Zero Trust – Vertrauen neu definiert

Zero Trust ist in aller Munde und adressiert den Trend, dass sich Ressourcen zunehmend ausserhalb der unternehmenseigenen Netzwerkgrenze befinden. Das Zero-Trust-Modell geht – wie der Name schon andeutet – davon aus, dass alle Assets, Anwender und Ressourcen per se erst einmal nicht vertrauenswürdig sind. Dabei spielt es jedoch keine Rolle, ob sich diese innerhalb oder ausserhalb der Unternehmensgrenzen befinden. Sprich:

• Alle Assets (User, Geräte, Anwendungen und Dienste) müssen bekannt sein, um auf allen Ebenen eine entsprechende Authentifizierung, Autorisierung und andere Zugangsbeschränkungen einzuführen.

• Gleichzeitig müssen auch alle Daten (sowohl auf Applikations-Layer, bei der Übertragung und auch bei der Speicherung) verschlüsselt werden. Der datenzentrische Ansatz von Zero Trust hat Auswirkungen auf alle Bereiche einer Unternehmensinfrastruktur.

Auf der "Zero-Trust-Reise"

Dies macht deutlich, dass die Einführung des Zero-Trust-Modells einen Bewusstseinswandel und damit verbunden meist Aufwand mit sich bringt. Dieser Bewusstseinswandel muss aber nicht von heute auf morgen geschehen. Vielmehr gilt es, die bestehende Sicherheitsarchitektur gezielt weiterzuentwickeln, sprich die bestehende Infrastruktur zu modifizieren und bereits existierende Sicherheitskontrollen zu ergänzen.

Es empfiehlt sich daher, die "Zero-Trust-Reise" mit einem dedizierten Anwendungsfall, einer App oder einer Benutzergruppe zu beginnen. Auf diese Weise können erste Erfolge ausgewiesen, wertvolle Erfahrungen gesammelt sowie neue Architekturen oder Technologien getestet werden.

Umsetzung des Zero-Trust-Modells

Aber wo soll man mit der Reise beginnen? Hierbei kann das IDSA-Framework (benannt nach dem gleichnamigen Konsor­tium) herangezogen werden. Dieses besagt, dass die alleinige Absicherung von Endpunkten, Firewalls und Netzwerken nur wenig Schutz vor identitäts- und Credential-basierten Bedrohungen bietet. Daher sollte sich der erste Schritt einer Zero-Trust-Strategie auf folgende Punkte fokussieren:

1. Zugang gewähren, indem überprüft wird, welche Person den Zugang beantragt.

2. Den Kontext der Anfrage verstehen.

3. Das Risiko der Zugangsumgebung ermitteln.

Dieser "Never trust, always verify, enforce least privilege"-Ansatz bietet somit die grösste Sicherheit für Unternehmen. Zero Trust zwingt Unternehmen, die hohe und mehrschichtige Sicherheitsmauer zu überdenken und ein Modell zu entwickeln, das aus vielen Mikroperimetern besteht. Mit anderen Worten: Anstatt sich auf eine perimeter-basierte Verteidigung zu konzentrieren, sollten Unternehmen die Sicherheitsmassnahmen auf die kritischen Datenspeicher, Anwendungen, Systeme und Netzwerke fokussieren und so direkt die "Kronjuwelen" schützen.

Das Herzstück einer Zero-Trust-Strategie ist es, nur berechtigten Personen den Zugang zu den entsprechenden Ressourcen und mit angemessener Berechtigung zu ermöglichen. Die Identität ist somit der Akteur in den meisten Transaktionen. Diese ist aber nicht nur auf Personen beschränkt, da auch Geräte, Netzwerke und Applikationen auf wertvolle Daten zugreifen und deshalb ebenfalls als Akteur betrachtet werden sollten. Ein weiterer Aspekt, der bei der Benutzeridentifizierung berücksichtigt werden sollte, ist ihr Verhalten. Benutzer verwenden typischerweise die gleichen Ressourcen mit einem regelmässigen Aktivitätsmuster. Wenn ein anomales Verhalten identifiziert wird, so müssen zusätzliche und stärkere Authentifizierungsfaktoren veranlasst werden.

Trotz seiner Herkunft vor fast 15 Jahren ist Zero Trust heute aufgrund der verteilten und virtuellen Welt relevanter als je zuvor, denn der traditionelle Infrastruktur-Perimeter ist erodiert. Mit Zero Trust setzen Unternehmen auf eine Architektur, die den Identitätskontext nutzt und einen risikobasierten Zugriff auf kritische Ressourcen ermöglicht. Dadurch wird die Sicherheit verbessert, ohne die Benutzerfreundlichkeit zu beeinträchtigen. Ein methodisches Vorgehen bei der Umsetzung führt dazu, dass aktuelle und künftige Bedrohungen deutlich reduziert und der Aufwand minimiert werden kann.

