Der Fall von Zero Trust

Der Angriff wurde zu einem internationalen Vorfall und führte zu einem Umdenken in der Netzwerkinfrastruktur von Unternehmen und sogar zu einem Umdenken in Bezug auf die Weisheit von Firmen-Firewalls. Im Jahr 2010 prägte ein Analyst von Forrester Research den Begriff Zero Trust, um sich auf ein alternatives Netzwerkmodell zu beziehen, das von keiner sicheren Netzwerkumgebung ausging und stattdessen jeden Client und Dienst dazu verpflichtete, sich gegenseitig zu identifizieren und über verschlüsselte Verbindungen zu kommunizieren. In den nächsten Jahren nach dem Angriff implementierte Google Zero Trust in seinem eigenen Netzwerk und veröffentlichte seine Erkenntnisse in einer Reihe von Whitepapern unter den BeyondCorpmoniker.

Traditionelles Unternehmensnetzwerk-Modell

Um ihre Systeme vor Eindringlingen zu schützen, richten Unternehmen seit langem ein Unternehmensnetzwerk ein, ein „sicheres“ Umfeld um ein privates Netzwerk herum, das die wertvollen technischen Anlagen des Unternehmens beinhaltet. Kontakte von außerhalb des Umfelds wurden mit Misstrauen behandelt, aber die Systeme innerhalb des Umfelds wurden als freundlich angesehen. Dieses Umfeld wurde oft als Unternehmensfirewall bezeichnet und kann mit dem Burggraben verglichen werden, der ein Schloss umgibt, welches in der Analogie das Unternehmensnetzwerk darstellt.

In einem echten Schloss besteht das Problem bei diesem Paradigma darin, dass die Insassen des Schlosses einem falschen Spiel ausgesetzt ist, sobald der Burggraben und die Mauer von einem Akteur durchbrochen werden. Schlimmer noch, die Bewohner neigen dazu, ihrem sicheren Umkreis zu vertrauen und behandeln den Kontakt innerhalb der Mauern daher als freundlich. Eingelullt in ein falsches Sicherheitsgefühl sind sie innerhalb der Mauern verwundbarer, als sie es ohne diese Mauern wären, wo sie ihrer Umgebung und ihren Kontakten ständig mit entsprechendem Misstrauen begegnen könnten. Auf die gleiche Weise vertrauenBenutzer und Rechenressourcen innerhalb einer Firmen-Firewall ihren Kollegen mehr als vielleicht gerechtfertigt wäre, da ein Eindringen von außen nicht nur möglich, sondern wahrscheinlich ist.

Die Schlossanalogie ist zwar nützlich, beginnt aber zu zerbrechen, wenn moderne Unternehmensnetzwerkrealitäten angesprochen werden. Nahezu jedes Unternehmen hat eine Cloud-Präsenz und viele erweitern ihren Netzwerkumfang, um Cloud-basierte Dienste zu ermöglichen. Außerdem können Benutzer, die von zu Hause oder unterwegs arbeiten, oft mit Hilfe eines VPN eine privilegierte Verbindung durch die Unternehmensfirewall herstellen, wodurch ein weiterer möglicher Eindringungsvektor eröffnet wird.

Die Zero Trust Alternative

Zero-Trust-Netzwerke enthalten kein Konzept von „Freunden“. Jede Interaktion zwischen Benutzern und Systemen – sowohl innerhalb des Unternehmens als auch außerhalb – muss sicherstellen, dass jeder Akteur seine Identität nachweisen kann, und ihre Kommunikation muss verschlüsselt werden.

Die Prinzipien von Zero Trust, laut Google, die die Alternative als BeyondCorp vermarkten:

• Die Verbindung von einem bestimmten Netzwerk aus darf nicht bestimmen, auf welche Dienste Sie zugreifen können
• Der Zugang zu Dienstleistungen wird auf der Grundlage dessen gewährt, was wir über Sie und Ihr Gerät wissen.
• Jeder Zugang zu Diensten muss authentifiziert, autorisiert und verschlüsselt sein

Quelle: BeyondCorp – Unternehmenssicherhheit | Google

Diese Prinzipien verdienen eine weitere Erläuterung:

Die Verbindung von einem bestimmten Netzwerk aus darf nicht bestimmen, auf welche Dienste Sie zugreifen können

Wir haben festgestellt, dass die Abgrenzung eines privaten Netzwerks Sicherheit impliziert – aber nicht gewährleistet. Tatsächlich verringert die Erwartung, dass ein privates Netzwerk sicher ist, das Risikobewusstsein. Daher sollte davon ausgegangen werden, dass alle Netzwerke, auch das eigene, unsicher sind. Die Unterteilung von Netzwerken in kleine Einheiten, die oft auf Identity Access Management (IAM)-Steuerungen basieren, wie sie z.B. von Cloud Computing-Plattformen sowie Virtual Private Clouds (VPCs) bereitgestellt werden, werden als Mikroumfelder bezeichnet. Diese tragen dazu bei, den Explosionsradius – dieOberfläche möglicher Schäden – einer Sicherheitslücke zu verringern, sollten aber keine primäre Verteidigung darstellen. Andernfalls laufen sie Gefahr, eine einzige Firmenburg und einen Firmengraben durch eine Reihe von Burgen und Gräben zu ersetzen, die das gleiche inhärente Risiko widerspiegeln.

