Fordern Sie noch heute eine kostenlose Demo an!
Zero Trust Architektur (ZTA) ist ein Konzept, das vorschlägt, dass es kein implizites Vertrauen in Benutzerkonten oder Ressourcen allein auf der Grundlage ihres Netzwerks oder physischen Standorts oder auf der Grundlage ihres Eigentums an den Ressourcen gibt. Vor der Herstellung einer Verbindung mit einem Unternehmensnetzwerk muss die Autorisierung und Authentifizierung sowohl des Geräts als auch des Subjekts diskret durchgeführt werden, um die NIST ZTA-Cybersicherheitsrichtlinien zu erfüllen.
Grundsätze des Zero Trust
Es vollzieht sich ein Paradigmenwechsel von weiten Netzwerkumfängen hin zu einem Laserfokus auf den Schutz kleinerer oder einzelner Gruppen von Netzwerken oder Ressourcen. Es gibt kein implizites Vertrauen, das irgendjemandem gewährt wird, nur weil er zufällig Zugang zum Netzwerk oder zum physischen Standort hat. Im Zentrum des ZTA steht die Beseitigung des unberechtigten Zugriffs auf Daten und Dienste und eine möglichst granulare Zugangskontrolle. Das NIST hat eine Reihe von konzeptionellen Prinzipien in Bezug auf den Entwurf und die Ausführung von ZTA umrissen.
- Alle Daten und Computergeräte sind als Ressourcen zu betrachten. Wenn zum Beispiel das persönliche Smartphone eines Mitarbeiters auf Unternehmensdaten zugreifen kann, sollte es als Ressource eingestuft werden.
- Die Kommunikation muss unabhängig vom Standort des Netzwerks gesichert werden. Unabhängig davon, ob die Anfragen von innerhalb oder außerhalb des Netzwerks stammen, müssen identische Sicherheitsniveaus aufrechterhalten werden. Jegliche Kommunikation muss authentifiziert und verschlüsselt werden.
- Der Zugriff auf einzelne Unternehmensressourcen sollte pro Anfrage gewährt werden. Die Authentifizierung an einer einzelnen Ressource gewährt nicht automatisch den Zugriff auf andere Ressourcen.
- Der Zugriff auf Ressourcen sollte durch Richtlinien geregelt werden, die den Identitätsstatus des Benutzers und das System, das die Anfrage stellt, sowie andere Verhaltensattribute einschließen.
- Die Unternehmen müssen durch ständige Überwachung sicherstellen, dass sich alle ihre eigenen und damit verbundenen Systeme im höchstmöglichen Sicherheitsstatus befinden. Patches und Korrekturen sollten sofort auf diffuse Schwachstellen angewendet werden.
- Die Authentifizierung des Benutzers muss vor dem Zugriff streng durchgesetzt werden und muss ein dynamischer Prozess sein.
Zero Trust Architektur-Ansätze
Unternehmen können eine Vielzahl von Möglichkeiten zur Durchsetzung von ZTA für ihre Arbeitsabläufe wählen. Die Richtlinien und Komponenten können von Unternehmen zu Unternehmen aufgrund ihrer Geschäftsziele und Kultur variieren. Trotz der Differenzierung gewährleisten alle Ansätze die Einhaltung aller Grundsätze der Zero Trust ZTA, wobei sie die Möglichkeit haben, sich auf einen oder wenige Grundsätze als primäre Triebkräfte der Sicherheitspolitik zu konzentrieren. Im Folgenden wird ein Überblick über diese Optionen gegeben.
ZTA mit verbesserter Identitätsverwaltung
Dazu gehört es, die Identität der Akteure zur entscheidenden Komponente der Politikgestaltung zu machen. Bei diesem Ansatz werden die Bedingungen für den Zugang zu Unternehmensressourcen auf der Grundlage der Identität definiert und mit Attributen versehen, wobei die Hauptanforderung die dem Subjekt für den Zugang zu einer Ressource gewährten Zugangsprivilegien sind.
ZTA mit Mikro-Segmentierung
Bei diesem Ansatz entscheiden sich die Unternehmen für den Einsatz von ZTA, indem sie eine einzelne oder Gruppen von Ressourcen in einem separaten Netzwerksegment positionieren, das über einen Gateway-Sicherheitsschutz verfügt. In solchen Fällen verlässt sich das Unternehmen auf Infrastrukturgeräte wie Router, Switches und Firewalls der nächsten Generation, die als Policy Enforcement Points (PEPs) fungieren und jede Ressource oder zugehörige Gruppe von Ressourcen schützen. Dies kann auch durch Software-Agenten durchgesetzt werden.
