Was ist eine Zero-Trust-Netzwerkarchitektur?

Was ist eine Zero-Trust-Netzwerkarchitektur?

Als Zero-Trust-Netzwerkarchitektur wird eine Sicherheitsarchitektur bezeichnet, die speziell darauf ausgelegt ist, die Angriffsfläche des Netzwerks zu reduzieren und die laterale Bewegung von Bedrohungen zu verhindern. Das Konzept beruht auf den Grundsätzen des von John Kindervag für Forrester Research entwickelten Zero-Trust-Modells.

Der Netzwerkperimeter – die Vorstellung eines eindeutig abgegrenzten Bereichs, innerhalb dessen alle Geräte und User als vertrauenswürdig eingestuft und ihnen breite Zugriffsrechte gewährt werden – spielt beim Zero-Trust-Sicherheitsmodell keine Rolle. Stattdessen werden sensible Daten durch Zugriffskontrollen nach dem Prinzip der minimalen Rechtevergabe, granularen Mikrosegmentierung und mehrstufigen Authentifizierung (MFA) geschützt, wobei kein User oder Gerät implizit als vertrauenswürdig gilt. Durch Umsetzung dieser deutlich verschärften Zugriffsverwaltung können Organisationen das Risiko von Datenpannen und -verlusten beträchtlich senken.

Nachstehend werden die unterschiedlichen Zero-Trust-Architekturen im Einzelnen erläutert. Zuvor sollen die Hintergründe des Konzepts Zero Trust Network Access (ZTNA) kurz zusammenfassend vorgestellt werden. ZTNA war in Fachkreisen ursprünglich unter der Bezeichnung Software-Defined Perimeter (SDP) bekannt. In der Praxis bewährte sich dieser Ansatz als Alternative zu Legacy-Firewalls, die keinen sicheren Zugriff auf Anwendungen und Daten gewährleisten können, wenn sich die betreffenden User und die angeforderten Ressourcen nicht innerhalb eines herkömmlichen Sicherheitsperimeters befinden. Der Trend zu hybriden und dezentralen Arbeitskonzepten macht es für Organisationen zwingend erforderlich, der wachsenden Anzahl von Remote-Mitarbeitern jederzeit zuverlässigen Zugriff auf die benötigten Ressourcen zu ermöglichen. Das bedeutet auch, dass sämtliche Systeme, Services, APIs, Daten und Prozesse von jedem beliebigen Standort und Gerät aus über das Internet zugänglich gemacht werden müssen.

Voraussetzung dafür ist eine präzise, kontextbezogene Zugriffskontrolle. Eine Zero-Trust-Netzwerkarchitektur kombiniert diese Kontrollmechanismen mit dem Schutz geschäftskritischer Services vor Hackern und Malware. Sie gewährleistet eine verbesserte User Experience sowie mehr Agilität und Anpassungsfähigkeit und vereinfacht die Richtlinienverwaltung. Organisationen, die eine Cloud-basierte ZTNA-Lösung einsetzen, profitieren von weiteren Vorteilen wie hochgradiger Skalierbarkeit und einfacher Einführung.

Das ZTNA-Modell wurde von Gartner mit dem Ziel entwickelt, das übermäßige Vertrauen zu eliminieren, das Mitarbeitern und Geschäftspartnern beim Zugriff auf Anwendungen und Daten mit herkömmlichen Technologien wie VPNs entgegengebracht wird. ZTNA beruht auf dem gegenteiligen Prinzip: Vertrauen muss erst durch Nachweis der Vertrauenswürdigkeit erworben werden. Dieser Nachweis unterliegt zudem einer ständigen Neubewertung in Echtzeit, wenn sich der jeweilige Kontext (Standort des Users, verwendetes Gerät, angeforderte Anwendung usw.) ändert.

Zwei Ansätze zur Bereitstellung einer Zero-Trust-Netzwerkarchitektur

Bei der Bereitstellung von ZTNA stehen zwei unterschiedliche Optionen zur Auswahl: endgerätinitiierte und serviceinitiierte Architektur.

Bei einer endgerätinitiierten Zero-Trust-Netzwerkarchitektur wird der Zugriff auf eine Anwendung durch das Endgerät bzw. den Enduser veranlasst. Dieser Ansatz kommt der ursprünglichen Spezifikation des Software Defined Perimeter (SDP) am nächsten. Zur Herstellung von Verbindungen wird ein Agent (eine ressourcenschonende Softwareanwendung) auf den Geräten der Enduser installiert. Der Agent kommuniziert mit einem Controller, der die Identität des Users authentifiziert und eine Verbindung zu einer bestimmten Anwendung bereitstellt, auf die der User zugreifen darf. Auf nicht verwalteten Geräten (insbesondere IoT-Geräten) lässt sich eine endgerätinitiierte ZTNA schwierig oder gar nicht implementieren, da die lokale Installation eines Agents oder einer Software erforderlich ist.

Bei einer serviceinitiierten Zero-Trust-Netzwerkarchitektur wird die Verbindung zwischen User und Anwendung über einen ZTNA-Broker vermittelt. Dabei wird der Geschäftsanwendung, die sich im Rechenzentrum eines Kunden oder in der Cloud befindet, ein ressourcenschonender ZTNA-Konnektor vorgeschaltet. Dieser Konnektor erstellt eine ausgehende Verbindung von der angeforderten Anwendung zum Broker. Nach der Authentifizierung des Users durch den Anbieter läuft der Traffic über den ZTNA-Serviceanbieter. Dadurch werden Anwendungen vom Direktzugriff über einen Proxy abgeschottet. Der Vorteil besteht darin, dass kein Agent auf dem Gerät des Endusers installiert werden muss. Deshalb ist dieser Ansatz insbesondere zum Schutz nicht verwalteter Geräte (BYOD) bzw. zur Gewährung eines Zugriffs durch Partner und Kunden attraktiv. Einige serviceinitiierte ZTNA-Services setzen für Webanwendungen einen browserbasierten Zugriff ein.