Einführung eines Zero-Trust-Sicherheitsmodells

Wir tauchen in das Konzept der Zero-Trust-Sicherheit ein und besprechen, wie Sie das erreichen können implementieren Sie es in Ihrem Unternehmen.
(Quelle:rawpixel.com @ freepik.com)

Die Realität einer verteilten Belegschaft hat den Begriff eines Unternehmenssicherheitsparameters verändert. Organisationen sichern nicht mehr nur ein einfaches Bürogebäude. Dies wurde bereits Realität, bevor die Pandemie Unternehmen dazu zwang, ihre Mitarbeiter aus der Ferne zu migrieren.

Moderne Unternehmen benötigen eine umfassende Sicherheitsstrategie, um die heutigen technologischen Komplexitäten zu bewältigen, und Zero-Trust-Sicherheit erfüllt diesen Bedarf. Es geht davon aus, dass jede Netzwerkanfrage eine Verletzung ist und überprüft sie, als ob sie von einer nicht authentifizierten Quelle stammt. Da Cyberangriffe wie Ransomware immer dreister werden, können wir es uns nicht mehr leisten, davon auszugehen, dass alles, was hinter den Sicherheitsparametern des Unternehmens steht, sicher ist.

Heute werden wir in das Konzept der Zero-Trust-Sicherheit eintauchen und besprechen, wie Sie es in Ihrem Unternehmen implementieren können.

Warum brauchen wir Null-Vertrauen?

Heutzutage ermöglichen Unternehmen ihren Mitarbeitern den Zugriff auf wichtige Geschäftsressourcen von Remote-Geräten und Cloud-Software. Verbindungen zu diesen wertvollen Unternehmensressourcen müssen unabhängig von ihrer Herkunft gesichert werden. Die Sicherheit muss sich mit der Art und Weise entwickeln, wie wir Technologie verwenden, und die traditionellen statischen Sicherheitsparameter, auf die wir uns einst verlassen haben, sind jetzt unzureichend.

Immer mehr Unternehmen stellen fest, dass sie kontinuierlich wertvolle Daten zwischen Cloud-Anwendungen, Remote-Geräten, IoT-Geräten und Rechenzentren austauschen müssen. All diese beweglichen Teile machen das Leben von Cyberkriminellen viel einfacher, während sie das Leben von Sicherheitsspezialisten erschweren.

Aufgrund der Vielfalt der verfügbaren Einstiegspunkte kann es Monate oder sogar Jahre dauern, bis Unternehmen Sicherheitsverletzungen und Eindringlinge erkennen. Während dieser Zeit könnten Cyberkriminelle wichtige Daten stehlen und gleichzeitig Unternehmensvermögen massiv beschädigen. Eine offenere digitale Landschaft in Unternehmen kann eine höhere Produktivität von überall aus fördern, aber es müssen geeignete Schritte unternommen werden, um die Unternehmenssicherheit ohne greifbare Grenzen aufrechtzuerhalten.

Die Grundlagen von Zero-Trust

Das National Institute of Standards and Technology (NIST) bietet einen umfassenden Leitfaden zur Zero-Trust-Architektur, aber wir werden hier die Grundlagen für Sie aufschlüsseln. Im Kern basiert die Zero-Trust-Architektur auf drei Grundprinzipien:

• Explizite Bestätigung erforderlich
• Verwendung des am wenigsten privilegierten Zugriffs
• Vermutung eines Verstoßes

Jede Anfrage muss vollständig authentifiziert, autorisiert und verschlüsselt werden, bevor der Zugriff gewährt wird, und diese strenge Überprüfung der Identität muss auf allen verfügbaren Datenpunkten basieren. Standardmäßig sollte keinem Workload oder Benutzer unabhängig von seinem Standort (innerhalb oder außerhalb der sicheren Grenzen der Organisation) vertraut werden.

