Zero Trust als neues IT Security Konzept erklärt

Vertrauen als Bindeglied der Gesellschaft

Vertrauen ist das Bindemittel in einer Gesellschaft. Ohne Vertrauen funktioniert keine Wirtschaft. Jede Transaktion basiert auf dem Vertrauen, dass der andere Wirtschaftsteilnehmer seinen Teil der Vereinbarung einhält.

Wir haben dabei im Laufe der Jahrhunderte einen Wandel erlebt, der sich von lokalem Vertrauen über institutionelle Einrichtungen hin zu Plattformen entwickelt hat. Lokales Vertrauen zeichnete sich dadurch aus, dass man die Personen mit denen man Geschäfte abwickelte persönlich kannte. Der örtliche Gemüsehändler hatte sich über viele Jahre eine gute Reputation aufgebaut, sodass die Leute im Dorf gerne bei ihm ihre Tomaten und Kartoffeln erwarben. Hätte der Gemüsehändler sich einmal unredlich verhalten und zum Beispiel Tomaten mit geringerer Qualität oder plötzlich kleinere Kartoffeln zum selben Preis verkauft, so hätte sich das im Ort schnell herum gesprochen und die Menschen hätten schnell bei der Konkurrenz eingekauft.

Eine Jahre später beginnen die Menschen ihr Vertrauen bevorzugt denjenigen entgegenzubringen, die durch Regulierung und formelle Richtlinien Anerkennung gefunden hatten. Mehrfach von außen geprüfte Institutionen schienen vertrauenswürdig und integer. Aus diesem Grund genossen Banken, Universitäten und öffentliche Einrichtungen ein großes Maß an Vertrauen in der Gesellschaft.

Vor über einem Jahrzehnt bewegte sich das Vertrauen der Menschen abermals in eine andere Richtung, als immer öfter Skandale innerhalb öffentlicher Einrichtungen bekannt wurden oder die Welt durch die Bankenkrise erschüttert wurde. Von diesem Zeitpunkt an rückten Plattformokönomien vermehrt in den Fokus der Menschen und die Meinungen der breiten Masse flossen in die eigenen Entscheidungen mit ein. Rezensionen wurden mehr Vertrauen geschenkt, als manchner Einschätzung einer institutionellen Organisation.

Und heute begegnet uns wieder ein komplett neues Konzept – „Zero Trust“. Den Begriff  „Zero Trust“ finden wir im Gebiet der Netzwerkarchitektur. Gut, ganz so neu ist das Konzept nicht, denn es fand bereits vor einigen Jahren – im Jahr 1994 –  schon einmal  in einer Doktorarbeit von Stephen Pau Marsh Erwähnung, genoss damals jedoch nicht allzu viel Aufmerksamkeit.

Im Jahr 2010 setzten sich die Analysten von Forrester „Zero Trust“ erneut mit dem Thema auseinander. Das Konzept nimmt Abstand von der Idee des Trusted Network innerhalb eines definierten Unternehmensperimeters. Stattdessen setzt es direkt bei den Daten an. Die Analysten von Forrester stellten im Jahr 2018 mit Zero Trust eXtended (ZTX) ein weiterentwickeltes Modell vor, anhand dessen IT-Verantwortliche ihre Sicherheitsarchitekturen im Sinne der Zero Trust Idee aufbauen können.

Laut des Tech Trend Reports der Unternehmensberatung McKinsey verdient das Thema „trust architecture“ in den kommenden Jahren große Aufmerksamkeit. Zwar ist das Trend im Vergleich zu Themen wie „applied AI“ und „distributed infrastructure“ verhältnismäßig gering, in die Liste der Top Trends hat er es dennoch geschafft. Und das nicht ohne Grund. Parallel zu der Weiterentwicklung der Sicherheitsstandards der Unternehmen entwickeln sich auch die möglichen Angriffsfelder weiter. Cyberkriminelle finden immer wieder neue Wege in die Netzwerke einzudringen und großen Schaden anzurichten. Oft kommen diese Angriffe und Bedrohungen durch Innentäter zustande.

Was verbirgt sich also hinter dem „Zero Trust“ Konzept und worauf muss man achten?

