Zero Trust umsetzen – mit Empfehlungen von Gartner

Ganz egal, ob Sie gerade erst begonnen haben, sich mit dem Thema Cloud-Sicherheit und den neuesten Sicherheitstrends auseinanderzusetzen, oder schon seit Jahren in der Branche tätig sind – sicherlich haben Sie den Begriff „Zero Trust“ schon einmal gehört. Allerdings kann es irritierend sein, wie unglaublich häufig dieser Begriff verwendet wird. Ähnlich verhält es sich mit anderen Schlagwörtern im Bereich Sicherheit wie Ransomware oder Spoofing, auf die man seit vielen Jahren immer wieder stößt.

Zero Trust ist das neueste Schlagwort in der Sicherheitsbranche, und jedes Sicherheitsunternehmen behauptet von sich, die umfassendste Zero-Trust-Lösung entwickelt zu haben. Inmitten dieses Hypes ist es mitunter schwierig herauszufinden, welche Lösung tatsächlich hält, was sie verspricht. Was genau ist Zero Trust? Warum ist dieses Konzept so wichtig? Und wie kann man es implementieren? In einem Gartner-Report, der Anfang des Jahres veröffentlicht wurde, werden praktische Projekte beschrieben, die Unternehmen bei der Implementierung einer echten Zero-Trust-Architektur priorisieren sollten. In diesem Blog soll das Konzept Zero Trust erklärt werden. Außerdem wird dargestellt, wie Unternehmen es anhand der Richtlinien von Gartner umsetzen können.

Was ist Zero Trust?

Es herrscht große Uneinigkeit darüber, was Zero Trust eigentlich ist – ein Produkt, eine Lösung oder doch eine Plattform? Nichts davon ist korrekt. Zero Trust ist ein Sicherheitskonzept, das auf dem Prinzip „Niemals vertrauen, immer überprüfen“ und minimalen Zugriffsrechten basiert. Dabei wird davon ausgegangen, dass kein User und keine Anwendung automatisch vertrauenswürdig sind. Bei Zero-Trust-Sicherheit wird angenommen, dass Sicherheitsrisiken sowohl innerhalb als auch außerhalb des Netzwerks vorhanden sind. Nichts und niemand wird innerhalb des Netzwerks automatisch getraut – daher auch der Name „Zero Trust“.

Zero Trust ist eine Weiterentwicklung herkömmlicher Netzwerksicherheitsarchitekturen, die Firewalls und VPNs nutzten und auf dem Prinzip basierten, dass verifizierten Usern innerhalb des Netzwerks standardmäßig vertraut werden kann. Bei Zero Trust basiert Vertrauen nur auf der Identität des Users sowie auf Kontextdaten – z. B. dem Standort des Users, dem Sicherheitsstatus des Geräts und der angeforderten Anwendung oder dem angeforderten Service. Dabei dienen Richtlinien bei jedem Schritt als Gatekeeper. 

Als Analogie dazu kann man sich Zero Trust als körperliche Fitness vorstellen. Körperliche Fitness ist ein Ziel mit bestimmten Bezugspunkten. Sie variiert je nach Person und persönlichen Zielen und kann durch Aktivitäten wie beispielsweise Gehen, Laufen, Radfahren, Gewichtheben oder Tanzen erreicht werden. Aber das letztendliche Ziel besteht darin, körperlich fit zu werden. Ähnlich verhält es sich mit Zero Trust. Es handelt sich um ein übergreifendes konzeptionelles Prinzip der Sicherheit, das mit einer Kombination aus Lösungen wie ZTNA, Workload-Segmentierung, Datenschutz, Browser Isolation und vielem mehr erreicht werden kann. Das letztendliche Ziel besteht darin, User und Anwendungen vollständig zu schützen.

Laut Gartner befinden sich die meisten Unternehmen noch in der Planungs- oder Strategiephase der Zero-Trust-Implementierung. Unternehmen benötigen zwei primäre Initiativen, um Zero Trust zu erzielen: 

• Frontend-Netzwerkzugriff, der sich auf die Segmentierung von User zu Anwendung konzentriert, auch bekannt als Zero Trust Network Access oder ZTNA. 
• Backend-Netzwerkzugriff, der sich auf die Segmentierung von Workload zu Workload konzentriert.

ZTNA für die Segmentierung von User zu Anwendung

ZTNA unterstützt eine Zero-Trust-Architektur mithilfe eines adaptiven Vertrauensmodells, bei dem Vertrauen niemals implizit ist. Zugriff wird nur nach Erforderlichkeitsprinzip mit minimalen Zugriffsrechten gewährt, das durch granulare Richtlinien definiert wird. ZTNA stellt eine sichere Verbindung zwischen Usern und privaten Anwendungen her, ohne dass User jemals ins Netzwerk oder Anwendungen ins Internet gelangen. Diese Isolation reduziert Netzwerkrisiken, wie beispielsweise Infektionen durch kompromittierte Geräte, und gewährt ausschließlich autorisierten Usern den Zugriff auf Anwendungen. Gartner empfiehlt Unternehmen, probeweise mit einem ZTNA-Produkt zu beginnen und Anwendungen damit zu testen, um sicherzustellen, dass sich alle Elemente – User, Geräte (verwaltet und nicht verwaltet) und Anwendungen (neu und Legacy) – wie gewünscht verhalten.

Identitätsbasierte Segmentierung

Gartner erklärt, dass sich übermäßiges implizites Vertrauen mithilfe von Segmentierung von Workload zu Workload reduzieren lässt. So können Unternehmen ein Kommunikationsmodell anwenden, bei dem Workload-Zugriff standardmäßig abgelehnt wird, statt ihn standardmäßig zuzulassen. Um eine identitätsbasierte Strategie zu entwickeln, empfiehlt Gartner, heterogene Workloads ins Auge zu fassen, die sich in On-Premise-, hybriden, virtuellen und Container-Umgebungen befinden.

Sobald ZTNA und identitätsbasierte Segmentierung implementiert sind, können Unternehmen zu anderen Sicherheitsinitiativen übergehen, um einen Zero-Trust-Ansatz auf ihre gesamte technologische Infrastruktur auszuweiten.

Einfacherer und schnellerer Weg zu Zero Trust

Zscaler Zero Trust Exchange (ZTE) basiert auf der größten Security Cloud der Welt und bietet die optimale Zero-Trust-Architektur, um Unternehmen sicher und schneller zu transformieren. ZTE wird in 150 Rechenzentren weltweit betrieben. Dadurch lässt sich die Bereitstellung in der Nähe der User und in Colocation mit häufig genutzten Cloud-Anbietern und Anwendungen gewährleisten. Zurück zur Analogie von Zero Trust als körperliche Fitness: Zero Trust Exchange wäre dabei das anspruchsvollste Fitnessstudio, das über alle Geräte verfügt, die für die optimale körperliche Fitness oder eben für Zero Trust erforderlich sind. Zero Trust Exchange bietet Remote-Access mit Schutz vor Cyberbedrohungen, Datenschutz, sicherem Internetzugang, B2B-Anwendungszugriff, Netzwerksegmentierung, Leistungsbewertungen und vielen anderen wichtigen Funktionen, die für die Implementierung von Zero Trust unerlässlich sind.

Weitere Informationen im Report Implementierung von Zero Trust in der Praxis.