Ganz gleich, ob sich die Arbeitnehmer im Home-Office oder auf einer fernen tropischen Insel befinden, starke Richtlinien sind der Kern von Zero-Trust. Sie ermöglichen es Ihnen, eine mobile Belegschaft zu sichern und gleichzeitig maximale Produktivität zu ermöglichen. Um sicherzustellen, dass eine effektive Zero-Trust-Strategie vorhanden ist, sollte ein minimaler Zugriff auf Ressourcen und Informationen basierend auf legitimen Geschäftszwecken durchgesetzt werden.

Daher sollten Organisationen den Zugriff auf Benutzerdienste und Anwendungen einschränken, indem sie Folgendes implementieren:

• Just-in-time (JIT)-Zugriffsverwaltung
• Gerade genug Zugriff/Verwaltung (JEA)
• Risikobasierte adaptive Richtlinien
• Datenschutzkontrollen

Softwareentwicklungs- und Technologieunternehmen sollten frühzeitig in der Entwicklungsphase einen Zero-Trust-Ansatz verfolgen. Dies kann bedeuten, dass die Sicherheit nach links verschoben wird und Produkte wie Firmware entwickelt werden, die Null-Vertrauen bestätigen.

Dies erfordert natürlich, dass Unternehmen neue fähige Mitarbeiter einstellen oder bestehende Mitarbeiter weiterbilden. Sie können damit rechnen, zwischen 60 und 80 US-Dollar pro Stunde für einen erfahrenen freiberuflichen Entwickler zu zahlen, der sich mit Cybersicherheit auskennt. Sie sollten auch jeden Mitarbeiter in guter Cyberhygiene und der Zero-Trust-Philosophie schulen, damit er versteht, warum Änderungen vorgenommen werden.

Bevor Zero-Trust:Das alte Paradigma

Um weiter hervorzuheben, wie die Zero-Trust-Architektur die Sicherheitslandschaft verändert hat, lassen Sie uns untersuchen, wie Unternehmen in der Vergangenheit typischerweise den Fernzugriff auf Softwaredienste gesichert haben.

Das traditionelle Modell würde aus lokal gehosteten Diensten oder einem Remote-Server bestehen, über den ein Unternehmen die vollständige Kontrolle hat. Häufig wurden Verbindungen zu diesen Diensten durch ein virtuelles privates Netzwerk (VPN) ermöglicht, und das VPN würde in einer demilitarisierten Zone (DMZ) gehostet. Benutzer müssen Anmeldeinformationen angeben, um auf das VPN zuzugreifen, normalerweise in Form eines Benutzernamens und eines Passworts.

Dies war vor der Popularität der Multi-Faktor-Authentifizierung (MFA), bei der Websites und Webdienste durch eine Mehrfachlösung gesichert wurden. Das VPN würde dem Benutzer eine IP-Adresse bereitstellen, sobald der Verifizierungsprozess abgeschlossen ist. Dies würde dem Benutzer den Zugang zum internen Netzwerk des Unternehmens ermöglichen, in dem die Anwendungen und Dienste gehostet werden.

Da die Mehrzahl der Sicherheitsverletzungen auf gestohlene oder schwache Passwörter zurückzuführen ist, war klar, dass die Ein-Faktor-Authentifizierung nicht mehr praktikabel ist. Außerdem besteht eine der größten Herausforderungen eines VPN aus Sicherheitssicht darin, dass es Benutzern häufig uneingeschränkten Zugriff auf andere interne Netzwerkressourcen gewährt. Wenn sich ein Benutzer beispielsweise bei einem SSH-Server anmeldet, kann er an andere Stellen im Netzwerk wechseln. Sofern Sie keine anderen Sicherheitsmaßnahmen im Netzwerk haben, die eine Abschwächung bieten oder die Kontrolle einschränken, kann dies zu einem gefährlichen Vektor für einen potenziellen Cyberangriff werden.

