Perimeterschutz adé - "Zero Trust" ist die neue Normalität

/ Kategorie: ISPIN Viewpoint
Erstellt von Reiner Höfinger

Moderne IT Infrastrukturen werden aufgrund der sich stetig wandelnden Bedingungen und Bedürfnisse immer dynamischer. Die Sicherheitsmethoden der Vergangenheit können mit Mobile-first- und Cloud-first-Ansätzen nicht mithalten, denn Cyber-Kriminelle haben längst Wege gefunden, um die statischen Firewall-Mauern, VPN-Tunnel oder Login-Tore zu überwinden. Eine neue Sicherheitsstrategie mit einer kontinuierlichen Überwachung und Anpassung für einen identitäts- und kontext-basierten Zugriff ist notwendig: Zero Trust.

Zero Trust

Cloud-first-Strategien und der Megatrend «Mobile» bestimmen die digitale Transformation bei den Unternehmen und sorgen dafür, dass das Rechenzentrum als klassischer Perimeter im Mittelpunkt abgelöst wird. Eine klare Aussengrenze des Netzwerks ist somit nicht mehr gegeben. Immer mehr Daten liegen ausserhalb. Mehr Services werden aus der Cloud bezogen und immer mehr Geräte befinden sich ausserhalb des Netzwerks. Die IP-Adresse als Entscheidungsgrundlage ist nicht mehr ausreichend. Diese dynamische, neue Umgebung stellt viele Unternehmen vor grosse Herausforderungen.

Perimeterschutz - oder wie man sich früher sicherte

Nach dem Vorbild einer mittelalterlichen Burg, die durch Steinmauern, Gräben und Zugbrücken geschützt war, stellt der Perimeter im Wesentlichen die Grenze zwischen dem Unternehmensnetzwerk und dem Rest der Welt dar. Innerhalb der Burg bzw. des Perimeters handelt es sich also um eine vertrauenswürdige Zone, in der Benutzer, Geräte und Anwendungen gewisse Freiheit haben. Nur die Eingangs- und Ausgangspunkte des Netzwerkes, also Zugriffversuche auf Unternehmensressourcen, die von ausserhalb des Perimeters kommen, werden überwacht und einer genauen Sicherheitsüberprüfung unterzogen. Dabei wird vorausgesetzt, dass die Aktivitäten im abgesicherten Perimeter relativ sicher sind.

  • Benutzer, Geräte und Anwendungen waren im Unternehmensnetzwerk hinter der Firewall geschützt.
  • Alle Endpunkte, die auf Ressourcen zugriffen, wurden vom Unternehmen verwaltet.
  • Alle vom Unternehmen verwalteten Systeme konnten untereinander grundsätzlich von ihrer Vertrauenswürdigkeit ausgehen. Die Vertrauenswürdigkeit wurde dabei häufig am jeweiligen Netzwerkstandort festgemacht.

Der Perimeterschutz funktionierte, solange die vertrauenswürdige Zone auf das lokale Zugangsnetz und die daran angeschlossenen stationären Geräte beschränkt war.

Nachteile beim Perimeterschutz

In einer klassischen IT-Umgebung wirken sich folgende Effekte zu Ungunsten der Sicherheit aus:

  • Zugriffsrechte werden zu grosszügig erteilt. Erlaubte Quellen sind meist ganze Subnetze statt nur einzelne Benutzer.
  • Verfügt ein Benutzer bzw. Angreifer über Zugriff auf eine Zielressource, kann er sich innerhalb eines Subnetzes beinahe ungehindert bewegen - "Lateral Movement".
  • Interner Datenverkehr wird nicht ausreichend kryptographisch geschützt, wie dies auf externen Verbindungen normal wäre. Damit wird das Abhören von Verbindungen sowie das Erzeugen falscher Identitäten erleichtert.
  • Das Monitoring einer internen Umgebung ist üblicherweise nicht engmaschig genug, um beispielsweise einen Eindringling zu entdecken - etwa über Firewall Logs.

In modernen, dynamischen Unternehmensinfrastrukturen verschwimmt der klassische Perimeter immer mehr. Der Grund: Die Zahl der von den Mitarbeitenden genutzten mobilen Geräte und Cloud-Services wächst exponentiell und viele der Unternehmensressourcen im Zuge des mobilen Arbeitens befinden sich ausserhalb des Büros oder sogar im Ausland. Um diesen neuen Gegebenheiten wirksam gerecht zu werden, anstatt immer mehr Geld für stärkere Mauern und breitere Gräben auszugeben, braucht es ein neues Konzept. Das Konzept, welches diese Anforderungen umfassend erfüllen kann, heisst „Zero Trust“. Zero Trust verfolgt einen klaren Ansatz, um den Zugriff auf Identitäten, Daten und Geräte zu steuern: dem Konzept des Null-Vertrauens.

