Wie Sie sich mit dem Zero Trust Security Framework erfolgreich gegen Cyberangriffe schützen
IT-Sicherheit ist in der heutigen Welt wichtiger als je zuvor. Die überwältigende Menge an Themen, die es abzudecken gibt, ist über die letzten Jahre nahezu explodiert. Unternehmen kämpfen oftmals noch mit Altlasten und Legacy-Systemen, wobei die nächste "State-of-the-Art"-Lösung bereits vor der Türe steht und in die bestehende Organisation implementiert werden muss. Dies bringt mit sich, dass die potenzielle Angriffsfläche immer breiter wird und sich somit die Anzahl der Gefahren und Risiken stetig erhöht. Die Gefahr, von einer Cyberattacke betroffen zu sein, ist daher größer denn je. Hinzu kommen politische Spannungen, welche die Qualität von Cyberattacken zusätzlich auf ein neues Niveau hebt.
Trends zeigen deutlich, dass das Thema IT-Sicherheit in Zukunft nicht verschwinden und eher noch relevanter wird. Dies belegen zudem die Budgetzahlen von Unternehmen, die vermehrt finanzielle Mittel in das Thema investieren müssen, da das Risiko erkannt wurde und entsprechend Maßnahmen ergriffen werden müssen. Die Anspannung steigt also und Unternehmen müssen sich bewusst sein, dass es jeden treffen kann und keiner davon ausgeschlossen ist.
Die Sicht ist jedoch weniger trüb als es oftmals scheint, denn es werden Lösungen und Ansätze erarbeitet, wie man sich gegen Cyberangriffe schützen kann. Dazu werden Sicherheitsmodelle entwickelt, die Ideen und Denkanstöße mitgeben sollen, damit sich Unternehmen und Organisationen in einem angemessenen Maß schützen können.
Zero was?
Beim Zero Trust Security Framework spricht man von einem Sicherheitsmodell, welches auf die heutigen Voraussetzungen, Anforderungen und Bedingungen rund um die Informationstechnik, die Digitalisierung und die Technologien abgestimmt ist. Als Grundprinzipien verfolgt das Sicherheitsmodell die drei Ansätze, niemandem zu vertrauen und daher stets eine Authentifizierung durchzuführen, den Zugriff nach dem Minimumprinzip zu vergeben und Sicherheitsverletzungen anzunehmen und zu antizipieren.
Das Zero Trust Security Framework richtet sich nicht nur auf den allgemeinen Schutz einer Organisation, sondern auch darauf, mögliche Gefahren, Risiken und Sicherheitsverletzungen frühzeitig zu identifizieren und entsprechend richtig reagieren zu können. Das Ziel ist, Angriffe vorherzusehen, sich darauf vorzubereiten und deren Auswirkungen zu minimieren. Denn im IT-Umfeld ist eine hundertprozentige Sicherheit nicht gewährleistet. Um diesen Ansprüchen gerecht zu werden, verfolgt das Zero-Trust-Sicherheitsmodell neue Prinzipien, die sich von traditionellen Frameworks unterscheiden.
Der traditionelle Ansatz
Beim traditionellen Ansatz spricht man vom "Trust but verify"-Prinzip. Dabei herrscht innerhalb von Organisationen meist ein automatisches Vertrauen. In die Organisation kommt man aufgrund der Verifizierung, die an Netzwerkgrenzen oder spezifischen Knotenpunkten (oftmals einmalig) erfolgt. Wer also einmal "drin" ist, kann sich relativ frei bewegen. Bildlich gesprochen wird beim traditionellen Prinzip oftmals von einer Organisation in Form einer Burg geredet. Die Burgmauern visualisieren die Netzwerkgrenzen. Die Tore entsprechend den Punkten, wo die "Eingangskontrollen" in Form von Verifizierungen stattfindet. Ist man an diesen Punkten vorbei, kann man sich relativ frei in der Burg bewegen.