Der Zugang zu Dienstleistungen wird auf der Grundlage dessen gewährt, was wir über Sie und Ihr Gerät wissen

Eine gängige Praxis bei Zero-Trust-Implementierungen ist es, den Zugriff auf Dienste nur von Systemen aus zuzulassen, die von der IT-Organisation des Unternehmens verwaltet werden. Auf diese Weise können sie sicherstellen, dass das Betriebssystem des Kunden für alle bekannten Sicherheitslücken gepatcht wird, dass eine angemessene Antiviren-Software installiert ist und dass andere Sicherheitskomponenten vorhanden sind. Das Wissen, dass das Client-System sicher ist, bevor ein Versuch unternommen wird, einen anderen Dienst im Netzwerk zu kontaktieren, verringert die Möglichkeit für eine externe Partei, erfolgreich in das System einzudringen, dramatisch.

Häufig wird ein zentralisierter Device Inventory Service verwendet, um Daten über bekannte Geräte zu sammeln und sicherzustellen, dass sie die Sicherheitsanforderungen für den Zugriff erfüllen. Zugriffsanfragen können den Inhalt der Inventurdatenbank nutzen, um festzustellen, ob eine Anfrage auf der Grundlage des letzten bekannten Sicherheitsstatus des Geräts genehmigt oder abgelehnt werden sollte.

Single Sign-On (SSO)-Systeme werden typischerweise bei Zero Trust eingesetzt, wenn ein menschlicher Benutzer auf ein System zugreifen möchte. Indem er sich mit seinem zentral verwalteten Benutzernamen und Passwort von einem gesicherten System aus identifiziert, das der IT-Abteilung bekannt ist, wird das Risiko, dass sich ein unerwünschter Benutzer Zugang zu einem System verschafft, erheblich verringert. Darüber hinaus empfehlen moderne Sicherheitsverfahren die Verwendung der Multi-Faktor-Authentifizierung (MFA),um zu verhindern, dass ein gestohlenes Passwort von einer anderen Partei verwendet wird. MFA erfordert, dass ein Benutzer zusätzlich zu seinem Passwort ein physisches Gerät, z.B. ein mobiles Gerät oder einen USB-Dongle, besitzt, um Zugang zu einem System zu erhalten. In Kombination mit SSO bietet MFA eine außergewöhnlich hohe Sicherheit, dass der Benutzer bekannt und vertrauenswürdig ist. Schließlich wird der Zugang nach dem Prinzip der geringsten Privilegien gewährt, was bedeutet, dass der Benutzerzugang nur auf Daten und Funktionen beschränkt werden sollte, die dem legitimen Geschäftszweck des Benutzers dienen.

Jeder Zugang zu Diensten muss authentifiziert, autorisiert und verschlüsselt sein

Ein authentifizierter Benutzer sollte auch sicher sein, dass das System, auf das er zugreift, ihm bekannt ist. Ein Betrüger, wie z.B. bei einem Man-in-the-Middle-Angriff, kann erkannt werden, wenn der Dienst in der Lage ist, sich durch ein vorher vereinbartes Mittel oder durch eine Vertrauenskette, wie bei einem Zertifikat, zu identifizieren. Sobald sowohl der Kunde als auch der Dienst ihre Identität gegenseitig bewiesen haben, muss festgelegt werden, ob dem betreffenden Kunden Zugang zu dem Dienst und den darin enthaltenen Daten gewährt werden soll. Diese Autorisierung kann durch IAM-Regeln und die im Verzeichnis enthaltenen Identitätsinformationen, die das SSO-System unterstützen, unterstützt werden. Nach der Autorisierung sollte die gesamte Kommunikation zwischen Client und Dienst verschlüsselt werden, so dass ein paketschnüffelnder Netzwerk-Peer keinen Einblick in den Inhalt hat.

Nortal und Zero Trust

Als zertifizierte Partner von Microsoft Azure, Google GCP und Amazon AWS verfügen wir über umfassendes Know-how bei der Bereitstellung von Cloud- und Hybrid-Architekturen. Sowohl bei Greenfield-Implementierungen als auch bei Legacy-Migrationen haben wir Best Practices angewandt und unsere Kunden bei der Verbesserung ihrer Sicherheitsposition beraten. Nortal bietet Beratungsdienste und maßgeschneiderte Softwarelösungen für Kunden auf der ganzen Welt, darunter zahlreiche Fortune-500-Unternehmen. Erlauben Sie uns, Sie bei Ihren Anforderungen an die Sicherheitsarchitektur zu unterstützen.