Was ist Zero Trust?

Zero Trust (ZT) ist ein Architekturkonzept und -ziel für die Netzwerksicherheit, bei dem jede Transaktion, Entität und Identität als nicht vertrauenswürdig gilt, bis das Vertrauen erworben und über die Zeit gewahrt wird. ZT-Strategien stehen im Gegensatz zur althergebrachten Annahme, dass ein Netzwerk sicher ist, bis Sicherheitssysteme einen Verstoß feststellen.

Sicherheit über die Edge hinaus

Seit rund zehn Jahren setzen Unternehmen immer stärker auf Digitalisierung. Sie nutzen mittlerweile die Cloud-Architektur, bieten zunehmend Telearbeit an und haben Lösungen nach dem As-a-Service-Konzept neben anderen transformativen Veränderungen eingeführt. Die Sicherheitsteams haben die Netzwerksicherheit entsprechend skaliert und das Netzwerk zur Verstärkung der Sicherheitsvorkehrungen oft in kleinere Zonen segmentiert.

Diese Strategie hat leider zusätzliche Möglichkeiten für Angreifer geschaffen. Wenn Angreifer auf die Anmeldedaten eines Anwenders zugreifen, können sie sich lateral durch das Netzwerk bewegen, dabei Ransomware verbreiten und weitere Berechtigungen erhalten.

Die mehrstufige Authentifizierung (MFA) hat die Stärke der Anmeldedaten erhöht, jedoch nur eine einzige zusätzliche Authentifizierungsebene eingerichtet. Sobald Hacker im System sind, haben sie ununterbrochenen Zugriff, bis sie sich abmelden oder bis das System sie abmeldet.

Neue Arbeitsweisen, u. a. BYOD (Bring-Your-Own-Device), Telearbeit und Cloud-Architektur brachten neue Schwachstellen mit sich. Doch selbst neue, stärkere Cybersicherheitsvorkehrungen mit erhöhter Transparenz enden an der Edge des Unternehmensnetzwerks und sind danach blind.

Zero-Trust-Sicherheitsmodell

Das ZT-Konzept für die Cybersicherheit stellt das alte Paradigma auf den Kopf. Die Cybersicherheit wird nicht mehr nach Netzwerksegmenten oder innerhalb der Grenzen eines Unternehmensnetzwerks definiert. Die Vertrauensstellung wird nicht danach gewährt, ob eine Verbindung oder ein Asset im Besitz eines Unternehmens oder einer Einzelperson steht. Sie wird auch nicht nach dem physischen Standort oder dem Netzwerkstandort (Internet oder lokales Netzwerk) gewährt.

Stattdessen konzentriert ZT sich einzeln auf Ressourcen, Anwender und Assets, unabhängig davon, in wessen Besitz sie stehen und wo sie sich befinden. Die Authentifizierung wird individuell für eine Unternehmensressource durchgeführt, bevor einem Anwender der Zugriff erteilt wird.

Oberstes Ziel ist die Verweigerung des Vertrauens, also „Zero Trust“, gegenüber jedem Netzwerkelement, bis es verifiziert wurde.

Zero-Trust-Standards

Die kurze Antwort hinsichtlich Zero-Trust-Zertifizierung und -Standards: Es gibt sie nicht. Das National Institute of Standards and Technology (NIST), das 1901 gegründet wurde und jetzt dem US-amerikanischen Handelsministerium angehört, bietet Informationen zu Technologien, Messwerten und Standards für die USA, mit dem Ziel, die technologische Wettbewerbsfähigkeit zu erhöhen.

Das NIST legt Standards für Kommunikations-, Technologie- und Cybersicherheitspraktiken fest. Die Gruppe hat noch keine Standards oder Zertifizierungen für Zero Trust aufgestellt, jedoch eine Special Publication (SP) vorgelegt, in der die Ziele der ZT-Architektur erörtert werden.