Der traditionelle Ansatz birgt das Risiko, dass eingedrungene Angreifer oder interne Akteure weitreichenden Zugriff haben. Dadurch besteht die Möglichkeit der sogenannten "lateralen Bewegung" – wenn sich Akteure aus ihren Befugnisbereichen herauslösen können und dadurch in andere Bereiche eindringen. Dadurch kann ein beträchtlicher Schaden angerichtet werden, da oft keine Barrieren innerhalb einer Organisation vorhanden sind.
Was in der Vergangenheit oftmals gegen Angreifer und Gefahren ausgereicht hat, ist in der heutigen Zeit nicht mehr anwendbar. Aufgrund von neuen Technologien, neuen Anforderungen und neuen Ansprüchen ist das traditionelle Modell obsolet geworden. Themen wie die digitale Transformation, Remote Work oder die Cloud bringen neue Bedürfnisse mit sich und setzen die IT-Sicherheit damit vor die Herausforderung, altes mit neuem zu vereinbaren. Sämtliches bewegt sich weg vom zentralen Burg-Gedanken hin zu einer dezentralen Organisation, in der Zugriffe von überall aus stattfinden, Netzwerkgrenzen verschwinden und flexible und sich schnell anpassende Gegebenheiten benötigt werden. Beispielsweise sind SaaS-Applikationen komplett im Internet und bieten meist nicht mehr die granularen Sicherheitskonfigurationsmöglichkeiten wie es Client-Applikationen bieten. Mit dem Thema Remote Work ändert sich der Zugriff von Mitarbeitenden auch komplett. So geschehen diese nicht mehr nur im firmeninternen Netz, sondern eben auch von außen, also von überall, wo Mitarbeitende arbeiten. Aus einer Burg entstehen eine Vielzahl von Inseln, die aus zentraler Lage auf eine Art und Weise gesichert werden müssen. Aus diesem Wandel und den damit kommenden Anforderungen wurde das Zero-Trust-Sicherheitsmodell entwickelt. Dieses soll die "alten" Bedürfnisse mit den "neuen" Bedürfnissen vereinen und dadurch einen gesamtheitlichen Schutz für die Organisation bieten.
Das Sicherheitsmodell
Das Sicherheitsmodell auf Basis des nicht-existierenden Vertrauens umfasst sämtliche Komponenten der IT-Landschaft. Dies ist zwingend notwendig, denn in der heutigen Zeit sind diese auf komplexe Weise miteinander vernetzt und voneinander abhängig. Zero Trust befasst sich demnach mit den sechs grundlegenden Silos in der IT – Identitäten, Daten, Geräte, Anwendungen, Infrastruktur und Netzwerke.
- Identitäten können sämtliche Typen wie Benutzer, Dienste oder Geräte sein, die eine Autorisierung und eine Authentifizierung zulassen.
- Daten, die Kernelemente vieler Organisationen, müssen aufgrund von Attributen und Parametern klassifiziert, beschriftet, verschlüsselt und geschützt werden.
- Geräte bieten eine große Angriffsfläche und stellen daher ein Sicherheitsrisiko dar, welches es zu minimieren gibt. Die Überwachung von Geräten in Bezug auf deren Integrität und Konformität ist einer der wichtigsten Sicherheitsaspekte.
- Anwendungen bringen oftmals viele Abhängigkeiten mit sich und lassen sich nicht einfach erfassen. Schatten-IT ist hier zusätzlich noch ein Risiko, welches dazu kommt. Anwendungen müssen also zentral verwaltet werden, um Sicherheitsverletzungen frühzeitig zu erkennen.
- Die Infrastruktur stellt stets ein Bedrohungssektor da und mit der Cloud-Thematik kommt zusätzlich ein Komplexitätsfaktor hinzu. Wie kann man die beiden Infrastrukturen sicher nutzen? Um die Sicherheit zu gewährleisten, müssen Telemetriedaten gesammelt, verarbeitet und ausgewertet werden. IT-Teams müssen Anomalien und Unstimmigkeiten frühzeitig erkennen.
