Herkömmliche Sicherheitsmodelle für Unternehmen beruhen auf dem Vertrauensprinzip. Wird ein User als vertrauenswürdig eingestuft, erhält er Zugang zum Unternehmensnetz und damit Zugriff auf sämtliche damit verbundenen Ressourcen. In diesem Modell fungieren Hardware-basierte Sicherheitslösungen wie ein Burggraben, der die gesamte Festung des in sich abgeschlossenen unternehmenseigenen Netzwerks vor Eindringlingen schützt. Die Zugriffsverwaltung erfolgt über Hardware-Gateways.
Dieses Modell stammt jedoch aus einer längst vergangenen Zeit, als die User ihre Arbeit noch im Büro am Standort des Unternehmens verrichteten. Heute greifen immer mehr Mitarbeiter außerhalb der gesicherten Unternehmensfestung im Internet oder in der Cloud – häufig von zu Hause oder auch von unterwegs – auf Daten und Anwendungen zu. Hinzu kommt, dass nicht nur die Remote-Arbeit zunimmt, sondern auch die Häufigkeit und Raffinesse der Bedrohungen. Zur Abwehr dieser neuen Gefahren wird die Implementierung zusätzlicher Hardware-Stacks in unmittelbarer User-Nähe erforderlich – ein kostspieliges Unterfangen.
Cyberangriffe wie der im Mai 2021 auf den Fleischproduzenten JBS machen die Mängel des 50 Jahre alten Burggraben-Konzepts deutlich: Eine Sicherheitslösung ist immer nur so stark wie ihr schwächster Punkt (z. B. die Anfälligkeit der Mitarbeiter für Phishing-E-Mails), und sobald die Angreifer sich Zugriff aufs Netzwerk verschafft haben, ist jedes mit dem Netzwerk verbundene System gefährdet. Das wohl schwerste Manko dieses Modells ist jedoch der fehlende Einblick in die aktuelle Bedrohungslage. IT-Führungskräfte, die sich auf herkömmliche Sicherheitsmodelle verlassen, haben oft keine Möglichkeit zu überprüfen, wie gut ihre IT-Umgebungen tatsächlich gesichert sind, sondern erfahren in vielen Fällen erst im Nachhinein – wenn beispielsweise bei einem Ransomware-Angriff die Daten bereits verschlüsselt sind – von erfolgreichen Angriffen auf ihr Unternehmen.
Zero Trust ist eine effektivere Lösung zur Gewährleistung der Cybersicherheit in Unternehmen. Zero Trust ist konzipiert als Framework für den Schutz von Unternehmensdaten durch konsequente Anwendung des Prinzips der minimalen Rechtevergabe. Dieser Ansatz trägt der Erkenntnis Rechnung, dass die Sicherung unternehmenseigener Daten und Anwendungen nicht mehr auf das Unternehmensnetzwerk beschränkt werden darf.
Zero Trust: Theoretische Grundlagen
Bereits 2010 skizzierten die Sicherheitsanalysten von Forrester einen neuen Ansatz für die Cybersicherheit, der sich nicht mehr auf die Kontrolle des Netzwerk-Perimeters beschränkt, sondern alle Datentransaktionen innerhalb und außerhalb des Netzwerks einbezieht. Das Zero-Trust-Prinzip geht davon aus, dass der gesamte Daten-Traffic von jedem User an jedes Ziel und über jeden Verbindungsweg potenziell schädlich ist – und entsprechend wird die Legitimität der Daten in jeder Übertragungsphase in Frage gestellt.
Zero-Trust-Access basiert auf vier Grundprinzipien:
- Für jede Authentifizierungsebene gilt das Prinzip der minimalen Rechtsvergabe für sämtliche User und Ressourcen, unabhängig vom Stand- oder Speicherort: Usern, Geräten und Workloads wird niemals implizit vertraut.
- Sämtliche Verbindungen – ob von User zu Anwendung, von Anwendung zu Anwendung oder von Workload zu Workload – werden direkt und vorübergehend hergestellt und beruhen auf Mikrosegmentierung je Anwendungsebene ohne Netzwerksegmentierung.
- Anwendungen, User und Unternehmenssysteme werden niemals im offenen Internet exponiert.
- Das Internet ist das neue Unternehmensnetzwerk.
Aus Sicht der Sicherheitsbeauftragten bietet Zero Trust eine ganze Reihe von Vorteilen. Hacker nutzen Vertrauen gnadenlos aus – darauf müssen Sicherheitsexperten reagieren, indem Vertrauen entsprechend rigoros eingeschränkt wird, um das Risiko von Cyberangriffen zu minimieren. Als im Jahr 2010 das Zero-Trust-Konzept erstmals vorgestellt wurde, war es seiner Zeit noch weit voraus und setzte sich zunächst nur schleppend durch. Legacy-Sicherheitsarchitekturen ließen sich nicht ohne Weiteres skalieren oder umstellen, um ein dynamisches, datenbasiertes Sicherheitsmodell zu ermöglichen.
Zero Trust in der Praxis
Zehn Jahre nach der Vorstellung des Konzepts gewinnt Zero Trust in der Praxis an Bedeutung und wird zunehmend als überzeugende Methode zur Sicherung der neuen Cloud-zentrischen, Geräte-agnostischen, auf Fernzugriff beruhenden Arbeitskonzepte wahrgenommen. Der Einsatz von Zero Trust in unternehmenseigenen IT-Umgebungen zwingt die Verantwortlichen zu einem Umdenken im Hinblick auf Netzwerkverbindungen.
