Was ist Zero-Trust-Architektur? Und warum gibt es noch viel zu tun

Die Zero Trust Architecture (ZTA) ist ein Konzept, das besagt, dass Benutzerkonten oder Vermögenswerten kein implizites Vertrauen entgegengebracht wird, nur aufgrund ihres Netzwerks oder physischen Standorts oder aufgrund ihres Eigentums an der Ressource. Bevor eine Verbindung mit einem Unternehmensnetzwerk hergestellt wird, müssen die Autorisierung und Authentifizierung sowohl des Geräts als auch des Subjekts diskret durchgeführt werden, um die NIST ZTA-Cybersicherheitsrichtlinien zu erfüllen.

Grundsätze von Zero Trust

Es gibt einen Paradigmenwechsel von weiten Netzwerkperimetern hin zu einem Laserfokus auf den Schutz kleinerer oder einzelner Gruppen von Netzwerken oder Ressourcen. Es wird niemandem implizit Vertrauen entgegengebracht, nur weil er zufällig Zugriff auf das Netzwerk oder den physischen Standort hat. Im Mittelpunkt von ZTA steht die Verhinderung des unbefugten Zugriffs auf Daten und Dienste und eine möglichst detaillierte Zugriffskontrolle. NIST hat eine Reihe von konzeptionellen Prinzipien im Zusammenhang mit der Planung und Ausführung von ZTA skizziert.

Alle Daten und Computergeräte gelten als Ressourcen. Wenn beispielsweise das persönliche Smartphone eines Mitarbeiters auf Unternehmensdaten zugreifen kann, sollte es als Ressource eingestuft werden.

Die Kommunikation muss unabhängig vom Standort des Netzwerks gesichert sein. Unabhängig davon, ob die Anfragen von innerhalb oder außerhalb des Netzwerks stammen, müssen identische Sicherheitsstufen eingehalten werden. Die gesamte Kommunikation muss authentifiziert und verschlüsselt werden.

Auf Anfrage sollte ein individueller Zugriff auf Unternehmensressourcen gewährt werden. Die Authentifizierung für eine einzelne Ressource gewährt nicht automatisch Zugriff auf andere Ressourcen.

‍Der Zugriff auf Ressourcen sollte durch Richtlinien geregelt werden einschließlich des Status der Benutzeridentität und des Systems, das die Anfrage stellt, zusammen mit anderen Verhaltensattributen.

Unternehmen müssen sicherstellen, dass sich alle ihre eigenen und zugehörigen Systeme durch ständige Überwachung im höchstmöglichen Sicherheitszustand befinden. Patches und Fixes sollten sofort auf diffuse Sicherheitslücken angewendet werden.

Die Authentifizierung des Benutzers muss vor dem Zugriff strikt durchgesetzt werden. und muss ein dynamischer Prozess sein.

Ansätze der Zero-Trust-Architektur

Unternehmen können eine Vielzahl von Möglichkeiten wählen, um ZTA für ihre Workflows durchzusetzen. Die Richtlinien und Komponenten können aufgrund ihrer Geschäftsziele und -kultur von Organisation zu Organisation variieren. Trotz der Differenzierung stellen alle Ansätze sicher, dass alle Grundsätze von Zero Trust eingehalten werden. Allerdings haben sie die Möglichkeit, sich stärker auf einen oder mehrere Grundsätze als Haupttreiber der Sicherheitspolitik zu konzentrieren. Im Folgenden finden Sie einen Überblick über diese Optionen.

ZTA mit verbesserter Identity Governance

Dazu gehört es, die Identität der Akteure zum entscheidenden Bestandteil der politischen Entscheidungsfindung zu machen. Bei diesem Ansatz werden die Bedingungen für den Zugriff auf Unternehmensressourcen auf der Grundlage der Identität und der zugewiesenen Attribute definiert, wobei die Hauptvoraussetzung die Zugriffsrechte sind, die der Person für den Zugriff auf eine Ressource gewährt werden.

ZTA mit Mikrosegmentierung

Bei diesem Ansatz entscheiden sich die Unternehmen für den Einsatz von ZTA, indem sie einzelne Ressourcen oder Gruppen von Ressourcen in einem separaten Netzwerksegment platzieren, das über Gateway-Sicherheitsschutz verfügt. In solchen Fällen verlässt sich das Unternehmen auf Infrastrukturgeräte wie Router, Switches und Firewalls der nächsten Generation, die als Policy Enforcement Points (PEPs) dienen und jede Ressource oder zugehörige Gruppe von Ressourcen schützen. Dies kann auch durch Softwareagenten durchgesetzt werden.

