Zero Trust: Die ultimative Verteidigung für IoT-Gerätesicherheit

Cybersicherheitsexperten bemühen sich, einen Schritt voraus zu bleiben vor Hackern, die Schwachstellen in Millionen von Internet-of-Things-Geräten weltweit ausnutzen wollen. Aber vielleicht fokussieren sie auf das falsche Problem.

IoT-Geräte durchdringen praktisch jeden Aspekt des Geschäfts heute und dringen rasant in den Konsumentensektor vor. Jeder Sensor, der mit dem Internet verbunden ist, schafft eine weitere potenzielle Verwundbarkeit für seinen Nutzer. So ist es keine Überraschung, dass der aktuelle Stand der IoT-Sicherheit „wahrscheinlich nicht sehr gut“ ist, wie Gary Kinghorn, Managing Director bei Tempered Networks, beschreibt.

Wenn die Datenbank der High-Roller eines Casinos durch ein „smartes“ Fischaquarium-Thermometer gehackt wird, ist klar, dass das aufstrebende IoT-Universum ein ernstes Problem hat. Der Verwundbarkeitszustand der Technologie „ist fast an der Grenze zur Absurdität“, sagt Kinghorn.

Unternehmen, die ihre Informationssysteme absichern wollen, haben sich auf die Geräte selbst fokussiert, insbesondere auf die Notwendigkeit starker Passwörter, die sie vor Cyberdieben schützen sollen. Auch die Regierung hat versucht, IoT-Geräte durch Maßnahmen wie den kürzlich verabschiedeten Cybersecurity Improvement Act zu stärken. Aber Kinghorn glaubt, das ist nicht die vollständige Antwort – oder nicht einmal die richtige Frage.

Jedes IoT-vernetzte Gerät hat eine IP-Adresse, die es zu einem verlockenden Ziel für Hacker macht. Doch Transmitter sind einfach nicht so „smart“, wie das trendige Adjektiv suggerieren mag. „Es sind sehr einfache Geräte“, sagt Kinghorn. „Sie werden nie ansatzweise raffiniert genug sein, um eine legitime Netzwerkverbindung oder Datenanfrage zu analysieren.“

Stattdessen sollten Nutzer sich auf das fokussieren, was Kinghorn „das echte Loch“ in der Sicherheit nennt: das Netzwerk selbst. Der Schlüssel ist sicherzustellen, dass Angriffsvektoren für Hacker nicht verfügbar sind. Und um das zu tun, müssen Systeme ein „Zero-Trust“-Modell für die Autorisierung des Zugangs annehmen.

Der Begriff bedeutet, dass „Sie nichts vertrauen, das versucht, sich an Ihr Netzwerk anzuhängen, sogar Apps oder Geräte Ihrer eigenen internen Nutzer, es sei denn, sie sind spezifisch autorisiert“, erklärt Kinghorn. Denken Sie an eine „Whitelist“, die eine Telefonleitung vor Betrügern, Telemarketern und Robocalls schützt, indem sie alle bis auf zuvor festgelegte Nummern blockiert.

Eine Zero-Trust-Umgebung stellt sicher, dass „der gesamte Traffic verschlüsselt durch das Netzwerk fließt, sodass es keine Abhörungen oder Man-in-the-Middle-Angriffe gibt“, sagt Kinghorn. Die Sicherheitsrichtlinie der Organisation wird um die vorgelagerte Identifikation von Geräten und Nutzern verwaltet, anstatt auf die Zuverlässigkeit von IoT-Sensoren zu vertrauen.

Ein solches System beschränkt den Netzwerkzugriff sogar für die vertrauenswürdigsten Geräte. Im Fall des gehackten Casinos fragt Kinghorn: Warum war das Fischaquarium-Thermometer überhaupt mit der Kundendatenbank verbunden? „Es sollte nur Zugriff auf ein System haben – das, das über die Temperatur des Tanks spricht.“

Zero Trust macht es möglich, dass Systeme einzelne Sensoren vom größeren Netzwerk abschotten. Warum haben also nicht mehr private und öffentliche Nutzer das Konzept angenommen, obwohl Sicherheitsverletzungen weiter zunehmen?

Kinghorn findet einige Antworten im Zero Trust Adoption Report von Cybersecurity Insiders. Er findet ein hohes Maß an Begeisterung für das Zero-Trust-Modell, mit 78 % der befragten IT-Sicherheitsteams, die Interesse an der Implementierung von Zero Trust Network Access in der Zukunft äußern. Sie reagieren auf die Notwendigkeit, Systemsicherheit zu verschärfen, zu einer Zeit, in der Unternehmen zur Public Cloud wechseln und versuchen, mobile Belegschaften sicher zu managen.

Gleichzeitig sagten 47 % der Stichprobe, sie fehlte das Vertrauen in die Fähigkeit ihrer aktuellen Sicherheitstechnologie, Zero Trust umzusetzen. Nur 15 % haben bereits ein solches System, und etwa 20 % haben der Technologie überhaupt nicht viel Gedanken gewidmet.

Kosten sind ein limitierender Faktor, sagt Kinghorn. Zero Trust kann teuer in der Umsetzung sein, mit der Notwendigkeit, einige IT-Systeme „rip and replace“ zu müssen, und in seiner aktuellen Form erstreckt es sich nicht immer auf Anwendungen außerhalb des Rechenzentrums.

„Das ist unser Fokus“, sagt Kinghorn, „Zero Trust auf jedes Netzwerk oder Gerät anwenden zu können, durch eine Kombination aus typischem Software-Agent und hardwired Gateway-Geräten.“

Wenn es um Technologie-Upgrades geht, ist Veränderung selten einfach. IT-Sicherheitsteams mögen sich mit traditionellen Firewalls und Virtual Private Networks (VPNs) wohlfühlen oder sich Sorgen um den Aufwand von Multi-Factor-Authentifizierung machen. Aber Zero Trust kann mit Single Sign-On eingerichtet werden, und Agents können in wenigen Minuten installiert werden, behauptet Kinghorn. „Es ist nicht übermäßig kostspielig“, sagt er, „obwohl einige Organisationen es so machen könnten.“

Er sieht das Interesse an Zero Trust rasant steigen, besonders als Reaktion auf die COVID-19-Pandemie und die zusätzlichen Sicherheitsprobleme, die sie den IT-Abteilungen gebracht hat. Und während die volle Akzeptanz der Technologie etwas Zeit brauchen mag, wird das Versäumnis, voranzugehen, Unternehmen zunehmend schädlichen Angriffen kreativer Hacker aussetzen.

Gesternige Legacy-Systeme sind nicht ausgestattet, um moderne Cyber-Bedrohungen zu adressieren, sagt Kinghorn. „Der IP-Protokoll-Stack ist 50 Jahre alt. Er wurde nie dafür entworfen, das zu tun, wozu IT-Organisationen heute aufgefordert werden. Deshalb brauchen wir ein komplett neues Modell.“