Zero Trust– der moderne Ansatz für die Cybersicherheit von heute und morgen

Zero Trust ist keine spezifische Technologie, sondern eine umfassende Sicherheitsstrategie. Das Zero Trust Modell erfordert eine völlig neue Denkweise, die eine detaillierte Transparenz des Datenzugriffs über den gesamten Netzwerkbereich erfordert. Es ist ein Sicherheitskonzept, welches keinen Unterschied zwischen Applikationen, Anwendern und Geräten innerhalb oder ausserhalb des eigenen Netzwerks eines Unternehmens macht. Es geht davon aus, dass eine interne Bedrohung innerhalb des eigenen Firmennetzes genauso entstehen kann, wie eine externe Bedrohung. Bei Zero Trust wird also prinzipiell keinem Gerät, Nutzer oder Prozess mehr vertraut, unabhängig davon, ob sich dieser/dieses innerhalb oder ausserhalb der Organisation befindet. Bei jeder Sitzung muss jeder Nutzer, jedes Gerät und jede Anwendung das Authentifizierungsverfahren durchlaufen und beweisen, dass er das Recht hat, auf die vorliegenden Daten und Applikationen zuzugreifen. Gemäss Best Practices von Zero Trust kommen umfassendes Identity Management und Single-Sign-On wann immer möglich zum Einsatz, so dass die Sicherheitsmassnahmen trotz Sicherheitsgewinn für den Benutzer transparenter und weniger invasiv werden. Dadurch wird die Adoption von Zero Trust zusätzlich gefördert.

Benutzer, Workloads und Arbeitsumgebung schützen

Es stellt sich die Frage: Was soll man nun eigentlich alles schützen? 
Unternehmen sind von Natur aus komplex. Da gibt es das extrem weitläufige Ecosystem aus verschiedensten IT-Anbietern und Softwarelösungen, die auf Multicloud und On-Premise Infrastrukturen verteilt sind. Dazu kommt eine vielschichtige, rund um den Globus verteilte Nutzerschaft aus Mitarbeitenden, Auftragnehmern, Kunden usw., die –häufig über ihre privaten Geräte – mit Anwendungen arbeiten, deren Kommunikation untereinander über APIs, Microservices und Container erfolgt. Für den durchgängigen Gerätezugriff, etwa im IoT, gibt es zudem nach wie vor Unternehmensnetzwerke.

Kleine Segmente - grosser Schutz

Das Zero Trust Modell vereinfacht die ganze Sache und unterteilt die Unternehmensinfrastruktur und andere Ressourcen in kleine Segmente, die aus nur einem Gerät bzw. Workload oder einer Anwendung bestehen können. Dadurch erhält man viele kleine Perimeter mit jeweils eigenen Sicherheitsrichtlinien und Zugriffsberechtigungen. Durch diese kleinen Schutzflächen erhalten die Unternehmen die Flexibilität bei der Verwaltung des Zugriffs und werden in die Lage versetzt, die unkontrollierbare Ausbreitung einer Bedrohung innerhalb des Netzwerks zu blockieren. Dabei gilt, dass Zero Trust auf jeden Bereich der Unternehmens-IT angewendet wird.

 

  1. Zero Trust für Benutzer:
    Nur berechtigte Personen, also Mitarbeitende, Auftragnehmer, Partner usw. und ihre sicheren Geräte (BYOD) können auf Anwendungen zugreifen, wobei ihr Standort dabei keine Rolle spielt.
  2.  Zero Trust für Workloads:
    Alle Verbindungen innerhalb von Anwendungen, d. h., wenn eine API, ein Microservice oder ein Container auf die Datenbank einer Anwendung zugreift, werden in der gesamten Multicloud abgesichert – von der Cloud über Rechenzentren bis hin zu anderen virtualisierten Umgebungen.
  3. Zero Trust für den Arbeitsplatz:
    Sie gewährleisten Sicherheit für alle Benutzer- und Geräteverbindungen im gesamten Unternehmensnetzwerk. Dazu gehören auch IoT-Geräte (wozu Server, Drucker, Kameras und Klimaanlagen ebenso zählen wie Infusionspumpen, Systeme zur Fertigungs- und Prozessautomatisierung und andere Gerätetypen).

Um Zero Trust-Security umfassend umzusetzen, muss auch das IT-Ecosystem vollständig gesichert werden – über alle Umgebungen hinweg, konsistent und vor allem automatisiert.

„Never Trust, Always Verify“

Beim Zero Trust-Ansatz gilt also: Statt grundsätzlich von der Vertrauenswürdigkeit einer Zugriffsanfrage auszugehen, wird diese immer erst überprüft – bei jeder einzelnen Anfrage, unabhängig davon, von wo diese kommt. Anwendungen werden dabei ebenso abgesichert wie Netzwerke. Die Vertrauenswürdigkeit wird auch auf moderne IT-Modelle mit BYOD, Cloud-Anwendungen und Hybrid-Umgebungen ausgeweitet. 
Umsetzung von Zero Trust für Mitarbeitende, Workloads und den Arbeitsplatz anhand einer dreistufigen Methodik:

  1. Feststellung der Vertrauenswürdigkeit von Benutzern, Anwendungen, Geräten usw. noch bevor Zugriff gewährt und Verbindungen bzw. Kommunikation zugelassen werden.
  2. Durchsetzung vertrauensbasierter Zugriffsrichtlinien mittels präzise an den jeweiligen Kontext angepasste Kontrollen (z. B. bei Veränderungen des Sicherheitsstatus von Geräten oder des Verhaltens von Anwendungen).
  3. Durchgehende Überprüfung der Vertrauenswürdigkeit durch Überwachung des Geräterisikos, von Richtlinienverletzungen, Verhaltensabweichungen und Softwareschwachstellen.