ZTA mit Netzwerkinfrastruktur und softwarespezifizierten Perimetern

Bei diesem Ansatz implementiert das Unternehmen ZTA, indem es ein Overlay-Netzwerk bereitstellt, normalerweise Layer 7, aber es kann auch ein niedrigerer OSI-Netzwerkstapel verwendet werden. Dieser Ansatz wird auch als softwaredefinierter Perimeter (SDP) bezeichnet, da er häufig Ideen aus softwaredefinierten Netzwerken (SDN) beinhaltet.

Schwächen im Zusammenhang mit der Zero-Trust-Architektur

Obwohl ZTA eine der effektivsten Cybersicherheitsarchitekturen ist, hat ZTA seine Grenzen, wenn es darum geht, den absoluten Datenschutz und die Sicherheit Ihres Unternehmensnetzwerks zu gewährleisten. Es gibt Schlupflöcher, die ausgenutzt werden können, um die Kontrolle zu erlangen, was zu Datenschutzverletzungen und weiterem bösartigem Verhalten führen kann. Zu den bekanntesten gehören die folgenden:

Umgehung des ZTA-Entscheidungsprozesses

In der Zero Trust Architecture sind der Policy-Administrator und die Engine die wichtigsten Unternehmenskomponenten. Ohne die Genehmigung durch den Policy Administrator (PA) und die Policy Engine (PE) findet keine Kommunikation zu und von den Unternehmensressourcen statt. Das bedeutet, dass es unerlässlich ist, diese Komponenten angemessen zu warten und zu konfigurieren. Ein Administrator, der Konfigurationszugriff auf die Regeln der Engine hat, kann unbefugte und nicht genehmigte Änderungen vornehmen oder einen Fehler begehen, der die Unternehmenssicherheit gefährden könnte. Ebenso könnte ein Richtlinienadministrator, der kompromittiert wurde, den Zugriff auf Ressourcen ermöglichen, die andernfalls nicht autorisiert wären.

Insider-Bedrohung und gestohlene Zugangsdaten

Angreifer können verschiedene Tools und Methoden verwenden, um an Anmeldeinformationen zu gelangen, oder ein Insider kann seine autorisierten Rechte missbrauchen. Sie können Social Engineering, Phishing oder eine Kombination verschiedener Angriffe einsetzen, um an die Anmeldeinformationen von hochkarätigen Konten zu gelangen. MFA/2FA kann das Risiko dieser Art von Angriff minimieren, aber ein Täter, der Zugriff auf gültige Anmeldeinformationen hat, kann trotzdem auf Ressourcen zugreifen, für die der Zugriff gewährt wurde. Beispielsweise kann ein kompromittierter Mitarbeiter Zugriff auf die Mitarbeiterdatenbank haben.

Es sollte beachtet werden, dass Konten, für die Zugriffsrichtlinien für Ressourcen gelten, einem höheren Risiko von Insiderangriffen ausgesetzt sind, da sie der Schlüssel zum Zugriff auf andere Ressourcen sind.

Verwendung von Nicht-Personen-Entitäten (NPEs) in der ZTA-Verwaltung

Viele Unternehmensnetzwerke haben KI oder automatisierte softwarebasierte Agenten eingesetzt, um ihre Sicherheitsprobleme zu lösen. Sie müssen mit den ZTA-Managementkomponenten einschließlich PA und PE kommunizieren, anstatt mit einem menschlichen Administrator. Die Authentifizierung dieser Komponenten im Unternehmen bei gleichzeitiger Sicherstellung der Einhaltung von ZTA ist eine offene Debatte. Es wird davon ausgegangen, dass die Mehrheit der automatisierten Systeme irgendeine Art von Authentifizierungsmethode für den API-Zugriff auf Ressourcen verwenden wird.

Das größte Sicherheitsrisiko sind hier falsch positive und falsch negative Ergebnisse bei der Verwendung automatisierter Systeme für PE und Konfiguration, die die Unternehmenssicherheit ernsthaft gefährden können.

Letztes Wort

Wenn es um die Verbesserung der Cybersicherheit geht, hat das Unternehmen einen langen Weg zurückgelegt, und die Zero Trust Architecture ist ein lebendiger Beweis dafür. ZTA beseitigt zwar eine Vielzahl von Sicherheitsrisiken, es sollte jedoch beachtet werden, dass es immer noch einige Bedrohungen gibt, die angegangen werden müssen. Die wirkungsvollste ist wahrscheinlich, dass ein Policy Decision Point (PDP) und ein entsprechender Policy Enforcement Point (PEP) potenziell von einem privilegierten Insider beim Identitätsanbieter unterlaufen werden können.

‍