Wie Zero-Trust das Paradigma verändert

Einer der größten Nachteile der Cloud-First-Architektur ist die eingeschränkte Sichtbarkeit, die das Zero-Trust-Modell anspricht. Um das vorherige Beispiel mit Zero-Trust-Prinzipien zu aktualisieren, müssen wir zunächst das traditionelle VPN durch einen Reverse-Proxy ersetzen. Es wird für die Vermittlung des Zugangs zum internen Netzwerk verantwortlich sein.

Darüber hinaus fügen wir auch ein Single-Sign-On-Gateway hinzu. Das beliebteste und effektivste Protokoll für Single-Sign-Lösungen ist die Security Assertion Markup Language (SAML). Wenn Benutzer versuchen, auf lokale Ressourcen zuzugreifen, müssen sie über ihren Browser oder ihre lokale Anwendung eine Verbindung zum Reverse-Proxy herstellen. Der Reverse-Proxy verbindet sie mit dem Single-Sign-On-Gateway. Das Single-Sign-On-Gateway kommuniziert dann mit einer vom Unternehmen konfigurierten Identitätsquelle (z. B. einem lokalen Verzeichnis), um den Benutzer zu authentifizieren.

Wenn sich Ressourcen in der Cloud befinden, gewährt ihnen das Single-Sign-On-Gateway direkten Zugriff. Da die Authentifizierung auf einem Gateway erfolgt, das das Unternehmen kontrolliert, kann das Unternehmen bestimmen, welche Richtlinien für den Zugang angewendet werden. Dadurch kann das Unternehmen auf Cloud-basierte Apps dieselben Richtlinien anwenden wie auf lokale Dienste. Es gibt jedoch einen kleinen Unterschied in der Art und Weise, wie der Reverse-Proxy Verbindungen zu lokalen Ressourcen verarbeitet.

Normalerweise verbindet der Proxy den Benutzer mit dem Single-Sign-On-Gateway, authentifiziert die Verbindung und sendet sie dann an den Broker zurück. Nach der Überprüfung würde der Proxy den Benutzer dann in jeden einzelnen Dienst oder jede einzelne Anwendung tunneln, auf die er zugreifen darf.

Für Unternehmen, die eine Hybrid Cloud betreiben, ist der Übergang nahtlos und für Endbenutzer nicht wahrnehmbar. Sie werden nicht in der Lage sein, den Unterschied zwischen Cloud-Diensten und On-Premise-Assets zu erkennen. Der Reverse-Proxy und das Single-Sign-On-Gateway übernehmen die Authentifizierung für beide.

Keine der lokalen Ressourcen akzeptiert Verbindungen, es sei denn, sie werden vom Reverse-Proxy getunnelt.

Auf diese Weise wird ein Zero-Trust-Ansatz Benutzer daran hindern, von Ressource zu Ressource zu wechseln. Grundsätzlich überprüfen wir nicht nur den Benutzer und sein Gerät; Wir überprüfen auch die einzelnen Netzwerkkomponenten, auf die sie zugreifen dürfen.

Schlussfolgerung

Unternehmen sollten ihre Systeme so gestalten, dass einzelne Komponenten nicht durch einen Angreifer kompromittiert werden, der andere Funktionen beeinflusst. Dies sollte im Rahmen einer vernünftigen Risikoannahme erfolgen.

Darüber hinaus sollten Unternehmen Telemetrie, Analyse und Business Intelligence verwenden, um die Transparenz und die Geschwindigkeitserkennung zu erhöhen. Sie sollten alle wertvollen Vermögenswerte identifizieren und Mikrosegmente bilden, um mehrere Inspektionspunkte zu erstellen. Dadurch wird verhindert, dass Eindringlinge zwischen den Assets wechseln. Mit diesen Tools können sie in Echtzeit auf Bedrohungen reagieren.

Unabhängig davon, ob Sie die Zero-Trust-Bereitschaft Ihres Unternehmens bewerten oder Pläne zur Verbesserung des Schutzes Ihrer Identitäten, Geräte, Anwendungen, Daten, Infrastrukturen und Netzwerke erstellen, lautet das Motto „nie vertrauen, immer überprüfen“.