Im Abstract dieses Artikels wird Zero Trust wie folgt beschrieben: „‚Zero Trust‘ ist die Bezeichnung für eine sich entwickelnde Reihe von Paradigmen zur Cybersicherheit. Danach verlagern sich die Verteidigungsmaßnahmen von statischen, netzwerkbasierten Perimetern hin zu einem Fokus auf Anwendern, Assets und Ressourcen.“ Im Dokument wird das Zero-Trust-Konzept ausführlich erläutert.

Verwirrung um Zero Trust

In der Welt der Cybersicherheit herrscht einige Verwirrung um die Definition von Zero Trust. Einige Anbieter nutzen die Verwirrung, um Produkte zu verkaufen, die als „ZT-Produkte“ angepriesen werden. Bei unwissenden Kunden kann dies den falschen Eindruck erwecken, dass ZT produktbasiert ist.

ZT dreht sich nicht um bestimmte Produkte, obwohl neue und ältere Produkte als Bausteine für die ZT-Architektur fungieren können. ZT ist ein revolutionäres Konzept für die Cybersicherheit. Es ist fest in den Gegebenheiten verankert, wie die Verbindung und die Zusammenarbeit von Organisationen und Mitarbeiter heutzutage ablaufen.

Auf dem Weg zu Zero Trust

Wenn ein Unternehmen seine Infrastruktur von Grund auf errichtet, ist es möglich (und vielleicht einfacher), wichtige Workflows und Komponenten zu ermitteln und eine reine ZT-Architektur aufzubauen. Ändern sich das Geschäft und die Infrastruktur, können die ZT-Grundsätze auch langfristig befolgt werden.

In der Praxis sind die meisten ZT-Implementierungen ein längerer Prozess. Die Organisationen werden im Lauf der Zeit ein gewisses Gleichgewicht zwischen ZT und perimeterbasierter Sicherheit beibehalten und Modernisierungsmaßnahmen allmählich umsetzen.

Der vollständige Aufbau einer ZT-Architektur dauert wahrscheinlich mehrere Jahre und umfasst eine Reihe einzelner Projekte, bevor Zero Trust als endgültiges Ziel erreicht wird. Es gibt jedoch kein endgültiges Ankommen bei ZT. Es geht darum, die ZT-Strategie im Zeitverlauf weiter zu implementieren und umzusetzen und dabei künftige Veränderungen im Unternehmen und in der Infrastruktur zu berücksichtigen.

Die Ausarbeitung eines Plans, bevor Maßnahmen ergriffen werden, kann den Prozess in kleinere Teile aufgliedern und die Erfolge im Lauf der Zeit verdeutlichen. Wenn Sie zu Beginn einen genauen Katalog der Subjekte, Geschäftsprozesse, Datenverkehrsflüsse und Abhängigkeitszuordnungen aufstellen, bereiten Sie sich darauf vor, gezielt bestimmte Subjekte, Assets und Geschäftsprozesse anzugehen.

Zero-Trust-Grundsätze

Die ZT-Architektur ist ein Ziel und ein Konzept, dessen Umsetzung geraume Zeit und Sorgfalt erfordert. Dies ist keine einmalige Installation, die Sie quasi im Vorübergehen bereitstellen, bevor Sie sich dem nächsten Punkt widmen. Es ist eine Philosophie der Cybersicherheit, die von vier Grundsätzen getragen wird. Ein Grundsatz beruht möglicherweise auf einer bestimmten Sicherheitstechnik wie MFA für die Identitätskontrolle, doch die verwendete Technik kann sich im Lauf der Zeit ändern.

Dem ZT-Konzept liegen drei Grundfunktionen zugrunde.