- Netzwerke werden in der heutigen Zeit auf die Probe gestellt. Da keine Grenzen mehr bestehen, ist es eine Herausforderung, die Sicherheit der Netzwerke zu erhalten. Dabei muss auf eine angemessene Segmentierung geachtet werden, um laterale Bewegungen zu unterbinden. Zusätzlich bedarf es der Implementierung eines Echtzeitschutzes, End-to-End-Verschlüsselung und Überwachungs- sowie Analysefunktionen.
Die Zero-Trust-Prinzipien
Wie in vorherigen Abschnitten erwähnt, verfolgt das Zero-Trust-Sicherheitsmodell im Grundsatz drei Prinzipien – explizite Verifizierung, "Least Privilege"-Zugriff und die Annahme einer Sicherheitsverletzung. Diese grundlegenden Prinzipien zu verstehen ist essentiell.
Explizite Verifizierung: Unter diesem Begriff versteht man die regelmäßige und ausgiebige Verifizierung der Richtigkeit einer Identität, einer Ressource oder von Daten, bevor ein Zugriff gewährt wird. Um die Richtigkeit zu verifizieren werden beispielsweise Faktoren wie die Identität eines Benutzers, der Standort, der Gerätezustand oder der Dienst verwendet. Hierbei spricht man von einer Multi-Faktor-Authentifizierung. Dies stellt sicher, dass der Zugriff in jedem Fall berechtigt ist. Um die Richtigkeit festzustellen, werden zudem Signale verwendet, um Anomalien zur Verifizierung von Informationen und Daten zu identifizieren.
"Least Privilege"-Zugriff: Bei Zugriffen auf Systeme, Ressourcen oder Daten soll nur die minimale Zugriffsanforderung gewährt werden. So sollen Administratoren nur die entsprechenden Rechte erhalten, die sie für ihre Tätigkeiten erfordern. Heißt konkret, dass Zugriffsberechtigungen auf unterschiedliche Granularitätslevel segmentiert werden und Aspekte wie der rechtmäßige Zugriff auf spezifische Anwendungen, Daten und Systeme belegt werden muss. Hinzu kommt der Faktor des "Just-in-Time"-Prinzipes. Hierbei sollen kurzfristige Berechtigungsänderungen zeitgleich begrenzt werden, um zu bewirken, dass keine unrechtmäßige Berechtigung einem Nutzer zugeteilt wird. Des Weiteren sollen Hardware-Geräte den entsprechenden Benutzern zugeordnet werden, um Zugriffe besser steuern und allenfalls um Kompromittierungen schneller identifizieren zu können.
Der wichtigste Grundsatz ist "Never trust, always verify".
Annahme einer Sicherheitsverletzung: Dieser Punkt ist ein wesentlicher Unterschied zwischen traditionellen Modellen und dem Zero-Trust-Sicherheitsmodell. Aufgrund der Tatsache, dass sich Cyberangriffe nicht ausschließen lassen und dass jeder davon betroffen sein kann, müssen sich Organisationen darauf vorbereiten. Das heißt, es müssen Szenarien entwickelt werden, um Angriffe frühzeitig identifizieren zu können und die Auswirkungen des Angriffes zu begrenzen. Konkret bedeutet dies, dass Unternehmen prozesstechnische Vorbereitungen treffen müssen, um schnell auf einen Angriff reagieren und die Wiederherstellung sichern zu können. Hinzu kommen technische Maßnahmen, wie beispielsweise das Aufsetzen eines Monitorings zur Verfolgung von Aktivitäten sowie eine automatische Vorfallsreaktion.
