Was ist Zero-Trust-Sicherheit?

Zero Trust ist ein Sicherheitsansatz, der sich auf die Durchsetzung der Authentifizierung, Autorisierung und kontinuierlichen Validierung aller Nutzer konzentriert, die auf das Netzwerk einer Organisation zugreifen. Es behandelt jeden Nutzer, der versucht, eine Verbindung zum Netzwerk einer Organisation herzustellen, als nicht vertrauenswürdig.

Zero Trust stellt eine Abkehr von traditionellen Netzwerksicherheitsmodellen dar, bei denen Nutzern der Zugriff auf Ressourcen mit minimaler Überprüfung gewährt wird. Obwohl zusätzliche Schritte im Verifizierungsprozess manchmal umständlich und zeitaufwändig sein können, können sie auch Ihre allgemeine Sicherheitslage erheblich verbessern. 

Letztendlich geht ein Zero-Trust-Sicherheitsframework über ein Modewort in der Technologiebranche hinaus. Es bietet die Möglichkeit, effektivere Sicherheitspraktiken zu entwickeln, die sich auf Bedrohungen von beiden Seiten der Firewall konzentrieren.

 Wie funktioniert die Zero-Trust-Sicherheit? 

Zero Trust basiert auf der Annahme, dass jeder Nutzer oder jedes Gerät, das versucht, Zugriff auf das System zu erhalten, eine Bedrohung darstellt, bis er authentifiziert und autorisiert ist. Dies erfordert die Durchsetzung strenger Sicherheitsrichtlinien in Bezug auf den Nutzerzugriff, die Datenübertragung, die Nutzergeräte und die Datenspeicherung.

Zu den Technologien, die Zero Trust nutzt, gehören Identitäts- und Zugriffsmanagement (IAM), Verschlüsselung, Multifaktor-Authentifizierung, Dateisystemberechtigungen, Orchestrierung und Scoring.

Zero Trust beruht auch darauf, Benutzern nur Zugriff auf das zu gewähren, was sie benötigen, um spezifische zugewiesene Aufgaben zu erfüllen, und zusätzliche Überprüfungen für sensible Aufgaben hinzuzufügen. Zum Beispiel kann ein Mitarbeiter, der versucht, auf sensible Daten wie Gehaltsinformationen oder Kreditkartennummern zuzugreifen, aufgefordert werden, sein Passwort erneut einzugeben, um auf diese Informationen zuzugreifen.

Zero Trust fördert die Segmentierung der möglichen Angriffsfläche basierend auf den Rollen, Geräten und dem Standort des Nutzers, was eine detailliertere Zugriffskontrolle, Überwachung und Durchsetzung ermöglicht. Dies kann Blindstellen im Sicherheitsbereich beseitigen und die Einhaltung von Best Practices für die Sicherheit durch die Mitarbeiter erhöhen, wenn es gut ausgeführt wird.

Der Zero-Trust-Ansatz verfolgt im Wesentlichen drei Ziele:

• Begrenzung des Explosionsradius: Dies minimiert den möglichen Schaden durch eine erfolgreiche Sicherheitsverletzung.

• Durchführung einer kontinuierlichen Validierung: Dies bedeutet, dass jede Anforderung nach Ressourcen überprüft wird, bevor sie bearbeitet wird.

• Automatisierung der Kontexterfassung und Antwort: Dabei geht es darum, ein möglichst genaues Bild der potenziellen Angriffsfläche zu erhalten. Dies kann dabei helfen, im Falle einer erfolgreichen Sicherheitsverletzung eine wirksame Antwort zu formulieren.

Die Komponenten der Zero-Trust-Architektur

Die Zero-Trust-Architektur basiert auf dem Verhalten von Nutzern und Geräten, Daten und Kontext. Die Architektur zielt darauf ab, ein konsistentes Modell zur Durchsetzung von Richtlinien über alle verbundenen Umgebungen hinweg zu schaffen. 

Ein Zero-Trust-Framework hat drei Hauptkomponenten: eine Richtlinien-Engine (PE), einen Richtlinien-Administrator (PA) und einen Richtlinien-Durchsetzungspunkt (PEP).

• Policy-Engine

Die Richtlinien-Engine (PE) ist verantwortlich für die Entscheidung, wem Berechtigungen gewährt werden und welche Art von Berechtigung gewährt wird. Sie vergleicht die Anforderung mit der Zugriffsrichtlinie und entscheidet, ob der Zugriff gewährt oder verweigert wird.

