wladimir1804 - stock.adobe.com
Wie funktioniert Sicherheit auf Basis von Zero Trust?
Damit Unternehmen der heutigen Cloud-Nutzung und der Mobilität der Mitarbeiter in Sachen Security gerecht werden, ist ein veränderter Ansatz des Identitätsmanagements erforderlich.
Durch die Cloud-Nutzung und zunehmende Mitarbeitermobilität werden heute neue Maßstäbe an die Datensicherheit in Unternehmen gesetzt. Kein Wunder, dass sich derzeit Zero Trust als Buzzword in der Sicherheitsindustrie herauskristallisiert: Obwohl das Konzept bereits vor zehn Jahren erfunden wurde rückt es nun mit seiner Antwort auf die aktuellen Anforderungen an den sicheren Zugriff auf Anwendungen und Daten – unabhängig davon, wo sich diese befinden – ins Rampenlicht.
Durch die digitale Transformation verändert sich die Geometrie eines Netzwerks. Die Vorhaltung von Anwendungen und Daten wird in die Cloud verlagert, so dass weder User noch Assets innerhalb des Unternehmens-Perimeters geschützt sind. Office 365, Azure, Salesforce und Google Drive zeigen die neuen Möglichkeiten auf, durch die der Bedarf nach ununterbrochener Anbindung ans Internet wächst. Road Warriors bewegen sich zudem außerhalb des physikalischen Perimeters des Unternehmensnetzes. Zugunsten höherer Flexibilität kehrt die IT-Welt dem zentralisierten Rechenzentrums- und Netzwerkmodell den Rücken, denn Mitarbeiter sind nicht mehr an einen fixen Arbeitsplatz gebunden, wenn sie jederzeit auf Daten und Anwendungen in der Cloud zugreifen können. Das Internet avanciert dadurch mehr und mehr zum neuen Unternehmensnetz.
Das Konzept von Zero Trust basiert auf der Überlegung, kein Urvertrauen in Personen oder Geräte vorauszusetzen, die sich mit einem Netzwerk verbinden wollen. Ein Blick zurück soll verdeutlichen, wie sich der Parameter des grundlegenden Vertrauens seit dem Aufkommen des Internets gewandelt hat. Das Internet war ursprünglich so aufgebaut, dass jedermann dort unhinterfragt agieren durfte und ihm damit stillschweigend grenzenloses Vertrauen entgegengebracht wurde. Im Lauf der Zeit hat sich dieses Modell gewandelt, und Kontrollinstanzen wurden um schützenswerte Bereiche entwickelt.
Ähnlich verhielt es sich beim traditionellen Remote-Access-Modell. Ein vertrauenswürdiger Anwender verbindet sich über das Virtual Private Network (VPN) mit dem gesamten Firmennetzwerk und hat dort Zugriff auf alle Daten und Anwendungen. Diese Zugriffsrechte wurden erst durch Netzwerksegmentierung nach und nach wieder eingeschränkt, was mit hohem Administrationsaufwand einherging. Dieser Ansatz ist aufgrund seiner Komplexität weder bei der IT-Abteilung noch bei den Usern beliebt.
Umdenken durch Zero Trust Network Access (ZTNA)
Um den Sicherheitsanforderungen der heutigen Cloud-Nutzung und Mitarbeitermobilität Rechnung zu tragen, ist ein veränderter Ansatz des Identitätsmanagements nötig, der dem Zero-Trust-Modell folgt. Im Unterschied zum herkömmlichen VPN Remote Access erfolgt beim Zero Trust Network Access der Zugriff erst nach erfolgter Authentifizierung des Anwenders über ein Konzept des Identitätsmanagements. Die Sicherheits-Policies greifen bei diesem Modell unabhängig vom Standort des Anwenders und stellen lediglich die Applikationen bereit, für die ein User auch Zugriffsrechte besitzt.
Ein erstes Zero Trust-Modell hat John Kindervag von Forrester bereits 2010 entwickelt. Der Name ist zwar irreführend, da ohne aufgebautes Vertrauen keine Arbeit erledigt werden kann. Stimmig ist aber die grundsätzliche Idee, einem Anwender zunächst einmal nichts zu erlauben und niemandem zu trauen. Dieser Ansatz wurde in der Folge weiterentwickelt, denn eine einmalige Autorisierung für eine Arbeitssitzung erwies sich als nicht ausreichend sicher. Gartner entwarf aufbauend auf den ersten Zero-Trust-Ansätzen das CARTA-Modell – dass dem Ansatz des Continuous Adaptive Risk and Trust Assessment folgt. Zero Trust ist der Ausgangspunkt, wird aber erweitert um folgende Thesen:
- Sicherheit sollte auf dem Grundsatz „Zero Trust“ aufsetzen.