----------

Das A und O ist eine gute Konzeption sowie Kommunikation 

Das Zero-Trust-Modell soll Firmen sicherer machen. Das Prinzip: Alle Assets und Anwender sind zunächst nicht vertrauenswürdig. Warum der Ansatz nicht nur etwas für Paranoiker ist und wie Firmen davon profitieren, sagt Markus Limacher, Head of Security Consulting bei Infoguard. Interview: Coen Kaat

In der Theorie klingt das Zero-Trust-Modell ja sehr gut. Wie praktisch ist dieser Ansatz in der Realität?

Markus Limacher: Viele unserer Kunden haben mit uns das Zero-Trust-Modell in ihre Sicherheitsarchitektur erfolgreich integriert. Wichtig ist dabei das Verständnis, dass Zero Trust eine Philosophie ist – keine reine "Technologie". Da die Nutzer nur den geringstmöglichen Zugriff auf Ressourcen haben sollen, spielt die Durchsetzung der Richtlinien sowie die Governance eine zentrale Rolle. Der grosse Vorteil des Zero-Trust-Modells liegt aber darin, dass das Modell nicht in einem Schritt umgesetzt werden muss, sondern kontinuierlich ausgebaut werden kann.

Wie wirkt sich das Modell auf die Nutzererfahrung aus?

Eine Zero-Trust-Sicherheitsarchitektur muss weder zulasten der Usability, der Experience noch der Produktivität gehen. Dies zeigt sich auch in der Praxis – in nicht wenigen Situationen wird es für den Nutzer sogar klarer. Die meisten Punkte haben nämlich einen prozessualen Einfluss. Beispiele sind die Identifizierung und Validierung der Anfrage für den Netzzugang, die Bestätigung des Antragstellers, des Zustands des Geräts oder die Protokollierung und Überwachung aller Aktivitäten auf anomales Verhalten.

Inwiefern steht Zero Trust der vom Business geforderten Agilität und Adaptabilität im Weg?

Zero Trust ist unter anderem aus Businessanforderungen entstanden – da sich verschiedene Aspekte von Cloud, Mobilität, Agilität oder IoT nur schwer mit traditionellen Sicherheitsmodellen umsetzen lassen. Zudem bedeutet Agilität nicht automatisch unkontrolliert oder ungeplant. Agile Modelle wie DevSec­Ops unterstützen üblicherweise Zero Trust.

Welche besonderen Anforderungen stellt das ­Modell an die IT-Infrastruktur?

Die Interdisziplinarität stellt bei der Einführung meist die grösste Herausforderung dar. Das A und O ist deshalb eine gute Konzeption sowie Kommunikation zwischen den innvolvierten Stellen und Abteilungen, ebenso wie eine stetige Entwicklung. Zudem benötigt man genaue Kenntnisse über die Nutzer, Anwendungen, zentrale und dezentrale Infrastrukturen sowie End­punkte und Daten. Denn nur so können entsprechende Zugriffsanfragen bearbeitet werden. Unsere Erfahrung zeigt jedoch, dass dies einfacher gesagt als getan ist. Wichtig ist, die Transparenz des Datenflusses zu verbessern. Zudem spielen Identity & Access Management, Privileged Access Management und Multi-Faktor-Authentifizierung zur eindeutigen Identifizierung von Identitäten, Geräten, Apps und zentrale Rollen. Aber auch Lösungen für Device Management, Services, Data Loss Prevention, Verschlüsselung, Web Application Firewalls, Cloud Access Secu­rity Broker, Endpoint Protection, SIEM sowie User & Entity Behavior Analytics gehören zur technischen Umsetzung.

Wie lässt sich das Zero-Trust-Modell im Cloud- und IoT-Zeitalter umsetzen?

Cloud und IoT sind prädestiniert für Zero Trust. So setzt deren Nutzung viele bewusste Entscheide und Berechtigungen voraus wie: Welche Daten sind zu schützen? Welche Art von Daten wird gespeichert? Sind die Daten verschlüsselt? Wer greift darauf zu? Welche Zugangskontrollen respektive Richtlinien sollen gelten? Und so weiter. Es darf aber nicht vergessen werden, dass Zero Trust nicht vor allfälligen Konzept-, Design- oder Implementationsfehlern von Cloud-Services oder IoT-Geräten schützt.