Zero Trust ist ein Sicherheitsmodell, das vom renommierten Cybersecurity-Analysten John Kindervag entwickelt wurde. Heute ist Zero Trust eines der beliebtesten Frameworks für den Schutz kritischer Systeme und Daten in der Cybersecurity. Systeme mit Zero-Trust-Framework vertrauen niemandem in Hinblick auf Zugriff oder Transaktionen – nicht einmal internen Benutzern hinter der Firewall – und beschränken den Datenzugriff, um so den potenziellen Schaden durch Angriffe zu minimieren.
Der Präsident hat staatliche Behörden und Auftragnehmer per Executive Order angewiesen, ihre Cybersecurity-Schutzmaßnahmen zu stärken und ein Zero-Trust-Sicherheitsmodell zum Schutz kritischer Infrastruktur zu implementieren. Dem privaten Sektor wurde nachdrücklich empfohlen, ähnliche Maßnahmen vorzunehmen. Anlass dafür war die Zunahme von Cyber-Bedrohungen und -Angriffen auf wichtige sicherheitsrelevante Institutionen und Infrastruktur.
Im Mittelpunkt von Zero Trust stehen Daten – und das aus gutem Grund. Unternehmen, die ihre Daten und die damit verbundenen Aktivitäten gut verstehen, können verdächtiges Verhalten erkennen – selbst wenn andere Sicherheitskontrollen kompromittiert wurden. Hier finden Sie alles, was Sie über Zero Trust, seine Vorteile und Einschränkungen wissen müssen und wie Sie Zero Trust in Ihrem Unternehmen implementieren.
Herkömmliche Sicherheitsansätze für Perimeternetzwerke konzentrieren sich darauf, Angreifer und Cybersicherheitsbedrohungen vom Netzwerk fernzuhalten. Solche Architekturen sind jedoch weiterhin ungeschützt vor Benutzern und Geräten innerhalb des Netzwerks. Herkömmliche Netzwerksicherheitsarchitekturen nutzen beispielsweise Firewalls, E-Mail-Gateways und Zugriffskontrollen, wobei mehrere Sicherheitsebenen um den Perimeter eines Netzwerks herum aufgebaut werden. Solche Taktiken folgen dem Prinzip „Verifizieren und dann vertrauen“. Sie vertrauen standardmäßig und automatisch den Benutzern innerhalb eines Netzwerks.
Zero Trust geht jedoch davon aus, dass das Netzwerk kompromittiert wird oder dass der Perimeter versagt – Benutzer und Geräte werden also aufgefordert, zu beweisen, dass sie keine Angreifer sind. Zero Trust erfordert eine strenge Identitätsprüfung für jeden Benutzer und jedes Gerät bei dem Versuch, auf Ressourcen in einem Netzwerk zuzugreifen, selbst wenn es sich um einen Mitarbeiter, Benutzer oder ein Gerät innerhalb des Perimeters handelt. Zero Trust schränkt den Zugriff eines Benutzers innerhalb eines Netzwerks ein und verhindert, dass ein Angreifer mit Netzwerkzugriff laterale Freiheit in allen Anwendungen des Netzwerks hat.
Zero Trust wendet im Wesentlichen für jeden Benutzer, jedes Gerät und jede Zugriffsanfrage dieselben strengen Zugriffsanforderungen an. Indem niemandem vertraut wird und alles überprüft wird, reduzieren Unternehmen das Risiko erfolgreicher Hacks und Datenschutzverletzungen erheblich.
Zero-Trust-Sicherheit ist ein ganzheitlicher Ansatz, der mehrere Technologien und Prozesse umfasst. Das Ziel von Zero-Trust-Sicherheit besteht darin, Unternehmen vor fortschrittlichen Bedrohungen und Datenschutzverletzungen zu schützen und gleichzeitig die Einhaltung von FISMA, HIPAA, PCI, DSGVO, CCPA und anderen wichtigen Datenschutz- oder Sicherheitsvorschriften zu unterstützen.
Das Herzstück von Zero Trust ist die Datensicherheit. Denn die meisten Angreifer sind hinter Daten her. Dazu gehören beispielsweise personenbezogene Daten (PBD), geschützte Gesundheitsinformationen (protected health information, PHI), Zahlungskarteninformationen (payment card information, PCI), geistiges Eigentum (GE) und andere Daten, die für Unternehmen wertvoll sind. Andere Sicherheitskontrollen sind zwar auch wichtig, doch Zero Trust priorisiert die Überwachung der Datenaktivität.
Hier sind die Schwerpunktbereiche für das Zero-Trust-Framework, die wichtig sind, damit Ihr Unternehmen eine optimale Zero-Trust-Sicherheitsstrategie entwickeln kann.
Die Einhaltung der drei Kernprinzipien des Zero-Trust-Sicherheitsmodells bildet die Grundlage für den Aufbau Ihrer eigenen Zero-Trust-Cybersicherheitsumgebung.
Das erste Kernprinzip von Zero Trust ist die Authentifizierung und Überprüfung des Zugriffs auf sämtliche Ressourcen. Jedes Mal, wenn ein Benutzer auf eine freigegebene Datei, eine Anwendung oder ein Cloud-Speichergerät zugreift, muss der entsprechende Benutzerzugriff erneut authentifiziert werden.