Zero Trust in der Umsetzung

Müssen Unternehmen ihre alte Sicherheitsfestung ganz abbauen, wenn sie auf Zero Trust-Prinzipien und -Technologien umstellen wollen? Nein, die Einführung des Zero Trust-Modells bringt ein Umdenken mit sich und ist eine Reise, verbunden mit einer kontinuierlichen Umstellung. Wenn man also nicht eine komplett neue, auf Zero Trust basierende Architektur aufbaut, bleibt bei der Umsetzung der durch Firewalls geschützte Kern-Perimeter weiter bestehen, wird jedoch durch Zero Trust-Elemente zusätzlich abgesichert.

"Wir schaffen den Perimeter nicht ab, sondern stärken die Sicherheit von innen heraus. Der Perimeter befindet sich nun nicht mehr am Netzwerk-Edge, sondern ist überall dort, wo eine Entscheidung über die Zugriffskontrolle getroffen wird." – Wendy Nather, Head of Advisory CISOs, Auszug aus Zero Trust: Going Beyond the Perimeter

Für die drei Elemente Mitarbeitende, Workloads und Arbeitsplatz gibt es dazu viele Technologien und Hersteller. Bei der Integration sollte man darauf achten, dass diese aufeinander abgestimmt sind, denn zu viele Köche verderben den Brei. Bei ISPIN setzen wir z. B. auf die Produkte von Cisco:

  • Für die Mitarbeitenden ermöglicht Cisco Duo Security effektiven Schutz vor Phishing, kompromittierten Anmeldedaten und anderen im Bereich des Identitätsdiebstahls verorteten Angriffen. Dies erfolgt mittels Multi-Faktor-Authentifizierung, die Zugriffe auf Anwendungen erst zulässt, wenn die Identität der Benutzer verifiziert und die Vertrauenswürdigkeit der Geräte nachgewiesen ist.
  • Bei den Workloads kommt mit Cisco Secure Workload Anwendungssegmentierung in die Infrastruktur, durch die Hybrid- und Multicloud-Workloads abgesichert und laterale Bewegungen verhindert werden. Auch deckt die Lösung Schwachstellen von Softwareversionen auf und unterbindet Kommunikationsvorgänge, was die Angriffsfläche insgesamt verkleinert.
  • Für den Arbeitsplatz bietet Cisco Software-Defined Access (SD-Access) umfassende Einblicke in Benutzer und Geräte, identifiziert Bedrohungen und implementiert Zugriffskontrollen für alle Verbindungen mit dem Unternehmensnetzwerk, auch von IoT-Geräten.

Damit erhält man einen guten Startpunkt auf der Zero Trust-Reise, welche sich mit weiteren Lösungen aus dem Cisco Security-Portfolio ausweiten lässt.

Vorteile eines Zero-Trust-Ansatzes

Die Vorteile eines Zero Trust-Ansatzes sind breit gefächert. Gestützt auf unser Framework werden sie allesamt realisiert:

  • Mehr Einblicke: Der Kontext hinter Zugriffsanfragen wird vollständig nachvollziehbar durch detaillierte Daten zu allen Benutzern, Endpunkten und IoT-Geräten, die mit Anwendungen und dem Netzwerk kommunizieren.
  • Geringere Angriffsfläche: Risiken rund um identitätsbezogene Angriffe (z. B. gestohlene/kompromittierte Kennwörter oder Phishing) werden minimiert. Laterale Bewegungen von Angreifern innerhalb des Netzwerks werden unterbunden (sollte es zu einer Sicherheitsverletzung kommen, wird verhindert, dass derselbe Vorfall an anderer Stelle erneut auftritt).
  • Breite Abdeckung: Zero Trust-Security gilt nicht nur für die Belegschaft, sondern sichert auch alle Workloads und Arbeitsumgebungen vollständig durch konsequent durchgesetzte Richtlinien ab, unabhängig davon, wo Daten oder Anwendungen sich befinden.

Zusammen. Sicher.

Sie möchten mehr erfahren? Starten Sie durch mit einer kostenlosen Testversion von Cisco Duo oder erleben Sie bei einer Demo die Vorteile von Secure Workload in Aktion. Profitieren Sie von der umfassenden Erfahrung der ISPIN-Security-Experten bei der Umsetzung von Zero Trust-Strategien. Nutzen Sie die Vorteile maximaler Risikominimierung durch die phasenweise Einführung und den damit einhergehenden Investitionsschutz. Kontaktieren Sie uns. Wir beraten Sie gerne. Kontaktieren Sie uns via marketing[at]ispin.ch oder +41 44 838 3111.

Haben Sie Fragen zu unseren News, Events oder Blogartikeln? Nehmen Sie mit mir Kontakt auf.

Reiner Höfinger

Marketing & Communications

Kontakt

ContactKontaktGo to top