Das primäre Ziel des Zero Trust Security Frameworks liegt darin, alle Assets, Komponenten und Elemente mit einer zentralen Steuerung und Richtlinie zu schützen. Das betrifft sämtliche erwähnten Komponenten, wie Identitäten, Daten, Anwendungen, Endpoints, die Infrastruktur sowie die Netzwerke. Der wichtigste Grundsatz im Zero-Trust-Sicherheitsmodell ist "Never trust, always verify".
Die wichtigsten Aspekte bei Zero Trust
Um den Schutz sämtlicher Komponenten von einer zentralen Stelle aus zu gewährleisten, bedarf es der Betrachtung unterschiedliche Faktoren, welche wichtig sind. Die Individualität eines Unternehmens oder einer Organisation darf nicht vernachlässigt werden. Der primäre Faktor bei Zero Trust ist das allgemeine Verständnis der Organisation. Daher müssen gewisse Faktoren unterschiedlich ausgeprägt umgesetzt werden, je nach Maturitäts- und Risikograd in einer Organisation.
Im Grundsatz gibt es fünf Aspekte, die bei Zero Trust wichtig sind. Erstens ist dies das bereits erwähnte Prinzip der regelmäßigen und expliziten Verifizierung. Bei diesem Aspekt sprechen wir im Grundsatz von der Authentifizierung von Benutzern, Endpoints, Systemen und Informationen. Um dies erfolgreich umsetzen zu können, liegt ein dynamisches und skalierbares Policy-Modell zu Grunde. Dieses beinhaltet die Anforderungen an die IT, die Unternehmens-Compliance sowie die Kontenrisiken. Mit diesem zentralen Policy-Modell lassen sich die Ergebnisse der Authentifizierung bewerten und entsprechend die Zugriffe steuern. Hinzu kommt der Aspekt der Begrenzung des Wirkungsgrades eines Angriffes. Bei diesem Aspekt wird auf das Konzept einer Mikrosegmentierung der Organisation gesetzt. Dies setzt voraus, dass ein hohes Verständnis für die Organisation besteht. Mit einer identitätsbasierten Segmentierung wird dann eine Mikrosegmentierung geschaffen. Heißt konkret, basierend auf der Identität werden Zugriffe bewertet. Dies ist ein essenzieller Unterschied im Vergleich zum traditionellen Sicherheitsmodell, wo die Segmentierung meistens auf Basis des Netzwerks gemacht wurde, die sogenannte netzwerkbasierte Segmentierung.
Ein weiterer Aspekt ist die Verhinderung von lateralen Bewegungen. Dies wiederum unterstützt den Aspekt der Wirkungsgradbegrenzung. Bei diesem Aspekt muss bedacht werden, dass Angriffe nicht nur von außen, sondern auch von innen geschehen können. Diese werden von sogenannten "Insidern" ausgelöst. Des Weiteren ist das Monitoring und die Überwachung ein essenzieller Bestandteil von Zero Trust, da aufgrund der erhöhten Konnektivität der Komponenten untereinander Sicherheitsverletzungen schwerer zu identifizieren sind. Es muss daher eine gesamtheitliche und übergreifende Überwachung etabliert sein, um Anomalien oder Risiken frühzeitig identifizieren zu können. Aufgrund der Vielzahl an Ereignissen, Informationen und Meldungen aus dem Monitoring ist es unmöglich, auf jede potenzielle Sicherheitsverletzung reagieren zu können. Organisationen müssen daher eine automatisierte Reaktion implementieren, um Anomalien und Unstimmigkeiten zu bewerten. Dies ermöglicht es den Sicherheitsteams, sich auf risikoreiche Vorfälle konzentrieren und diese behandeln zu können.
Zero Trust als zentrales Risiko
Organisationen und Unternehmen, die Zero Trust adaptieren wollen, müssen sich der kritischen Ansichten des Sicherheitsmodells bewusst sein. Um so besser können dadurch Risiken entschärft und umgangen werden. Das Zero-Trust-Sicherheitsmodell verfolgt einen sehr zentralisierten Ansatz. Es wird versucht, die dezentralen Gegebenheiten mit einer zentralen Richtlinie zu kontrollieren und zu schützen. Dies bedeutet jedoch auch, dass es sich hierbei um einen "Single Point of Failure" handelt, welchen man mit zusätzlichen Sicherheitsmaßnahmen absichern muss.
