspiel.
Diese netzwerkweite Sichtbarkeit ist in modernen Hybrid-Umgebungen eine große Herausforderung. Ein Anbieter liefert möglicherweise ein Werkzeug, das Einblick in seinen spezifischen Teil des Netzwerks ermöglicht, doch ermöglicht es den IT-Mannschaften nicht den Überblick der gesamten Infrastruktur. Die Verwendung mehrerer Oberflächen zur Erzielung der Transparenz erhöht dagegen die Komplexität und Doppelung von Sicherheitsprozessen. Dies führt zu dem sehr hohen Risiko, dass eine Bedrohung oder ein Angriff übersehen wird.
Es ist eine grundlegende Forderung an die Geschäftsführung, die Sichtbarkeit im Netzwerk zu gewährleisten. Nicht nur der Sicherheitskontrollen – wie Firewalls, Router und Cloud-Sicherheitsgruppen – sondern der eigentlichen Richtlinien für diese Kontrollen. IT-Sicherheitskräfte müssen verstehen, welche Verkehrsflüsse zwischen Anwendungen zugelassen oder blockiert werden, warum das so ist und was diese Richtlinien aus Sicht der Geschäftsanwendungen bedeuten. Welche Abläufe sind für diese Schlüsselanwendungen erforderlich, damit sie funktionieren? Was schützt sie tatsächlich?
Aus Sicht des Netzwerkarchitekten ist eine „Kartenansicht“ des Netzwerks von einer einzelnen Konsole aus erforderlich, in der alle Regeln, Richtlinien und Konnektivitäten aufgeführt sind, die einzelne Anwendungen betreffen. Dadurch ergibt sich ein Überblick, der für jeden Verantwortlichen interessant ist. Anwendungsbesitzer können sehen, von welchen Servern, Ressourcen und Sicherheitskontrollen ihre Anwendungen abhängen. Darüber hinaus können IT-Abteilungen die Konnektivität der Programme und die Auswirkungen aller Änderungen erkennen.
Automatisierung ist wichtig
Das Definieren und Verwalten eines Zero Trust-Netzwerks bedeutet, dass Sicherheitsrichtlinien, -konfigurationen und -regeln ständig geändert werden, da sich auch das Unternehmen und seine Anwendungen ständig ändern. Die IT-Leute müssen oftmals 20 oder mehr Anwendungsänderungen pro Woche verarbeiten. Werden sie manuell durchgeführt, dauert dies oft mehr als acht Stunden pro Änderung.
Diese manuellen Prozesse führen dazu, dass die Arbeitsbelastung schnell zu hoch wird. Außerdem sind auch die Experten vor einfachen, menschlichen Fehler nicht gefeit und Fehlkonfigurationen mit katastrophalen Folgen könnten herauskommen. Eine AlgoSec-Studie (PDF) ergab, dass 20 Prozent der Unternehmen eine Sicherheitslücke, 48 Prozent einen Anwendungsausfall und 42 Prozent einen Netzwerkausfall zu verzeichnen hatten, der durch Fehler während eines manuellen Änderungs-Prozesses verursacht wurde.
Um jede Änderung optimal auszuführen, ist eine Automatisierung die beste Option. Sie sollte die zuvor beschriebene Zuordnung der Verbindungen zwischen Geschäftsanwendungen nutzen und sich auch in eine möglichst breite Palette von Sicherheitslösungen integrieren lassen – einschließlich Firewalls, Cloud- und SDN-Plattformen, SIEM- und Schwachstellensuchern etc. Zusätzlich sollte die Lösung vor jeder geplanten Änderung eine Risikoanalyse durchführen, um sicherzustellen, dass keine Sicherheitslücken oder Compliance-Verstöße entstehen.
„Einer der Hauptvorteile des Zero-Trust-Ansatzes besteht darin, dass die Compliance-Anforderungen wegen der erforderlichen Transparenz und Automatisierung viel einfacher zu erfüllen sind.“
Robert Blank, AlgoSec
Wenn keine Ausnahmen oder Probleme festgestellt wurden, können die genehmigten Änderungen ohne menschlichen Eingriff auf alle relevanten Sicherheitskontrollen und -geräte übertragen werden. Dies spart Zeit, verringert den Aufwand und verhindert vor allem schädliche Fehlkonfigurationen. Eine solche Lösung kann auch feststellen, ob alte Richtlinien durch die Änderungen obsolet geworden sind, und kennzeichnet diese, damit sie sicher gelöscht werden können.
Darüber hinaus dokumentiert die Lösung jede Änderung zu Prüfungszwecken automatisch, spart langwierigen Papierkram und ermöglicht den Beteiligten, den Verlauf früherer Änderungen zu überprüfen.
Sicherheit durch Segmentierung
Zero Trust verlangt die Verwendung von Mikroperimetern für jede der sensiblen Unternehmensressourcen, um den Schutz effektiv durchzusetzen und die laterale Ausbreitung von Bedrohungen in Netzwerken zu verhindern. Es ist jedoch oft schwierig, zu entscheiden, wo die Grenzen für die Segmentierung von Anwendungen liegen sollen. Verantwortliche müssen genau wissen, wie sich die Positionierung der einzelnen Mikrobereiche auf kritische Geschäftsanwendungen auswirkt. Darüber hinaus ist das Einrichten des Segmentierungssystems keine einmalige Aufgabe, sondern ein fortlaufender Prozess, der sich entsprechend den Geschäftsanwendungen und Anforderungen ändert.
Alles beginnt damit, den Ablauf der Geschäftsanwendungen in der Netzwerkumgebung anhand der zuvor beschriebenen Zuordnung von Konnektivität zu verstehen. Unternehmen können dann planen, wo die einzelnen Mikroperimeter platziert werden sollen, und mithilfe der Automatisierungslösung Probeläufe durchführen, um das Risiko eines Ausfalls zu eliminieren.
Compliance-Fragen
Einer der Hauptvorteile des Zero-Trust-Ansatzes besteht darin, dass die Compliance-Anforderungen wegen der erforderlichen Transparenz und Automatisierung viel einfacher zu erfüllen sind. Mit Zero Trust übertreffen Unternehmen die Anforderungen der meisten Compliance-Richtlinien. Außerdem stellt die hierbei genutzte Automatisierung sicher, dass die Vorschriften fortlaufend eingehalten werden.
Die bereits erwähnten Vorteile der Automatisierung – Risikobewertungen, Außerkraftsetzung veralteter Regeln sowie automatische Dokumentation von Änderungen – führen dazu, dass sich für IT-Abteilungen die Last der Vorbereitung erheblich verringert.
Abschließend sollten Unternehmen bedenken, dass sie ihr Zero-Trust-Netzwerkmodell basierend auf der Art und Weise gestalten, wie ihre kritischen Anwendungen und Daten für den geschäftlichen Erfolg genutzt werden. Der hier beschriebene Ansatz gewährleistet dies und zeigt, dass Firmen ein Zero-Trust-Framework durchaus implementieren und verwalten können, um ihre Abläufe zu schützen und zu beschleunigen. Das Konzept verbessert auch die Kommunikation und Zusammenarbeit zwischen den IT-Gruppen und der Geschäftsleitung. Außerdem trägt es dazu bei, dass Änderungen der Infrastruktur und der Sicherheitseinstellungen den sich wandelnden Anforderungen des Unternehmens gerecht werden – ohne Risiken einzuschleusen.
