Was ist eine Zero-Trust-Architektur? Als Zero-Trust-Architektur wird eine Sicherheitsarchitektur bezeichnet, die speziell darauf ausgelegt ist, die Angriffsfläche des Netzwerks zu minimieren, die laterale Ausbreitung von Bedrohungen zu verhindern und das Risiko von Sicherheitsverletzungen zu reduzieren. Das Konzept beruht auf den Grundsätzen des Zero-Trust-Modells. Dieses Modell beinhaltet Zugriffskontrollen gemäß dem Prinzip der minimalen Rechtevergabe, granulare Mikrosegmentierung und Multifaktor-Authentifizierung (MFA) als zukunftsfähige Alternative zum herkömmlichen „Netzwerkperimeter“. Dieser schützt das Netzwerk vor externen Angriffen, hat jedoch den gravierenden Nachteil, dass alle User und Geräte innerhalb des Netzwerks automatisch als vertrauenswürdig eingestuft und ihnen entsprechend umfassende Zugriffsberechtigungen gewährt werden.

Zero-Trust-Architektur und Zero Trust Network Access: Worin besteht der Unterschied?

Bevor wir genauer auf Zero-Trust-Architekturen eingehen, soll hier kurz der Unterschied zwischen diesen beiden verwandten Begriffen erklärt werden:

• Als Zero-Trust-Architektur (ZTA) wird ein Design bezeichnet, das Zero-Trust-Grundsätze wie lückenlose Zugriffsverwaltung, konsequente Authentifizierung von Usern und Geräten und robuste Segmentierung unterstützt. Entwickelt wurde es als zukunftsfähige Alternative zu herkömmlichen Sicherheitsarchitekturen, die nach dem Prinzip „Festung mit Burggraben“ nur den Zugang zum Unternehmehmensnetzwerk kontrollieren.
• Zero Trust Network Access (ZTNA) bezeichnet einen konkreten Anwendungsfall für das Zero-Trust-Konzept, nämlich die Gewährleistung sicheren User-Zugriffs auf Anwendungen und Daten auch außerhalb eines herkömmlichen Sicherheitsperimeters. So wird die Cloud-Transformation und Umstellung auf hybride Arbeitsmodelle durch ein zuverlässiges Konzept zum Schutz der IT-Ressourcen unterstützt.

Mit der Umstellung auf eine Zero-Trust-Architektur schaffen Organisationen also die Grundlage für die Bereitstellung von ZTNA – und damit die Voraussetzung dafür, Mitarbeitern und Geschäftspartnern jederzeit standort- und geräteunabhängig sicheren Zugriff auf ihre Systeme, Services, APIs, Daten und Prozesse zu gewähren.

Zero Trust als zukunftsfähige Sicherheitsarchitektur

Viele Organisationen haben im Laufe der vergangenen dreißig Jahre komplexe Wide Area Networks mit sogenannten Hub-and-Spoke- bzw. Nabenarchitekturen aufgebaut und sukzessive umkonfiguriert. In diesen Umgebungen werden private Verbindungen zwischen Usern bzw. Zweigstellen und dem Rechenzentrum hergestellt. Um Zugriff auf die jeweils benötigten Anwendungen zu erhalten, müssen die User sich im Netzwerk befinden.

Hub-and-Spoke-Netzwerke werden mit Security-Stacks aus VPNs, Firewalls und anderen Appliances geschützt. Diese Art von Sicherheitsarchitektur funktioniert nach dem Prinzip einer mittelalterlichen Festung mit Burggraben. Dieser Ansatz hatte seine Berechtigung, solange Anwendungen primär im unternehmenseigenen Rechenzentrum installiert waren. Angesichts der zunehmenden Umstellung auf Cloud-Services, der Entwicklung neuer Technologien und der verschärften Bedrohungslage wirkt er mittlerweile eher ausbremsend.

Im Zeichen der digitalen Transformation nutzen Organisationen zunehmend das Potenzial von Cloud-Services, Mobilität, KI, Internet of Things (IoT) und Betriebstechnologie (OT) zur Optimierung ihrer Agilität und Wettbewerbsfähigkeit. User greifen von wechselnden Remote-Standorten aus auf IT-Ressourcen zu und auch die Daten befinden sich nicht mehr ausschließlich im Rechenzentrum. Eine produktive Zusammenarbeit setzt voraus, dass User jederzeit von überall Direktzugriff auf Unternehmensanwendungen erhalten.