Definition: Zero Trust als Sicherheits-Konzept

Das Zero Trust Konzept fußt auf zwei maßgeblichen Grundsteinen, um die Sicherheit zu erhöhen:

• sensible Daten identifizieren und ihre Verbreitung abbilden
• wer greift wann wo auf welche Daten zu und wozu werden sie verwendet

Dieser Ansatz basiert auf der Idee, dass Unternehmen ihren Kunden, Mitarbeitern und auch Anwendungen weder innerhalb noch außerhalb der Unternehmensgrenzen vertrauen sollten. Jeder der versucht, auf Unternehmensdaten zuzugreifen, muss überprüft und kontrolliert werden. Es handelt sich um einen datenzentrierten Ansatz mit fortwährendem Monitoring. Jede Handlung wird überwacht und notfalls gestoppt. 2009 definierte das Unternehmen Google seine eigene Zero-Trust-Variante mit einem Kontext-basiertem Zugangskonzept. Zunächst setzte der Konzern das Konzept nur intern ein, begann 2019 jedoch damit, die Technologie auch in seine Services für seine Kunden zu implementieren und verwendete das Modell von da an auch in G-Suite Produkten.

Auch das Marktforschungsunternehmen Gartner  folgte 2017 auf den Zero-Trust-Trend und entwickelte CARTA. Die Abkürzung steht für „Continuous Adaptive Risk and Trust Assessment“ und führt das ursprüngliche Prinzip weiter. Dem Konzept folgend müssen Nutzer, Geräte und Apps nicht nur bei jeder Anmeldung zu prüfen, sondern deren Vertrauensstatus kontinuierlich während der Sitzungen überprüft werden. Wird eine risikobehaftete Veränderung festgestellt, kann der gewährte Zugang zu einem Service eingeschränkt oder ad hoc unterbrochen werden.

Die 5 Kernaspekte des CARTA-Ansatzes

1. Anhand von adaptiven, kontextabhängigen Sicherheitsplattformen einmalige Sicherheitsschleusen einsetzen;
2. Risiken und Vertrauen konstant überwachen, bewerten und priorisieren;
3. Mit Risiko- und Vertrauensbetrachtungen in digitalen Geschäftsinitiativen bereits im Entwicklungsprozess beginnen;
4. Umfassende, vollständige Transparenz herstellen;
5. Schnelle Reaktionen mithilfe von Digital Analytics, Automatisierung  und künstlicher Intelligenz gewährleisten.

Software Defined Perimeter

Der Software Defined Perimeter (SDP) soll eine Möglichkeit sein, Zero Trust umzusetzen. Die Technologie basiert auf dem Black Cloud-Konzept, welches von der IT-Sparte des US-Verteidigungsministeriums entwickelt wurde. Diesem Konzept folgend werden Zugänge zu Netzwerken und Verbindungen nach dem Need-to-know-Prinzip aufgebaut. Die Idee ist simpel: Jeder Nutzer bekommt nur genau das zu sehen, was er auch sehen muss und wofür er die Freigabe erteilt bekommen hat.

Das Konzept besteht aus einer Kombination aus drei Teilen:

1. Geräte-Authentifikation;
2. Identitätsbasierter Zugang;
3. Dynamisch bereitgestellte Konnektivität.

Dieser Aufbau sorgt dafür dass der Nutzer nichts vom  gesamten Netzwerk sieht. Will jemand auf eine Anwendung oder eine Ressource im Netzwerk zugreifen, wird er für genau diese authentifiziert und gelange direkt dort hin. Die Zugriffsverwaltung wird vom Netzwerk-Perimeter an die Ressource oder Anwendung verlagert, so dass die Nutzer zu keinem Zeitpunkt wissen, wo sie sich gerade im Netzwerk befinden.

Auf technologischer Ebene baut Software Defined Perimeter (SDP)  auf einer Reihe bereits bekannter Ansätze auf. Next Generation Firewalls oder Network Acces Controll bieten verschiedene Funktionen, die eine Authentifikation mithilfe individueller Parameter ermöglichen. Aus diesem Grund gibt es einige Anbieter, die solche oder abgewandelte Lösungen anbieten. Software Defined Perimter hängt von zahlreichen Technologien und deren Abstimmungen untereinander ab. Daher gibt es bei der Implementierung ein paar Punkte zu berücksichtigen.

