Jakub Jirsák - stock.adobe.com
Zero Trust zur besseren Absicherung der Cloud nutzen
Die Art der IT-Nutzung ändert sich durch die zunehmende Verbreitung der Cloud. Das hat auch Auswirkungen auf ihre Absicherung. Das Zero-Trust-Modell ist hier besonders effektiv.
IT-Sicherheitsexperten sollten ihre Vorgehensweise bei der Absicherung ihrer Netzwerke und die dabei verwendeten Zugangskontrollen für Anwendungen und andere Workloads kritisch überdenken. Das gilt ganz besonders, wenn es um die Cloud und heterogene Umgebungen geht. Viele haben sich bereits für das Zero-Trust-Modell entschieden und integrieren das Konzept in ihre Sicherheitsarchitektur. Es wurde 2010 von einem Analysten bei Forrester Research entworfen.
Zero Trust will die bislang genutzten Maßnahmen zur Sicherheit in Firmennetzen ändern, indem das Modell auf die folgenden Vorgehensweisen setzt:
- Die gesamte IT-Umgebung wird als potentiell nicht vertrauenswürdig oder sogar als bereits kompromittiert eingestuft. Das ist das Gegenteil des bisher vorherrschenden Modells, bei dem Angriffe in der Regel von außen nach innen erfolgen. Mittlerweile geht man jedoch davon aus, dass die schädlichsten Attacken nahezu fast komplett intern erfolgen. Das liegt an der fortgeschrittenen Malware und neuartigen Phishing-Methoden, mit denen Cyberkriminelle die Endnutzer im Unternehmen ins Visier genommen haben.
- Zero Trust versucht, das Verhalten einer Anwendung beim Endnutzer besser zu verstehen. Dafür werden umfangreiche Kenntnisse darüber benötigt, welche Arten von Netzwerkkommunikationen als legitim eingestufte Anwendungen übertragen dürfen – und welche nicht.
- Zero Trust versucht darüber hinaus auf Vertrauen basierende Beziehungen zwischen Systemen in allen Teilen der IT-Umgebung zu erkennen. Ein großer Teil der heutzutage in Firmennetzen anzutreffenden Verbindungen, mit denen sich Security-Teams befassen müssen, sind entweder komplett unnötig oder nicht weiter relevant für die Systeme oder Anwendungen, die das Unternehmen für seine Geschäfte tatsächlich braucht.
Neue Herausforderungen bei der Absicherung der Cloud
Die oben genannten Punkte sind alles erstrebenswerte Ziele. Leider sind viele eher traditionelle Maßnahmen nicht in der Lage, sie zu erreichen. Dazu kommt die immer stärkere Verbreitung von hoch virtualisierten und konvergenten Workloads und die in Firmen zunehmend genutzten Public-Cloud-Dienste, die in der Regel auch noch äußerst dynamisch eingesetzt werden. So werden beispielsweise viele Cloud-Workloads immer wieder zwischen internen und in der Cloud ausgelagerten Umgebungen oder auch zwischen verschiedenen Segmenten ein- und desselben Cloud-Providers verschoben.
Der strukturelle Aufbau der in den Unternehmen genutzten Workloads hat sich ebenfalls geändert. So ist es nur noch selten anzutreffen, dass eine Workload zu AWS (Amazon Web Services) oder Microsoft Azure hochgeladen wird und dort für einen längeren Zeitraum mehr oder weniger unverändert bleibt. Nicht wenige sprechen sich deswegen für einen konsequenten Umstieg auf die noch vergleichsweise junge Zero-Trust-Philosophie und die damit einhergehenden Zugriffskontrollen aus. Nur damit lassen sich die aktuellen hoch dynamischen Cloud-Umgebungen auch in Zukunft schützen.
Vorteile des Zero-Trust-Modells in Cloud-Umgebungen
Was ist Zero Trust überhaupt? Zero Trust ist ein Modell, bei dem alle Assets in einer IT-Umgebung zunächst als standardmäßig nicht vertrauenswürdig eingestuft werden. Das gilt so lange bis die Datenverbindungen und das Verhalten eines Dienstes oder einer Anwendung validiert und freigegeben wurden.
Ursprünglich wurde das Konzept nur zum Segmentieren und Sichern von Netzwerken über verschiedene Standorte und Hosting-Varianten eingesetzt. Seitdem wurde es jedoch ständig weiterentwickelt.
So können damit nun auch individuelle Server und Workloads geschützt werden. Selbst einzelne Komponenten in Anwendungen, ausführbare Dateien und das Verhalten von miteinander in einer Anwendungsarchitektur kommunizierenden Systemen lassen sich damit nun prüfen.
Auf den klassischen Perimeter wird dabei aber nicht verzichtet. Stattdessen verschiebt das Modell den Perimeter mit Hilfe einer Microsegmentierung so nahe wie möglich an privilegierte Anwendungen und andere geschützte Bereiche. Das gilt auch für die Cloud.
Richtlinien und Mikrosegmentierung für den Einstieg in Zero Trust
Um in ihren Cloud-Umgebungen das Zero-Trust-Modell einzuführen, sollten sich die verantwortlichen Security- und Admin-Teams auf zwei Konzepte konzentrieren. Erstens muss die Absicherung direkt in die einzelnen Workloads selbst integriert werden. So sind die Maßnahmen auch bei der Erstellung einer neuen Instanz bereits präsent.
Außerdem können die Zugriffskontrollen damit selbst dann aufrecht erhalten werden, wenn die Anwendung oder die Cloud-Umgebung aktualisiert oder anderweitig verändert wird. Durch diese zusätzliche Ebene, in der ebenfalls für die Durchsetzung der Richtlinien gesorgt wird, bleiben die Sicherheitsmaßnahmen jederzeit mit den Anwendungen verbunden.
