single.php
< Beitrag von Stephan Dreher

Zero Trust – die Devise für den sicheren IT-Arbeitsplatz

Der Weg zu mehr Sicherheit am IT-Arbeitsplatz führt von „Trust but verify“ zu „Zero Trust“. Nicht zuletzt die Notwendigkeit, mobile Endgeräte abzusichern, begründet den Ruf nach neuen Sicherheitskonzepten, die wiederum von starken Tools unterstützt werden.

Burg mit Wassergraben
Quelle: https://unsplash.com/@clarky_523

Wenn wir über IT-Sicherheit reden, entsteht ein Bild, das einer mittelalterlichen Burg mit dicken Mauern und Wassergraben (Castle & Moat) gleicht: Ein Unternehmen schützt seine IT mit einer hohen Mauer (Netzwerk-Topologie), einem Wassergraben (Viren-Scanner) und einer Zugbrücke (Firewall) gegen Bedrohungen von außen (Malware). So entsteht eine scharfe Trennung (Perimeter) zwischen der internen IT (Intranet) und der „Welt“ da draußen (Internet).

„Trust but verify“

Das Modell, auf dem die meisten Sicherheitssysteme basieren, ist das sogenannte „Vertrauen-ist-gut-Kontrolle-ist-besser“-Modell, das mit Zugangskontrollen und Identitätsverwaltung operiert. Der Name des Modells verweist u. a. auf ein politisches Konzept des Kalten Krieges, das wiederum wegweisend war im Kontext der Abrüstung in den 1980ger Jahren.

Übertragen auf die IT-Security bedeutet dies: Sobald sich ein User erfolgreich authentifiziert hat, kann er auf das interne Netzwerk zugreifen, wobei die Admins diese Zugriffe kontrollieren. Gerade diese Überwachung („verify“) erfordert jedoch zunehmend mehr Aufwand und die Fülle an Informationen überfordert häufig die Administratoren, solange sie nicht auf automatisierte Prozesse zurückgreifen können.

Eine weitere Schwäche des Systems besteht darin, dass ein Angreifer, der den Perimeter (Firewall, Trusted Network, Trusted ID, etc.) einmal erfolgreich überwunden hat, sich relativ frei im internen System bewegen kann. Wenn sich ein solcher Angreifer unauffällig verhält und seine feindlichen Aktionen geschickt tarnt, hat er freie Hand. Das IT-Sicherheitssystem nach dem „Trust-but-verify“-Prinzip reicht also nicht mehr aus, es müssen neue Sicherheitskonzepte her!

„Zero Trust“

Vereinfachtes Schema einer "Zero-Trust"-Architektur
Vereinfachtes Schema einer „Zero-Trust“-Architektur

Eine Antwort auf diese Anforderung gab John Kindervag, als er 2009 das Konzept der Zero Trust Network Architecture einwickelte. Dadurch begründete er zugleich einen neuen Denkansatz in der IT-Sicherheit. Denn für diese neue Sicherheitsarchitektur gilt: Niemand ist in irgendeinem Kontext vertrauenswürdig („zero trust“). Folglich gibt es auch keine vertrauenswürdigen Ressourcen im Netzwerk (User, Schnittstellen, Pakete, etc.). Macht man mit diesem Ansatz ernst, dann ist das Konzept des Vertrauens in einmal verifizierten Assets hinfällig. Das wird auch deutlich in den 3 fundamentalen Grundsätze, die Kindervag formulierte:

  • Alle Ressourcen müssen in einer abgesicherten Weise zugreifen können, unabhängig von Ort, Equipment und Kontext.
  • Die Zugangskontrolle ist obligatorisch und muss strikt auf allen Ebenen durchgesetzt werden: ID Provider und Policy für ihren Lebenszyklus
  • Jeder Datenverkehr muss inspiziert und gespeichert werden: Device Directory, Access Proxy

Das Konzept Kindervags feuerte nicht nur eine weltweite Diskussion der Sicherheitsexperten an sondern provozierte auch weitere Forschungsprojekte, wie z. B. das Jericho Forum, Google Beyond Corp, die Collaboration-oriented Architecture, und die Cloud Security Alliance (CSA). Leider verlief der Verlauf dieser Diskussionen nicht immer glücklich. So kam es zu einer Verwässerung der Grundprinzipien, zur Verwendung falscher Definitionen und zu Umdeutungen, die weniger der IT-Sicherheit, als dem Verkauf wohlfeiler Sicherheitslösungen dienten.