4 Aspekte für die SDP Einführung

Folgende Askpekte sollten von jedem Unternehmen beachtet werden.

1. Strategieentwicklung

Jede Transaktion zu authentifizieren und jede Netzwerk-Session zu verschlüsseln bringt einen hohen Aufwand mit sich. Die SDP-Einführung muss daher von Anfang an strategisch geplant werden. Andernfalls wird der Betrieb chaotisch und das IT-Risiko steigt, da eine schwache Komponente die gesamte SDP-Infrastruktur angreifbar macht.

2.  Authentifizierung im gesamten Stack

Die SDP-Architektur definiert eine Reihe von Verbindungstypen zwischen Clients, Servern, Clouds etc. Jede dieser Verbindungen braucht starke Authentifizierung von Layer zwei bis Layer sieben entsprechende Methoden (etwa Token, Biometrie oder Smart Card), Schlüsselmanagement für die Verschlüsselung, Zertifikat-Management und Public Key Infrastructure.

3. Daten erheben, analysieren und verarbeiten

Um etwas zu managen, muss es auch gemessen werden können. Daher ist es für SDP wichtig, alle verfügbaren Datentypen zu sammeln, zu verarbeiten und zu analysieren. Darunter fallen unter anderem Informationen über Endpunkte, Nutzer, Netzwerkflüsse, Verzeichnisse, Authentifizierungssysteme und Threat Intelligence. Zudem können auch neue Datentypen sowie Datenquellen in der Cloud hinzukommen, die aufgenommen werden müssen. Unterschiedliche Datenformate gilt es zu normalisieren und eine verteilte, skalierbare Daten-Management-Architektur aufzubauen, um all diese Daten möglichst in Echtzeit auszuwerten.

4. Richtlinien für die Anwendung schaffen

Sobald ein Unternehmen detaillierte Zugangskontrollen technisch einsetzen kann, muss es Richtlinien schaffen, wie und wann sie angewendet werden. Das Ziel dabei ist es, eine Balance zwischen zulässigen Risiken und Unterbrechungen von Geschäftsprozessen zu finden. Da es hierbei gemeinsamer Analysen und Entscheidungen von Business-, IT- und Sicherheits-Verantwortlichen bedarf, kann der Prozess lange dauern. Zudem kann ein gewisses Maß an „Trial and error“ erforderlich sein, bis das richtige Maß gefunden ist.

Zero Trust in 5 Schritten im eigenen Unternehmen umsetzen

Die Strategie, anhand der Zero Trust umgesetzt werden kann, hängt von der Infrastruktur der Unternehmen ab. Der Security-Anbieter Palo Alto Networks hat zur besseren Orientierung einen Fünf-Stufen-Plan definiert, den Unternehmen heranziehen können.

1. Was geschützt werden muss definieren

Werden Sie sich darüber im Klaren welche sensiblen Daten geschützt werden müssen. Diese ist meist deutlich kleiner als die Angriffsfläche. Es gilt zu beachten, dass Zero-Trust-Schutz über die reinen Daten hinausgeht und auch andere Elemente des Netzwerks betrifft. Bei der Definition der zu schützenden Fläche müssen alle kritischen Daten, Anwendungen, Assets oder Services berücksichtigt werden, insbesondere:

• Daten: Zahlungskarteninformationen, personenbezogene Daten und Intellectual Property
• Anwendungen: Kundenspezifische Software sowie Standardanwendungen
• Assets: SCADA-Steuerungen, Kassenterminals, medizinische Geräte oder Produktionsanlagen
• Services: DNS, DHCP und Active Directory

2. Abbildung der Transaktionsströme

Wie im Netzwerk auf schützenswerte Daten zugegriffen wird, gibt vor, wie diese geschützt werden sollten. Dafür empfiehlt es sich Transaktionsabläufe im Netzwerk zu scannen und abzubilden, um festzustellen, wie die verschiedenen Aspekte (Daten, Assets etc.) mit anderen Ressourcen im Netzwerk interagieren. Visualisierte Flussdiagramme können dabei helfen aufzuzeigen, wo Kontrollmechanismen eingebaut werden müssen.