Zero Trust erfordert in vielen Bereichen ein Umdenken.
Aufgrund der unzähligen Verknüpfungen und Abhängigkeiten ist die Umsetzung von Zero-Trust-Vorhaben meist sehr komplex und mit hohen Zeitaufwänden verbunden. Um die End-to-End-Sichtbarkeit zu erreichen, die Zero Trust erfordert, muss entsprechend sehr viel Zeit und Aufwand investiert werden. Zudem bedarf es eines breiten Know-hows, um die gesamtheitliche Betrachtung zu behalten. Die Faktoren Zeit und Know-how sind jedoch aufgrund der vielen Themen im IT-Bereich für viele Organisationen sehr schwer zu leisten. Zero Trust erfordert zudem in vielen Bereichen ein Umdenken. Bestehende Prozesse und Strukturen werden oftmals angepasst werden müssen, was wiederum ein gutes Change-Management benötigt. Der Faktor Mensch ist hierbei nicht wegzudenken.
Hinzu kommt, dass es keine technischen Standards am Markt gibt, auf die man zurückgreifen könnte, um den Gesamtaufwand zu minimieren, und, dass es meist keine standardisierten und einheitlichen Lösungen gibt, da viele Anbieter versuchen, über Plattformeffekte ihre Anwendungen integrieren zu können und wiederum Konkurrenten auszuschließen. Ein wichtiger Punkt ist zudem, dass in Organisationen meist Legacy-Anwendungen und Plattformen etabliert sind, die es technisch oftmals gar nicht zulassen, Maßnahmen und Praktiken nach Zero Trust umzusetzen. Unternehmen müssen sich dann mit einem Mittelweg zufrieden geben, der aber trotzdem nicht die gewünschte Sicherheit mit sich bringt.
Fazit
Das Zero Trust Security Framework bietet mit Sicherheit viele Möglichkeiten, Ansätze und Ideen, um Organisationen besser gegen Attacken, Risiken und Gefahren in der heutigen Zeit zu schützen. Das Sicherheitsmodell selbst ist jedoch keine Lösung oder eine Technologie. Zudem ist es auch kein reines Sicherheitsthema. Es ist vielmehr ein Werkzeugkasten mit Tools und Prinzipien, an denen sich Unternehmen orientieren und die sie für sich selbst verwenden können. Bei der Implementierung des Zero-Trust-Sicherheitsmodells wird einerseits ein hohes Verständnis für die eigene Organisation gefordert und auf der anderen Seite muss eine Anpassungsbereitschaft mitgebracht werden. Dies sind Herausforderungen, die oftmals von Unternehmen vernachlässigt werden. Nachfolgend sollen ein paar zusammenfassende Punkte das wichtigste rund um das Sicherheitsmodell von Zero Trust verdeutlichen:
- Zero Trust geht davon aus, dass keine Netzwerkgrenzen bestehen. Alle Identitäten müssen regelmäßig und explizit verifiziert werden.
- Das Sicherheitsmodell versucht mit einem zentralen Ansatz die dezentralen Herausforderungen zu lösen.
- Zero Trust ist ein Werkzeugkoffer, aus dem sich Unternehmen bedienen können. Die Individualität jeder Organisation darf dabei nicht vernachlässigt werden.
- Zero Trust ist kein reines IT- oder Sicherheitsthema. Vielmehr ist eine gesamtheitliche Betrachtung einer Organisation erforderlich.
Zero Trust ist kein abschließendes Thema. Der Wandel setzt voraus, dass sich das Framework sowie Unternehmen stets weiterentwickeln müssen.