- Die Entscheidung über den Zugang zum Netz muss sich aus den Begleitumständen ergeben, etwa aus der Identität des Benutzers, dem eingesetzten Gerät, etc.
- Das Monitoring muss kontinuierlich erfolgen, um Risiken bewerten zu können. Der Zugriff erfolgt nach variablen Kriterien und variiert je nach Kontext.
Das bedeutet, dass Sicherheit kein einmaliger Prozess ist, der nach dem Beginn einer Arbeitssitzung endet. Das Sicherheitsmonitoring muss sich dynamisch und flexibel auf neue Grenzen und Bereiche ausdehnen können. Ein solches Konzept lässt sich durch den Einsatz von Zero-Trust-Networking Access-Lösungen, die auch als Software Defined Perimeter (SDP) bezeichnet werden, ermöglichen.
Diese Technologie ermöglicht eine kontinuierliche Risikobewertung und damit die Anpassung an den Benutzer und den sich ändernden Kontext beim Zugriff auf Services, wie er durch die heutigen Multi-Cloud Arbeitsumgebungen entsteht, da damit eine Segmentierung der Zugriffsrechte auf Applikationsebene ermöglicht wird.
„Um den Sicherheitsanforderungen der heutigen Cloud-Nutzung und Mitarbeitermobilität Rechnung zu tragen, ist ein veränderter Ansatz des Identitätsmanagements nötig, der dem Zero-Trust-Modell folgt.“
Nathan Howe, Zscaler
Durch Zero Trust Networking Access lassen sich die Limitierungen von herkömmlichen Technologien in Cloud-Umgebungen umgehen. Firewall-Appliances und virtuelle Appliances wurden zur Absicherung lokaler Netzwerke entwickelt.
Durch den Siegeszug von Public-Cloud-Services kommt das Internet als nicht kontrollierter Teil zum Unternehmensnetzwerk hinzu. Traditionelle Technologien bieten für Mitarbeiter und Partner den Zugang zum gesamten Unternehmensnetz. Sie machen aber auch Applikationen im Internet sichtbar und damit angreifbar. Durch Zero Trust Networking lässt sich diese Problematik umgehen, da nicht-autorisierte Personen aus dem Netzwerk ferngehalten werden und Applikationen nicht über das Internet sichtbar sind.
Beim ZTNA wird eine nahtlose Verbindung zu privaten Anwendungen über einen Tunnel hergestellt, ohne dass der Anwender oder Applikationen dem Internet ausgesetzt sind. Ein solches Modell bietet Sicherheit auf Basis des einzelnen Anwenders unabhängig von dessen Standort oder dem eingesetzten Gerät und nicht mehr auf Basis der IP-Adresse. Damit werden VPN Inbound Gateway Stacks und Firewall-Appliances hinfällig, denn Zero Trust Networking Access setzt Policies für den Zugriff ein, die global in der Cloud vorgehalten werden, aber lokal umsetzbar sind. Durch Ende-zu-Ende verschlüsselte Tunnels wird Mikrosegmentierung für den Anwender zu seiner Applikation möglich.
Fazit
Der klassische Perimeter existiert nicht mehr. Die Grenzen des abzusichernden Bereichs sind durch die Cloud und mobile Mitarbeiter nicht verschwunden, sondern haben sich erweitert. Durch die Verlagerung von Anwendungen in die Public Cloud hat sich die Grenze dorthin verschoben. Dementsprechend ist für die Digitalisierung ein neues Sicherheitsmodell erforderlich, das diesen Wandel nachvollzieht. Durch den ZTNA mit Benutzer- und kontextbasierten Richtlinien wird es möglich, User direkt und sicher mit ihren Anwendungen zu verbinden, ohne dass dazu Netzwerkzugriff erforderlich ist. Anstatt den Perimeter um das Netzwerk herum zu sichern, wird der User isoliert und so möglichen Sicherheits- oder Datenschutzverletzungen vorgebeugt.
Über den Autor:
Nathan Howe ist ZPA Principal Architect bei Zscaler.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder und entsprechen nicht unbedingt denen von ComputerWeekly.de.