Unternehmen fällt es dadurch leichter, ihre Daten selbst dann zu sichern, wenn eine Instanz an einen anderen Ort verschoben wird. Man könnte es auch so formulieren, dass sich Richtlinien und Zugriffskontrollen damit wieder zu den eigentlichen Instanzen zurückbewegen lassen. Das Netzwerk ist also nicht mehr alleine dafür verantwortlich. Viele moderne Public- und Hybrid-Cloud-Architekturen passen jedoch nur mangelhaft mit den traditionell in Netzwerken genutzten Segmentierungsmodellen zusammen.
Zweitens muss das tatsächliche Verhalten der Anwendungen und Dienste in jedem einzelnen System erheblich besser als bisher verstanden werden. Die Beziehungen zwischen den diversen Systemen und Anwendungen müssen weit stärker als früher überprüft werden.
Nur so lässt sich das äußerst restriktive Zero-Trust-Modell umsetzen, ohne dass es dabei zu negativen Auswirkungen auf die Verbindungen im Netzwerk kommt. Dynamische Assets wie virtuelle Instanzen und Container sind nur schwer hinter starren Grenzen im Netzwerk unterzubringen. Unternehmen können stattdessen eine auf Zero-Trust-basierende Strategie der Microsegmentierung verwenden, die nur noch eine Kommunikation zwischen freigegebenen Systemen und Verbindungen erlaubt und zwar unabhängig davon, wo diese in der IT-Umgebung sich gerade befinden.
Das erfordert jedoch in nahezu jedem Fall ein koordiniertes Vorgehen mit strengen Richtlinien sowohl für das Netzwerk als auch das Identitätsmanagement, um erlaubte Verbindungen und Verhaltensweisen festzulegen.
Zero Trust und Mikrosegmentierung hindern Angreifer daran, sich mit Hilfe von nicht zugelassenen Verbindungen „seitwärts“ von einer kompromittierten Anwendung oder einem infizierten System aus in der IT-Umgebung zu bewegen.
Dafür benötigt Zero Trust sauber aufgesetzte Richtlinien, die alle erlaubten Beziehungen zwischen Systemen sowie Anwendungen und Kommunikationen beschreiben. Jeder Versuch einer Verbindungsaufnahme muss geprüft und mit diesen Richtlinien verglichen werden. Dabei lässt sich feststellen, ob sie erlaubt oder blockiert werden soll. Dieser Prozess findet auch nicht nur einmalig, sondern kontinuierlich statt.
Effektive Zero-Trust-Kontrollen verfügen meist über zusätzliche Fähigkeiten aus dem Bereich Machine Learning, um neue Verhaltensweisen besser analysieren zu können. Die dabei verwendeten Technologien können sich im Laufe der Zeit an die Veränderungen bei den im Unternehmen genutzten Workloads und Anwendungsumgebungen anpassen.
Best Practices für den Einstieg in das Zero-Trust-Modell
Die folgenden Vorgehensweisen bieten sich für die Implementierung von Zero-Trust-Tools und -Kontrollen in einem Unternehmen an:
Starten Sie mit einer passiven Inventarisierung Ihre Anwendungen. Dieses Ziel lässt sich meist mit einem Monitoring des Netzwerkverkehrs erreichen. Nehmen Sie sich dafür durchaus mehrere Wochen Zeit, um alle bisher genutzten Verbindungen zu registrieren und mit ihren Anwendern zu koordinieren. Nur diese können beschreiben, wie normale Nutzungsmuster und Kommunikationen zwischen den verwendeten Systemen aussehen sollen. Richtlinien, um diese Verbindungen zu gewährleisten, sollten erst später eingeführt werden, nachdem sichergestellt werden konnte, dass alle erwünschten Beziehungen und Verhaltensweisen der Anwendungen bekannt sind.
Entwerfen Sie Ihre Zero-Trust-Architektur auf Basis der Datenströme im Firmennetz und dem Umgang der Nutzer und Anwendungen mit sensiblen Informationen. Diese Daten benötigen Sie bei der Entscheidung, wie das Netzwerk im Einzelnen segmentiert werden soll. Außerdem unterstützen diese Daten die Security-Teams dabei, die benötigten Schutz- und Zugangskontrollen in der IT-Umgebung gezielt zu platzieren. An den Grenzen der verschiedenen Netzwerksegmente können entweder rein virtuelle Mechanismen oder auch physische Geräte genutzt werden.
Fortschrittlichere Zero-Trust-Werkzeuge nutzen auch die verschiedenen Asset-Identitäten, die mit Ihrer Anwendungsarchitektur zusammenhängen. Sie sind etwa auf die verschiedenen Fachabteilungen, Gruppen im Unternehmen oder anderen Vertreter bestimmter Systemarten abgestimmt. Nehmen Sie sich genug die Zeit, um die vorhandenen Anwendungen und Systeme zu kategorisieren. Dann können Sie erwünschte Verbindungen und Verhaltensweisen leichter erfassen und zuordnen.
IT-Sicherheitsexperten stehen eine Reihe von für diese Zwecke einsetzbaren Cloud-basierten Tools wie Microsoft Azure Active Directory Conditional Access, Microsoft Intune und Microsoft Cloud App Security zur Verfügung. Darüber hinaus bieten auch einige Drittanbieter mittlerweile Produkte und Dienste an, mit denen sich Workloads und Cloud-Anwendungen voneinander isolieren lassen. Zu ihnen gehören Okta, Cisco Systems, Symantec und Illumio. Dabei kommen Netzwerk-, Agenten-basierte und weitere Zugangskontrollen zum Einsatz.