Sie müssen davon ausgehen, dass jeder Zugriffsversuch in Ihrem Netzwerk eine Bedrohung darstellt, bis das Gegenteil bewiesen ist wird – unabhängig vom Standort des Zugriffs oder Ihrem Hosting-Modell. Um diese Kontrollmaßnahmen zu implementieren, verwenden Sie Maßnahmen wie Remote-Authentifizierungs- und -Zugriffsprotokolle, Perimetersicherheit und Netzwerkzugriffskontrollen.
Das Least-Privilege-Zugriffsmodell ist ein Sicherheitsparadigma, das den Zugriff von Benutzern ausschließlich auf die Bereiche und Ressourcen beschränkt, die für ihre Arbeit absolut unerlässlich sind. Indem die Berechtigungen einzelner Benutzer eingeschränkt werden, lässt sich verhindern, dass Angreifer über nur ein kompromittiertes Konto Zugriff auf große Datenmengen erhalten. Und indem Sie den Datenzugriff einschränken, erstellen Sie im Grunde Mikroperimeter um Ihre Daten herum (ein Konzept, das aus dem Netzwerkbereich kam, sich aber auch auf Daten sehr gut übertragen lässt). Dadurch haben Cyberkriminelle weniger Möglichkeiten, auf sensible Daten zuzugreifen oder sich anderweitig auszubreiten.
Ermitteln Sie zunächst, wo Sie sensible Daten haben. Identifizieren Sie dann, wo diese Daten für zu viele Personen zugänglich sind, bzw. für Personen, die gar keinen Zugriff benötigen. Der nächste Schritt besteht darin, übermäßigen Zugriff zu beheben. Das ist eine schwierige, aber lohnende Aufgabe. Erstellen Sie neue Gruppen, und weisen Sie Data Owner zu, die diese verwalten und sie zur Implementierung von Least-Privilege-Zugriff nutzen. Überprüfen Sie den Zugriff und die Gruppenmitgliedschaften regelmäßig und geben Sie Ihren Data Ownern die Kontrolle darüber, wer auf ihre Daten zugreifen kann. Stellen Sie beispielsweise sicher, dass Ihr IT-Team nicht irgendwie Zugriff auf die Daten der Finanzabteilung hat und umgekehrt.
Gemäß den Zero-Trust-Prinzipien muss alles inspiziert und verifiziert werden. Aber jeden Netzwerkanruf, jeden Dateizugriff und jede E-Mail-Übertragung zu protokollieren und auf bösartige Aktivitäten zu überwachen ist ein enormes Unterfangen, das eine Kombination aus menschlicher Arbeitskraft und intelligent eingesetzter Technologie erfordert.
Überwachung und Protokollierung sind vermutlich die wichtigsten Prinzipien für ein Zero-Trust-Sicherheitsmodell. Indem Sie Ihre Überwachung und Datensicherheitsanalysen einrichten, können Sie erkennen, ob beispielsweise ein gewöhnlicher Login vorliegt, oder ob hier ein Benutzerkonto kompromittiert wurde. So werden Sie Bescheid wissen, ob ein Ransomware-Angriff im Gange ist oder ob ein böswilliger Insider versucht, Dateien auf sein Cloud-Laufwerk hochzuladen.
Ein derart tiefgehender Einblick in die eigene Cybersecurity ist jedoch schwer zu erreichen. Für die meisten Tools in dieser Kategorie müssen sehr komplizierte Regeln gecodet werden, oder sie erzeugen enorm viele falsch-positive Ergebnisse. Das richtige System verwendet individuelle Baselines für jedes Benutzerkonto und erkennt abnormale Verhaltensweisen anhand von Perimeter-Telemetrie, Datenzugriff und Benutzerkontoverhalten.
Zero Trust beginnt mit Daten. Im Folgenden finden Sie einige grundlegende Empfehlungen darüber, womit Sie anfangen können und wie Sie Ihre Daten innerhalb eines Zero-Trust-Frameworks schützen können.
Die Implementierung einer Zero-Trust-Architektur in Ihrem Unternehmen bietet weitreichende Vorteile. Es ist jedoch wichtig, im Hinterkopf zu behalten, dass Zero Trust kein einfaches Wundermittel für die Cyber-Verteidigung ist. Im Folgenden finden Sie einige Hauptvorteile von Zero Trust sowie mögliche Einschränkungen, die Sie beachten sollten.
Da Zero Trust niemals davon ausgeht, dass ein Gerät oder ein Benutzer vertrauenswürdig ist, können Sie selbst entscheiden, welche Ressourcen und Aktivitäten in Ihrer Sicherheitsstrategie abgedeckt werden müssen. Alle Daten- und Computing-Quellen sollten optimal geschützt werden. Und sobald Sie angemessene Überwachungsmaßnahmen installiert haben, um sowohl Ressourcen als auch Aktivitäten unter einem Zero-Trust-Framework abzudecken, haben Sie noch mehr Einblick in die Systemaktivität. Sie können nun den Zeitpunkt, den Standort und die beteiligten Anwendungen zu jeder Zugriffsanfrage sehen und sind besser gerüstet, um verdächtige Aktivitäten zu erkennen und darauf zu reagieren.