• Richtlinienadministrator (PA)

Die Aufgabe des PA besteht darin, zu bestimmen, wann die Kommunikation zwischen Ressource und Subjekt hergestellt oder beendet werden soll. Er kommuniziert die Entscheidung der Richtlinien-Engine.

• Richtlinien-Durchsetzungspunkt (PEP)

Der PEP aktiviert, überwacht und beendet die Kommunikation zwischen der Ressource und dem Subjekt. Die Anforderung eines Subjekts kann die Unternehmensressource nur über den Richtlinien-Durchsetzungspunkt erreichen. 

Eine der häufigsten Methoden zur Implementierung eines Zero Trust-Sicherheitsrahmens besteht darin, das Identitäts- und Zugriffsmanagement (IAM) zu nutzen, um den Zugriff auf Ihre Daten und Systeme zu steuern. Dies ermöglicht die Erstellung von Richtlinien, die die Zugriffsebenen eines Nutzers basierend auf seiner Identität steuern.

In einer Zero-Trust-Architektur wird eine solche Zugriffsrichtlinie von der PE interpretiert und vom PA an den PEP übermittelt. Der PEP kann erst nach Erhalt der Anweisungen des PA eine Verbindung zwischen einem Nutzer und einem System herstellen.

Das Schlüsselelement einer Zero-Trust-Architektur ist ihre Fähigkeit, Daten und Anwendungen zu isolieren. Beispielsweise sollten die Berechtigungen eines Nutzers ihm nur Zugriff auf die Daten gewähren, die er zur Ausführung seiner Aufgabe benötigt, und nicht mehr.

Zero Trust im Vergleich zu herkömmlicher Netzwerksicherheit

Traditionelle Netzwerksicherheitspraktiken konzentrieren sich auf die Kontrolle der Nutzer. Dies setzt voraus, dass Sie genau wissen, wer Zugang zu welchen Ressourcen benötigt und wie diese genutzt werden dürfen. Das wachsende Problem bei diesem Framework besteht jedoch darin, dass es die Nutzer nicht kontinuierlich überprüft. Dadurch sind Systeme Bedrohungen wie Cross-Site Request Forgery (CSRF) ausgesetzt, die gefälschte Anforderungen von legitimen Nutzern verwenden.

Während das traditionelle System in der Vergangenheit für die meisten IT- und Sicherheitsteams effektiv war, bietet es in der heutigen dynamischen Arbeitsumgebung nicht ausreichende Sicherheit. Zero Trust löst dieses Problem, indem es eine kontinuierliche Anforderungsvalidierung hinzufügt, selbst wenn ein Nutzer bereits authentifiziert ist. Dies erfolgt durch die Verwendung von CSRF-Token und Referrer-Headern.

Heutige Nutzer sind oft nicht auf einen einzigen Desktop angewiesen. Sie verfügen über mehrere Geräte, die sowohl vor Ort als auch aus der Ferne auf das System eines Unternehmens zugreifen können. Dadurch wird die mögliche Angriffsfläche erweitert, was böswilligen Hackern mehr Angriffsmöglichkeiten bietet.

Deshalb verwendet Zero Trust Sicherheitsfunktionen wie Multifaktor-Authentifizierung, Dateisystemberechtigungen und Verschlüsselung. Jeder Aspekt der digitalen Präsenz eines Unternehmens wird isoliert und kontinuierlich auf Risiken bewertet, da jeder ein potenzieller Gegner sein kann. Durch die Nutzung einer Zero-Trust-Architektur zur Verbesserung eines herkömmlichen Netzwerksicherheits-Frameworks können Sie Risiken auf beiden Seiten des Netzwerks mindern.

Zero Trust Anwendungsfälle

Bevor Sie Zero Trust einführen, müssen Sie die verschiedenen Bereiche verstehen, von denen ein Angriff ausgehen kann. Auf diese Weise können Sie Ihr Zero-Trust-Modell anpassen, um Ihre Ressourcen zu schützen und den potenziellen Schaden im Falle einer Sicherheitsverletzung zu begrenzen.

Dieser Abschnitt untersucht einige Anwendungsfälle, die erheblich von Zero Trust profitieren können.

Privileged Access Management (PAM)

Das Privileged Access Management (PAM) überwacht privilegierte Konten und Aktivitäten innerhalb der IT-Systeme Ihres Unternehmens. Sie können den möglichen Schaden durch böswillige Insider oder externe Bedrohungen verringern, indem Sie solche Konten löschen, die Hackern die Möglichkeit geben, die vollständige Kontrolle über das System zu übernehmen und die Systemadministratoren der Organisation auszusperren.