ZTA mit Netzwerkinfrastruktur und software-spezifizierten Perimetern
Bei diesem Ansatz implementiert das Unternehmen ZTA durch den Einsatz eines Overlay-Netzwerks, normalerweise Schicht 7, aber es kann auch ein niedrigerer OSI-Netzwerkstapel verwendet werden. Dieser Ansatz wird auch als Software-Defined Perimeter (SDP) bezeichnet, da sie oft Ideen aus Software Defined Networks (SDN) enthalten.
Schwächen im Zusammenhang mit Zero Trust Architektur
Obwohl ZTA eine der effektivsten Cyber-Sicherheitsarchitekturen ist, hat sie ihre Grenzen, wenn es darum geht, absolute Privatsphäre und Sicherheit Ihres Unternehmensnetzwerks zu gewährleisten. Es gibt Schlupflöcher, die ausgenutzt werden können, um die Kontrolle zu erlangen, was zu Datenverletzungen und weiterem böswilligen Verhalten führen kann. Zu den prominentesten gehören die folgenden:
Subversion des ZTA-Entscheidungsprozesses
In der Zero Trust Architektur sind der Richtlinienadministrator und die Engine die primären Unternehmenskomponenten. Ohne die Zustimmung des Richtlinienadministrators (PA) und der Richtlinien-Engine (PE) gibt es keine Kommunikation zu und von Unternehmensressourcen. Das bedeutet, dass es unerlässlich ist, diese Komponenten angemessen zu warten und zu konfigurieren. Ein Administrator, der Konfigurationszugriff auf die Regeln der Engine hat, kann unbefugte und nicht genehmigte Änderungen vornehmen oder einen Fehler begehen, der die Sicherheit des Unternehmens gefährden kann.
In ähnlicher Weise könnte ein Richtlinienadministrator, der kompromittiert wurde, den Zugriff auf jene Ressourcen ermöglichen, die andernfalls nicht autorisiert wären.
Insider-Bedrohung & gestohlene Anmeldedaten
Angreifer können verschiedene Werkzeuge und Methoden einsetzen, oder ein Insider kann ihre autorisierten Privilegien missbrauchen, um Zugang zu Anmeldedaten erhalten. Sie können Social Engineering, Phishing oder eine Mischung aus verschiedenen Angriffen einsetzen, um an Anmeldetedaten von hochkarätige Konten zu gelangen. MFA/2FA kann das Risiko dieser Art von Angriffen minimieren, aber ein Täter, der Zugang zu gültigen Anmeldedaten Ressourcen hat, kann trotzdem auf Ressourcen zugreifen, für die der Zugang gewährt wurde. Zum Beispiel kann ein kompromittierter Mitarbeiter Zugriff auf die Mitarbeiterdatenbank haben.
Es sollte bedacht werden, dass die Konten, die eine Zugangspolitik zu Ressourcen haben, einem größeren Risiko von Insider-Angriffen ausgesetzt sind, da sie der Schlüssel zum Zugang zu anderen Ressourcen sind.
Verwendung von Nicht-Personen-Entitäten (NPEs) in der ZTA-Verwaltung
Viele Unternehmensnetzwerke haben KI oder automatisierte softwarebasierte Agenten eingesetzt, um ihre Sicherheitsprobleme zu lösen. Sie müssen mit den ZTA-Verwaltungskomponenten einschließlich PA und PE kommunizieren, anstatt mit einem menschlichen Administrator. Die Authentifizierung dieser Komponenten im Unternehmen bei gleichzeitiger Gewährleistung der Einhaltung von ZTA ist eine offene Debatte. Man geht davon aus, dass die Mehrheit der automatisierten Systeme irgendeine Art von Mittel zur Authentifizierung für den API-Zugriff auf Ressourcen verwenden wird.
Das größte Sicherheitsrisiko besteht hier in falsch-positiven und falsch-negativen Ergebnissen bei der Verwendung automatisierter Systeme für PE und Konfiguration, die die Unternehmenssicherheit ernsthaft gefährden können.
Schlusswort
Wenn es um die Verbesserung der Cybersicherheit geht, hat die Unternehmenswelt einen langen Weg zurückgelegt, und die Zero Trust Architektur ist ein lebendiger Beweis dafür. Obwohl ZTA eine Vielzahl von Sicherheitsrisiken eliminiert, sollte beachtet werden, dass es immer noch einige Bedrohungen gibt, die angegangen werden müssen. Die wohl wirkungsvollste ist, dass ein Policy Decision Point (PDP) und der entsprechende Policy Enforcement Point (PEP) durch einen privilegierten Insider beim Identitätsanbieter potenziell unterlaufen werden können.