Der Anteil der Remote-Arbeit ist in den letzten zwei Jahren geradezu explodiert, womit auch Bedenken hinsichtlich der Cybersecurity einhergehen. Da Benutzer und Geräte von überall auf der Welt und außerhalb des physischen Arbeitsplatzes auf wichtige Daten zugreifen, trägt Zero Trust dazu bei, die Sicherheit Ihrer Remote-Belegschaft zu gewährleisten. Zero Trust geht über konventionelle Firewalls und Sicherheitsmaßnahmen hinaus, die in einer Remote-Arbeitsumgebung womöglich nicht ausreichen. Unter Zero Trust wird Benutzern, Geräten und Anwendungen, die Zugriff anfragen, eine Identität zugeordnet. Dadurch kann ein robuster Schutz für Arbeit und Daten an jedem Standort gewährleistet werden.
Zero Trust trägt dazu bei, die kontinuierliche Compliance über mehrere Branchen und gesetzliche Rahmenbedingungen hinweg sicherzustellen. So ist jede Zugriffsanfrage, die ausgewertet und protokolliert wird, eine große Hilfe bei der Compliance-Dokumentation. Indem Zeitpunkt, Standort und beteiligte Anwendungen für jede Zugriffsanforderung überwacht werden, wird ein nahtloser und transparenter Audit Trail erstellt. Die kontinuierliche Compliance rationalisiert Audits, da es nun eine sichtbare Kette von Nachweisen für alle Zugriffsanfragen gibt. Dies minimiert den Aufwand für die Nachweiserstellung, wodurch Governance-Vorgänge schneller und effizienter durchgeführt werden können.
BYOD-Richtlinien und -Umgebungen („Bring Your Own Device“, zu Dt. „Mitbringen eigener Geräte“) finden immer weitere Verbreitung – ebenso wie die „Always-on“-Mentalität vieler Remote-Mitarbeiter. Daher müssen Unternehmen immer mehr Flexibilität beim Daten- und Systemzugriff ermöglichen. Jedes einzelne Gerät verfügt über eigene Eigenschaften, Anforderungen und Kommunikationsprotokolle, die im Zero-Trust-Modell verfolgt und gesichert werden müssen. Dies ist zwar definitiv machbar, erfordert jedoch oft mehr Arbeit im Voraus, um Ihre Zero-Trust-Sicherheitsmaßnahmen für einen stark auf BYOD ausgerichteten Arbeitsplatz zu konfigurieren.
Ein weiterer schwieriger Faktor, den Sie bei der Einführung von Zero Trust berücksichtigen sollten, ist die Anzahl der Anwendungen, die Sie im gesamten Unternehmen für die Zusammenarbeit und Kommunikation zwischen Mitarbeitern und Teams verwenden. Sie arbeiten wahrscheinlich mit vielseitigen und flexiblen cloudbasierten Anwendungen, aber viele Anwendungen im gleichzeitigen Einsatz machen die Implementierung von Zero Trust zu einem schwierigen Unterfangen. Überlegen Sie, welche Drittanbieter Ihre Daten verarbeiten, wie diese gespeichert werden und ob jede einzelne Anwendung wirklich notwendig ist, bevor Sie zig Anwendungen in Ihren Tech-Stack integrieren, die alle nach Zero-Trust-Standards überwacht und gesichert werden müssen.
Leider kann Zero Trust nicht die Absicht eines Benutzers prüfen, selbst wenn er vollständig authentifiziert ist. Böswillige Insider, die – aus welchem Grund auch immer – ihrem eigenen Unternehmen Schaden zufügen wollen, können das möglicherweise nach wie vor mit den Daten oder Systemen tun, auf die sie autorisierten Zugriff haben. Das gleiche Prinzip gilt für öffentlich zugängliche Webanwendungen. Bestimmte Benutzer können sich für Konten anmelden, die richtigen Informationen bereitstellen und angemessenen Zugriff erhalten. Das bedeutet jedoch nicht, dass sie nicht vorhaben, Systeme oder Daten mit dem erlangten Zugriff zu kompromittieren.
In Zukunft werden Zero-Trust-Frameworks noch breitere Verwendung finden, aufgrund der fortschreitenden Cybersecurity-Bedrohungen, einer Zunahme der Remote-Arbeit und des explosionsartigen Zuwachses an BYOD und IoT. Ein Data-First-Ansatz für die Sicherheit ist für Zero Trust unerlässlich. Je besser Unternehmen wissen, wo sich ihre sensibelsten Daten befinden, wer darauf zugreifen kann und was damit getan wird, desto effektiver können sie sich gegen die modernen hochentwickelten Bedrohungen schützen. Durch die Implementierung einer Zero-Trust-Architektur begrenzen Sie sowohl den Radius als auch den Schaden eines potenziellen Cyberangriffs und ergreifen Maßnahmen zur Cybersicherheits-Compliance – unabhängig davon, in welcher Branche Ihr Unternehmen tätig ist.