Damit Ihr Unternehmen in diesem Bereich die Richtlinienkonformität und Sicherheit gewährleisten kann, ist es wichtig, alle unnötigen Nutzerberechtigungen zu reduzieren. Dies wird dazu beitragen, Daten-Sicherheitsverletzungen durch Missbrauch von Berechtigungen zu verhindern und den Schaden durch eine mögliche erfolgreiche Sicherheitsverletzung zu minimieren.

Externe Lieferanten und Zugriff durch Dritte 

Die gemeinsame Nutzung der Infrastruktur mit externen Parteien, wie externen Entwicklern und Auftragnehmern, bringt eine Reihe einzigartiger Herausforderungen mit sich, die mit herkömmlichen Sicherheitsmaßnahmen nicht gelöst werden können. 

Es ist schwierig, die Kontrolle darüber zu behalten, wie Partner ihre Zugangsdaten schützen. Wenn ein Hacker Zugriff auf gültige Anmeldeinformationen Dritter erhält, kann er problemlos auf vertrauliche Unternehmensdaten wie Bankkontodaten zugreifen.

Innerhalb eines Zero-Trust-Frameworks erfordert die Kontrolle des Zugriffs durch vertrauenswürdige Lieferanten oder Dritte eine Multifaktor-Authentifizierung und eine individuelle Autorisierung für jede Anforderung. Dies kann unter anderem durch CSRF-Token und Sitzungs-Cookies erreicht werden. Es macht sie dafür verantwortlich, Ihre Ressourcen vor unbefugten Nutzern oder bösartiger Software zu schützen. Dies hilft Ihnen auch, Ihre Organisation sowohl vor internen als auch vor externen Bedrohungen zu schützen.

Fernzugriffskontrolle

Die heutige Belegschaft arbeitet überwiegend hybrid (sowohl im Büro als auch im Homeoffice). Während eine remote-freundliche Lösung Unternehmen Vorteile durch Kosteneinsparungen ermöglichen kann, ist die Durchsetzung strenger Sicherheitsrichtlinien für den Remote-Systemzugriff von größter Bedeutung. Ein starker Richtliniendurchsetzer wie Zero Trust kann sicherstellen, dass das Netzwerk Ihres Unternehmens sicher bleibt, während Ihren Mitarbeitern ausreichend Zugang gewährt wird.

Zum Beispiel können Mitarbeiter ihre Geräte verlieren, während sie im Netzwerk der Organisation eingeloggt sind. Dies kann zur Offenlegung sensibler Daten führen. Eine Zero-Trust-Richtlinie kann es einem Mitarbeiter ermöglichen, sich von einem anderen Gerät aus vom System des Unternehmens abzumelden. Das Prinzip der geringstmöglichen Berechtigung und die kontinuierliche Validierung können auch den Schaden minimieren, den ein kompromittiertes Gerät anrichten kann.

Fazit

• Eine Zero-Trust-Praxis kann unbefugten Zugriff auf das gesamte System verhindern.

• Zero-Trust-Sicherheit verstärkt die Authentifizierung und Autorisierung, um die Systemzugriffskontrolle besser zu verwalten.

• Eine der häufigsten Methoden zur Implementierung eines Zero Trust-Sicherheitsrahmens besteht darin, Software für das Identitäts- und Zugriffsmanagement (IAM) zu nutzen. 

• Traditionelle Sicherheits-Frameworks konzentrieren sich darauf, Zugriff zu gewähren, ohne das Vertrauen in das Gerät oder den Nutzer zu hinterfragen.

• Im Rahmen eines Zero-Trust-Modells werden Sicherheitspraktiken einen Schritt weitergeführt, indem der Fokus auf Vertrauen anstelle von Kontrolle gelegt wird, was oft PAM, den Zugriff von Drittanbietern und Lieferanten sowie die Kontrolle des Zugriffs von entfernten Nutzern umfasst.

Ihre Vorteile mit Fastly

Fastly ermöglicht Unternehmen die Implementierung von Zero-Trust-Prinzipien mit seinen Edge Cloud Sicherheitslösungen, einschließlich Next-Gen WAF, Bot-Abwehr und identitätsbewussten Zugriffskontrollen. Durch die Sicherung des Datenverkehrs auf der Edge und die Durchsetzung strenger Authentifizierungs- und Autorisierungsrichtlinien hilft Fastly Organisationen, Bedrohungen in Echtzeit zu erkennen, zu verhindern und darauf zu reagieren – ohne die Performance zu beeinträchtigen.