Somit ist es nicht mehr sinnvoll, den Traffic zu Cloud-basierten Anwendungen im Backhauling-Verfahren über das Rechenzentrum umzuleiten. Deswegen steigen Organisationen zunehmend von herkömmlichen Netzwerkarchitekturen auf ein Modell um, das Direktverbindungen in die Cloud ermöglicht: Zero Trust.

In diesem Video erläutern wir alles Wissenswerte zur sicheren digitalen Transformation in einfach verständlicher Sprache.

Anschauen

Hinweise zur Funktionsweise von Zero-Trust-Architekturen

Das Zero-Trust-Konzept geht von der Annahme aus, dass alles im Netzwerk eine potenzielle Bedrohung darstellt. Demgemäß werden Zugriffsanforderungen auf Anwendungen erst genehmigt, nachdem Identität, Gerätestatus und Kontext verifiziert und entsprechende Richtlinienkontrollen durchgesetzt wurden. Da bei diesem Modell der gesamte Traffic protokolliert und überprüft wird, erfordert es ein Maß an Transparenz, das herkömmliche Sicherheitskontrollen nicht leisten.

Eine echte Zero-Trust-Architektur minimiert die Angriffsfläche Ihrer Organisation, verhindert die laterale Ausbreitung von Bedrohungen und verringert das Risiko von Sicherheitsverletzungen. Für die Implementierung eignet sich am besten eine Proxy-basierte Architektur, die User direkt mit Anwendungen und nicht mit dem Netzwerk verbindet. Auf diese Weise können vor der Entscheidung, eine Verbindung herzustellen bzw. zu blockieren, zusätzliche Kontrollen angewendet werden.

Um zu gewährleisten, dass Entitäten und Ressourcen niemals automatisch als vertrauenswürdig eingestuft werden, wendet eine effektive Zero-Trust-Architektur auf jede Zugriffsanforderung eine Reihe von Kontrollmaßnahmen an. Erst danach wird eine Verbindung hergestellt. Dabei handelt es sich um ein dreistufiges Verfahren:

1. Verifizierung – Authentifizierung von Identität und Kontext: Jede Verbindung, die ein User/Gerät, eine Workload oder ein IoT/OT-Gerät anfordert, wird – unabhängig vom zugrundeliegenden Netzwerk – zunächst von der Zero-Trust-Architektur beendet, damit Fragen nach dem „Wer“ (Identität), „Was“ (Kontext) und „Wohin“ (Verbindungsziel) eindeutig geklärt werden können.
2. Kontrolle – Überprüfung von Inhalten und Zugriffsrisiken: Im Anschluss an die Verifizierung von Identität und Kontext der Entität, welche die Verbindung anfordert, sowie nach Anwendung der relevanten Segmentierungsregeln bewertet die Zero-Trust-Architektur die mit der Anforderung verbundenen Risiken und überprüft den Traffic auf Cyberbedrohungen und vertrauliche Daten.
3. Durchsetzen von Richtlinien: Abschließend wird dynamisch ein Risk Score für User, Workload oder Gerät berechnet und entschieden, ob der Traffic zugelassen oder eingeschränkt werden soll. Wird die Entität autorisiert, stellt die Zero-Trust-Architektur eine sichere Verbindung zum Internet, zur SaaS-Anwendung oder zur IaaS-/PaaS-Umgebung her.

Vorteile einer Zero-Trust-Architektur

Eine Zero-Trust-Architektur gewährleistet den präzisen kontextbezogenen User-Zugriff, der unter heutigen Wettbewerbsbedingungen erforderlich ist, und schützt Ihre User zuverlässig vor Malware und Cyberangriffen. Als Fundament von ZTNA bietet eine Zero-Trust-Architektur zahlreiche Vorteile im Vergleich zu VPNs und anderen Legacy-Technologien:

• Sicherer und zügiger Zugriff auf Daten und Anwendungen für Remote-User an beliebigen Standorten (Mitarbeiter und Geschäftspartner) mit hervorragender Anwendererfahrung
• Zuverlässiger Remotezugriff mit unkomplizierter und konsistenter Verwaltung von Sicherheitsrichtlinien
• Schutz für vertrauliche Daten und Anwendungen (für On-Premise-Lösungen oder in Cloud-Umgebungen) bei der Übertragung und im Ruhezustand mit Verschlüsselung, Authentifizierung, Zustandsprüfungen und weiteren strengen Sicherheitskontrollen
• Schutz vor Insider-Bedrohungen, da User und Geräte innerhalb des Netzwerkperimeters nicht mehr automatisch als vertrauenswürdig eingestuft werden
• Einschränkung der lateralen Bewegungsfreiheit mit granularen Zugriffsrichtlinien für einzelne IT-Ressourcen und dadurch geringeres Risiko von Sicherheitsverletzungen
• Schnellere und effektivere Erkennung und Reaktions- und Behebungsmaßnahmen zur Schadensbegrenzung nach erfolgreichen Angriffen
• Detaillierte Erkenntnisse zu sämtlichen Aktivitäten von Usern und Entitäten durch Überwachung und Protokollierung aller Sitzungen und Maßnahmen
• Risikobewertung in Echtzeit mit ausführlichen Authentifizierungsprotokollen, Statusprüfungen für Geräte und Ressourcen, Verhaltensanalysen zu Usern und Entitäten u. v. m.

(Adaptiert aus der National Institute of Standards and Technology [NIST] Special Publication „Implementing a Zero Trust Architecture“)

One True Zero: die echte Zero-Trust-Architektur von Zscaler

Die Zscaler Zero Trust Exchange™ ist eine integrierte Cloud-native Plattform, die auf dem Prinzip der minimalen Rechtevergabe und dem Grundsatz basiert, dass kein User, keine Workload und keine Anwendung automatisch als vertrauenswürdig eingestuft werden sollte. Stattdessen überprüft die Plattform zunächst Identität und Kontext (Gerätetyp, Standort, angeforderte Anwendung und Inhalte) und vermittelt dann eine sichere Verbindung zwischen einem User, einer Workload oder einem Gerät und einer Anwendung – über jedes Netzwerk, an jedem Standort.

Mit der Zero Trust Exchange profitiert Ihre Organisation von mehreren Vorteilen gegenüber herkömmlichen Architekturen:

• Minimierung der Angriffsfläche im Internet und lateralen Ausbreitung von Bedrohungen: User-Traffic wird vom Unternehmensnetzwerk ferngehalten. Stattdessen werden User über verschlüsselte Tunnel direkt mit der jeweils benötigten Anwendung verbunden. Alle anderen IT-Ressourcen bleiben unsichtbar und werden somit vor gezielten Angriffen geschützt.
• Verbesserte User Experience: Statische Legacy-Netzwerkarchitekturen leiten Daten im Backhauling-Verfahren zur Verarbeitung im Rechenzentrum weiter. Mit der Zero Trust Exchange werden Direktverbindungen zu allen Zielen in Cloud-Umgebungen bzw. im Internet intelligent verwaltet und optimiert. Adaptive Richtlinien und Schutzmaßnahmen werden an der Edge in möglichst großer Nähe zum User durchgesetzt.
• Nahtlose Integration mit führenden Anbietern von Cloud-, Identitäts-, Endpoint-Protection- und SecOps-Lösungen: Die Zscaler-Plattform kombiniert unverzichtbare Sicherheitsfunktionen (SWG, DLP, CASB, Firewall, Sandboxing usw.) mit neuen Technologien wie Browser-Isolierung, Digital Experience Monitoring und ZTNA in einem ganzheitlichen cloudbasierten Security-Stack.
• Geringere Kosten und Komplexität: Die Zero Trust Exchange überzeugt durch einfache Bereitstellung und Verwaltung ohne Einrichtung von VPNs oder komplexe Firewall-Richtlinien zum Schutz des Netzwerkperimeters.
• Konsistente, hochgradig skalierbare Sicherheit: Zscaler betreibt die weltweit größte Security Cloud mit über 150 Rechenzentren weltweit, in denen zu Spitzenzeiten pro Tag mehr als 240 Milliarden Transaktionen verarbeitet und 8,4 Milliarden Bedrohungen blockiert werden.