  • Status – bei der perimeterbasierten Sicherheit vor ZT lieferte die Identitätsüberprüfung als Ergebnis nur selten entweder „schwarz“ und „weiß“, entweder „sicher“ oder „unsicher“. Im ZT-Konzept werden Identitäten, Geräte, Anwendungen und Datennutzung auf mögliche und akute Risiken evaluiert. Der Status ist qualitativ und berücksichtigt das Gesamtbild.
  • Kontinuierliche Bewertung – im ZT-Konzept werden alle Transaktionen laufend evaluiert. Im früheren NAC-Konzept (Netzwerkzugangskontrolle) war dieses Merkmal schon ansatzweise eingebunden. NAC war jedoch ein einzelnes Nadelöhr, prüfte weniger Kriterien und gewährte dann schon Vertrauen. In der ZT-Architektur gilt jeder Zugriffsversuch als Nadelöhr.
  • Angenommener Kompromiss – Teams im Security Operations Center (SOC) arbeiten oft nach dem Leitsatz „erst überprüfen, dann vertrauen“. Es gilt also die Annahme, dass alles in Ordnung ist, bis ein Sicherheitssystem Alarm schlägt. ZT geht von der Annahme aus, dass nichts sicher ist und dass kein Vorgang fortgesetzt werden darf, bis alles in Ordnung ist.

Der Zero-Trust-Weg

ZT muss stufenweise implementiert und kontinuierlich umgesetzt werden. Dies ist weder ein kompletter Austausch noch eine einmalige Bereitstellung, die dann für die gesamte Nutzungsdauer des Netzwerks bestehen bleibt. Es ist ein mehrjähriger, inkrementeller Prozess mit mehreren Projekten, der mehrere Aspekte des Netzwerks einbezieht und laufend bewertet werden muss, wenn sich die Arbeitsgewohnheiten, die Technologien und die Bedrohungen verändern.

Wie Ihre Organisation das ZT-Konzept implementiert, hängt von Ihren Arbeitsabläufen ab. Ihre wertvollsten Assets sind ein guter Ausgangspunkt.

Der ZT-Weg umfasst vier Komponenten:

  • Identitäts- und Zugriffsverwaltung (IAM) – Anwender wünschen Single Sign-on, Administratoren dagegen eine konsolidierte Anwenderverwaltung. Damit ein IAM-Projekt erfolgreich ist, muss es die Sicherheitsanforderungen der Organisation mit der Verfügbarkeit, der Nutzbarkeit und der Kosteneffizienz ins Gleichgewicht bringen. Als Erstes ist festzulegen, welche Anwender den Zugriff auf welche Ressourcen benötigen; bei besonders empfindlichen Ressourcen muss zusätzlich die MFA eingerichtet werden.
  • Privilegierte Zugriffsverwaltung (PAM) – Für die empfindlichsten Ressourcen bietet ein PAM-Tool wie CyberArk, BeyondTrust oder Thycotic eine zusätzliche Sicherheitsstufe. Damit wird die Sicherheit erhöht und die Transparenz gewährleistet.
  • Passwörter – Die Passwortphilosophie verändert sich im Lauf der Zeit. Das NIST hat vor Kurzem neue Leitfäden herausgegeben. Auf der Grundlage ihrer Analysen empfiehlt diese Stelle, lange Passwörter aus vertrauten Wörtern zu einzusetzen, statt eine zufällige Aneinanderreihung von Zeichen zu verwenden, die sich nur schwer merken lässt. Böswillige Anwender nutzen kompromittierte Passwörter außerdem schnell; das NIST ist der Ansicht, dass die Änderung des Passworts alle 90 Tage das Risiko nicht senkt, im Gegensatz zur MFA.
  • Kontinuierliche ÜberwachungDefinieren Sie die Richtlinien Ihrer Organisation für den Zugriff, wahlweise nach Zeit, neuen Ressourcenanfragen, Ressourcenmodifikationen oder Anomalien. Authentifizierung und Autorisierung müssen streng umgesetzt werden, bevor der Zugriff gewährt wird.

Weiterführende Forschung

White Paper zu Zero Trust