3. Aufbau einer Zero-Trust-Architektur

Der erste Teil eines Netzwerkdesigns ist dessen Architektur. Bei Zero Trust kommt dieser Schritt an dritter Stelle. Die Netzwerke sind individuell angepasst. Die maßgeschneiderte Zero-Trust-Architektur wird sichtbar, wenn die zu schützende Fläche bestimmt ist und die Abfolgen abgebildet sind. Laut des Securityunternehmens Palo Alto Networks sollte mit dem Einsatz einer Next-Generation-Firewall als Segmentierungs-Gateway begonnen werden, um den granularen Layer 7 Zugriff als Mikroperimeter um die Schutzoberfläche herum zu erzwingen. So durchläuft jedes Paket, das auf eine Ressource innerhalb der Schutzfläche zugreift, eine Firewall und Layer-7-Richtlinien  können durchgesetzt werden, die gleichzeitig den Zugriff kontrollieren.

4. Erstellen der Zero-Trust-Richtlinien

Sobald das Zero-Trust-Netzwerk aufgebaut ist, ist der nächste Schritt wegweisende Richtlinien zu erstellen. Hier schlägt Palo Alto Networks vor, auf die W-Fragen ( wer, wo, wann, was, warum) des Netzwerks einzugehen.Damit eine Ressource mit einer anderen kommunizieren kann, muss eine bestimmte Regel diesen Datenverkehr auf die Whitelist setzen. Die Beantwortung der W-Fragen ermöglicht Layer-7-Richtlinien für die kleinteilige Durchsetzung, so dass nur bekannter und zulässiger Datenverkehr oder legitime Anwendungskommunikation im Netzwerk stattfinden. Dieses Vorgehen reduziert sowohl die Angriffsfläche als auch die Anzahl der Port-basierten Firewall-Regeln, die von gewöhnlichen Firewalls durchgesetzt werden.

5. Überwachung und Wartung des Netzwerks

Der letzte Schritt ist die Überwachung und Wartung des Netzwerks  im operativen Tagesgeschäft im Hinblick auf das „Zero Trust“ Konzept. Demnach müssen alle internen und externen Protokolle dauerhaft überwacht werden.Die Überwachung und Protokollierung des gesamten Datenverkehrs im Netzwerk ist einer der Schlüsselkriterien von Zero Trust. Deshalb gilt es darauf zu achten, dass das System so viel Telemetrie wie möglich sendet. Diese Daten ermöglichen es das Zero Trust Konzept im iterativen Prozess zu verbessern, indem der Fünf-Stufen Plan wiederholt und angepasst wird.

Fazit zum Zero Trust Konzept

Ob und in wie weit Sie dieses Sicherheitskonzept in Ihrem Unternehmen umsetzen wollen, müssen Sie weiterhin selbst entscheiden. Allerdings empfiehlt es sich in jedem Fall die Sicherheitsstandards des Unternehmensnetzwerks kontinuierlich zu überprüfen und auf Schwachstellen hinzuweisen. Das „Zero Trust“- Konzept ist jedenfalls gekommen um zu bleiben und wird uns die nächsten Jahre noch weiter begleiten und ausgebaut werden.

Guter Start für Unternehmen: Cyber Security Für Unternehmer In 5 Punkten

Nicole Lontzek

Nicole Lontzek ist seit über einer Dekade in der Digitalbranche tätig. Ihre Karriere brachte sie unter anderem nach New York, Dublin und Zürich. Sie ist spezialisiert auf die digitale Vermarktung von B2B-Software Unternehmen. Derzeit ist sie in München als Head of Marketing bei CELUS, dem Pionier in der Elektronikentwicklungsautomatisierung für die Gesamtvermarktungstrategie verantwortlich. In ihrem Buch "Digitale Zeitmacher - was wir jetzt gewinnen" erläutert sie anhand positiver Beispiele die Möglichkeiten der Digitalisierung und zeigt auf, in welchen Bereichen wertvolle Lebenszeit eingespart werden kann. www.digitalezeitmacher.de