Die Vielfalt der IT von morgen

Paul Simmonds, Fallacy of the "Zero Trust Network"
Paul Simmonds, Fallacy of the „Zero Trust Network“

Was hingegen „Zero Trust“ wirklich bedeutet und was es eben nicht, definiert Paul Simmonds, Vorsitzender der Global Identity Foundation, in einem exzellenten Vortrag. Der Screenshot aus Paul Simmonds Vortrag zeigt, dass zukünftig neben den cloudbasierten Anwendungen (XaaS = X as a Service) noch viele weitere neue Elemente im Einsatz sein werden. Dazu gehören z. B. Drittanbietergeräte (BYOD = Bring your own Device), Fertigungsgeräte, der neue Mobilfunkstandard 5G und das IoT (Internet of Things). Dabei bildet jedes dieser Elemente ein neues Einfallstor in das interne Netzwerk und birgt Sicherheitsrisiken, die die Belastbarkeit des Zero-Trust-Modells herausfordern.

Zero Trust im Unified Digital Workspace

Wenn man in einem 1. Schritt nur die Endpoints fokussiert, d. h. die – teils mobilen – von Menschen bedienten Netzwerkzugänge, dann zeigen sich bereits einige Problemfelder, die die (Daten-)Sicherheit betreffen. Bisher wurden die Endpunkt-Geräte durch Firewall-Regeln und Antivirus-Lösungen (AV). geschützt. Aber externen Angreifer gelingt es immer öfter die perimeterbezogene Abwehr mit Malware-Varianten zu durchbrechen, die die AV nicht kennt und daher nicht detektiert (Zero Exploits).

Darüber hinaus sind interne Bedrohungen ein großes Problem. Dazu zählen Sabotage, illegale Datenabzüge und Unachtsamkeit im Umgang mit sensiblen Daten. Das Ausmaß dieser Bedrohung wird deutlich, wenn man bedenkt, dass allein am Flughafen London Heathrow 900 Laptops pro Woche verloren gehen, weil sie gestohlen oder vergessen werden. Das systematische Management und die zuverlässige Absicherung mobiler Endgeräte sind daher unabdingbarer Bestandteil jedes Sicherheitskonzeptes.

Aus Crisp Research 2018, WORKPLACE UND MOBILITY ANBIETER & DIENSTLEISTER IM VERGLEICH licensed by Matrix42

Aber wie lässt sich die Endpoint Security gewährleisten? Oder anders gefragt: Was fordert das Zero-Trust-Modell, um die von End-Anwendern genutzten Geräte abzusichern? Um dies zu erreichen, sollten Sie auf jeden Fall die folgenden Maßnahmen ergreifen:

  • die einfache Provisionierung (Unified Endpoint UEM)
  • die Verschlüsselung und den Malwareschutz (Security)
  • die Zugriffskontrolle auf Speichermedien, Netzlaufwerke und Cloudservices (Security)
  • das sichere Löschen von Daten und Speichermedien (Security)
  • die Passwortverwaltung und Beantragung von Nutzungsrechten (Identity Access IAM)

All diese Features machen den digitalen Arbeitsplatz sicherer, kontrollierter, ohne die Funktionalität und Bedienungsfreundlichkeit für den Anwender einzuschränken – und sie lassen sich hervorragend umsetzen mit der Endpoint Security Suite unseres Partners Matrix42. Denn mit der Integration der Sicherheitslösungen aus der Produktlinie von EgoSecure und des OEM Ensilo bildet Matrix 42 ein starkes Bundle für die Sicherheit Ihrer IT.

Möchten Sie mehr wissen über die Endpoint Security Suite von Matrix 42? Dann melden Sie sich an zu meinem Webinar am Freitag, den 18.10.2019 von 9:00 – 10:00 Uhr.

Folgen
X

Folgen

E-mail : *
Kategorie: IT- & Data-Security, ITSM | Schlagwörter: , , | Kommentare: 0

Beitrag kommentieren

CAPTCHA * Time limit is exhausted. Please reload CAPTCHA.