Bei Zero Trust sind alle Verbindungen isoliert, vorübergehend und direkt. Damit hat die traditionelle Vorstellung des „jederzeit aktiven, jederzeit offenen“ Unternehmensnetzwerks keine Gültigkeit mehr. Sicherheitsfunktionen werden über einen Proxy implementiert und speziell für die jeweilige Verbindungsinstanz konfiguriert. Der Proxy – ein Cloud-basiertes System, das im Idealfall in unmittelbarer geografischer Nähe des jeweiligen User-Standorts repliziert wird – prüft, bewertet und sichert alle ein- oder ausgehenden Datenpakete. Dadurch werden End-User effektiv vor Angriffen geschützt und für Bedrohungsakteure unsichtbar gemacht.
Im August 2020 veröffentlichte das US National Institute of Standards and Technology (NIST) nach ausgiebiger Beratung mit einem Konsortium von Experten aus der Cybersicherheitsbranche Richtlinien für eine ZTA-Architektur. Im NIST-Standard werden insbesondere zwei Anforderungen an ein zeitgemäßes ZTA-Konzept hervorgehoben: Sicherheit muss 1) Policy-basiert und 2) über einen Proxy bereitgestellt werden.
Ein User, der sich über Fernzugriff anmeldet, wird also direkt an einen Cloud-basierten Proxy in unmittelbarer Nähe seines jeweiligen Standorts weitergeleitet. Dort erfolgt die Authentifizierung basierend auf der vom Unternehmen definierten Policy. Anschließend wird der User direkt mit den jeweils autorisierten Ressourcen – und mit keinen anderen – verbunden.
Im NIST-definierten ZTA-Modell gilt ein Zero-Trust-Prinzip, da Usern kein Netzwerkzugang gewährt wird. Stattdessen werden sie direkt mit bestimmten individuellen Zielressourcen verbunden, z. B. mit einer Website oder einer Unternehmensanwendung. Durch die Bereitstellung skalierbarer Sicherheit am Proxy-basierten Cloud Service Edge wird der gesamte Daten-Traffic zu einzelnen Usern ebenfalls überprüft. Dadurch wird gewährleistet, dass Bedrohungen weder ins Netzwerk gelangen noch aus dem Netzwerk übertragen werden können.
Minimierung der Angriffsfläche, Begrenzung des Schadenspotenzials und umfassende Überwachung
In einer ZTA-Umgebung fungiert das Internet quasi als Netzwerk-Backbone. Anhand Proxy-basierter Sicherheitsrichtlinien werden Daten über Internet Exchanges direkt zu ihrem Bestimmungsort – ob im Rechenzentrum des Unternehmens oder einer privaten, in der Cloud gehosteten Anwendung – geleitet. Dadurch entfällt die Anschaffung und Verwaltung physischer Netzwerk-Infrastruktur.
Bedrohungsakteure greifen Ziele an, die sie sehen können. Bei einem ZTA-Modell bleiben sämtliche Geräte, Systeme, User, Anwendungen und Workloads hinter der skalierbaren, Proxy-basierten Sicherheitslösung am Cloud Service Edge unsichtbar. Entsprechend geraten sie gar nicht erst ins Visier der Hacker.
Da das Netzwerk effektiv seine Bedeutung verliert, wird außerdem der potenzielle Schaden minimiert. Sollte es einem Angreifer doch gelingen, die Zero-Trust-Abwehr zu durchbrechen, kann dieser Bedrohungsakteur (bzw. die Malware des Bedrohungsakteurs) nicht lateral auf andere Systeme innerhalb einer Organisation übergreifen. Gerade in letzter Zeit kam es mehrfach zu Ransomware-Angriffen bei denen Cyberkriminelle sich nach Einbruch in den Perimeter innerhalb des Unternehmensnetzwerks frei von System zu System bewegen und ungehindert Daten stehlen konnten.
Der vielleicht überzeugendste Sicherheitsvorteil des Zero-Trust-Ansatzes ist die Kontrolle, die er insbesondere im Hinblick auf Überwachung ermöglicht. In einer ZTA-Umgebung sind Ressourcen zwar für die Außenwelt unsichtbar, dafür ist der Daten-Traffic jedoch für die Unternehmensleitung komplett überschaubar. Dadurch können IT-Führungskräfte den Cloud- und Internet-Zugriff überprüfen und unerlaubte Aktivitäten etwa seitens unbefugter Drittentwickler bzw. unkontrolliertes Arbeiten außerhalb des Perimeters unterbinden.
Fragen an die Geschäftsführung
Cyberrisiken sind Geschäftsrisiken, deswegen muss Cybersicherheit Chefsache sein. Vorstandsmitglieder haben die Chance, ihre Unternehmen in eine sichere Gegenwart und Zukunft zu führen. In einem ersten Schritt müssen folgende Fragen gestellt und beantwortet werden:
- Wer ist in der Organisation für die Cybersicherheit zuständig, einschließlich Analyse, Umsetzung und Planung?
- Wie stark und inwiefern ist die Organisation gefährdet?
- Wie wird die Wirksamkeit der Maßnahmen zur Bedrohungsabwehr gemessen?
- Wie weit ist die Organisation auf dem Weg zu einer NIST-konformen ZTA-Modell bereits vorangekommen?
Angesichts des zunehmenden Aufkommens, Risikos und potenziellen Schweregrads globaler Cyber-Bedrohungen darf die Frage nicht mehr lauten, wann der Umstieg auf Zero Trust erfolgen soll. Vielmehr muss sie lauten: „Warum ist er noch nicht erfolgt?“
Kavitha Mariappan ist Executive Vice President for Customer Experience and Transformation bei Zscaler, einem führenden Anbieter für Cloud-basierte Cyber-Sicherheitslösungen.
NACD: Tools und Ressourcen, die Unternehmen in unberechenbaren Zeiten unterstützen.
