Illustration: Absmeier, Athree
Vor inzwischen annähernd zehn Jahren prägte John Kindervag, damals Analyst bei Forrester, den Begriff des »Zero Trust«. Er entwickelte das Modell im Jahr 2010 zu einer Zeit, da viele Unternehmen gerade erst damit begonnen hatten, grundlegende Regelungen zur Cybersicherheit einzurichten.
Gleichzeitig gingen Firmen in zu hohem Maße von einer nur angenommenen Sicherheit innerhalb der Grenzen ihrer Netzwerke aus. Kindervag formuliert: »Bei Zero Trust geht es nicht darum, Netzwerke, Clouds oder Endpunkte vertrauenswürdiger zu machen. Es geht darum, das Konzept des Vertrauens in Bezug auf digitale Systeme überflüssig zu machen.« Herkömmliche Best Practices in der Cybersicherheit haben sich stark darauf konzentriert, die Grenzen eines privaten Netzwerks zu schützen. Leider führte das zu einem gewissen Maß an vorbehaltlosem Vertrauen gegenüber Aktivitäten innerhalb dieser Netzwerke.
Ein kognitiver blinder Fleck, von dem Bedrohungsakteure nach wie vor profitieren.
Was versteht man unter Zero Trust?
Das Zero-Trust-Modell geht von einer bestimmten Prämisse aus. Dabei werden sämtliche Aktivitäten, auch diejenigen innerhalb des eigenen vertrauenswürdigen Netzwerks, genauso überprüft und verifiziert wie Aktivitäten von außerhalb des Netzwerks. Das Konzept des Bring-Your-Own-Device setzt sich weiter durch und die Zahl der remote tätigen Mitarbeiter steigt. Eine Entwicklung, die ein Netzwerk ständig neuartigen Risiken aussetzt.
Verabschiedet man sich hingegen von der trügerischen Idee »vertrauenswürdiger« Benutzer und Geräte, hilft das, wachsam zu bleiben. Wenn man sämtliche Interaktionen als nicht verifiziert betrachtet, dann ändert sich die Art und Weise, mit der man Kontrollen betrachtet:
Beim Einrichten von Kontrollen zur Authentifizierung und zur Überprüfung des Benutzerverhaltens, betrachten Sicherheitsfachleute sämtliche Aktivitäten auf Grundlage eines Zero-Trust-Modells so, als handele es sich dabei um potenzielle Bedrohungen.
Die Microsoft-Strategie unterstützt drei wichtige Sicherheitsziele, die sich als Grundlage für die Implementierung von Zero Trust in einer IT-Umgebung eignen (wie hier aufgeführt):
- Umfassende Sicherheit
Beziehen Sie alle verfügbaren Datenpunkte in die Authentifizierung und Autorisierung ein – Identität, Standort, Geräteintegrität, Datenklassifizierung, Anomalien, Service oder Workload. - Prinzip der geringsten Berechtigungen/Prinzip der minimalen Rechtevergabe
Schränken Sie den Zugriff mit JIT/JEA (Just-in-Time/Just-Enough-Access), flexiblen Risikorichtlinien und Datenschutzstrategien ein, um weiterhin sicher und produktiv zu arbeiten. - Was tun wenn…?
Behalten Sie Sicherheitsvorfälle unter Kontrolle, und vermeiden Sie die Ausbreitung im System – ganz einfach durch Segmentierung des Zugriffs nach Netzwerk, Nutzern, Geräten und Anwendungen. Stellen Sie außerdem sicher, dass alle Sessions durchgehend verschlüsselt ablaufen. Mit Analytics fördern Sie zudem die Transparenz und erkennen Bedrohungen schneller.
SCM und FIM kommen ins Spiel
Sicherheitskonfigurationsmanagement (Security Configuration Management oder kurz SCM) und die Überwachung der Dateiintegrität (File Integrity Monitoring, FIM) sind zwei der wichtigsten Sicherheitskontrollen, die man bei einem Zero-Trust-Modell im Netzwerk implementieren kann.
Falls Sie mit diesen Praktiken noch nicht vertraut sind, geben wir hier eine kurze Beschreibung der einzelnen Methoden:
- SCM: SCM kombiniert Elemente der Schwachstellenbewertung, der automatisierten Korrektur und der Konfigurationsbewertung. Die Methode senkt Risiken indem sie sicherstellt, dass Systeme ordnungsgemäß konfiguriert sind, um interne und/oder behördliche Sicherheits- und Compliance-Standards zu erfüllen.
- FIM: FIM ist eine (von Tripwire entwickelte) Sicherheitstechnologie, die Änderungen in einer Umgebung überwacht, erkennt und bewertet. Ziel ist es, Sicherheitsbedrohungen als solche zu identifizieren und zu beheben. FIM geht dabei über die Dateien selbst hinaus und überwacht die Systemintegrität. FIM warnt somit vor unberechtigten Änderungen an Servern, Datenbanken, Netzwerkgeräten, File-Servern, Anwendungen, Cloud-Umgebungen und virtuellen Images.
Hier zwei kurze Beispiele, wie SCM und FIM dabei helfen, Zero Trust in die Praxis umzusetzen:
- Schleichende Ausweitung von Zugriffsrechten (Access Creep): SCM kann helfen, die von Microsoft empfohlenen JIT/JEA-Richtlinien durchzusetzen. Access Creep ist ein häufig auftretendes Problem. Nutzer erhalten im Laufe der Zeit immer weiter gefasste Zugriffsberechtigungen, ohne dass routinemäßig überprüft wird, ob diese Berechtigungen überhaupt noch angemessen sind. Wenn ein Nutzer bestimmte Ressourcen nicht mehr benötigt, sollte er nicht über die entsprechenden Berechtigungen verfügen. In Filesystemen werden Berechtigungen schnell unverhältnismäßig – ein SCM-Tool, das richtlinienbasierte Audits anwendet, hält das Problem auf sämtlichen Geräten in Schach. Ein SCM-Tool sollte Sie zusätzlich auch dann benachrichtigen, wenn ein unnötiger Zugriff ein Risiko darstellt.
- Überwachung von Änderungen in Echtzeit: FIM-Tools verfolgen Änderungen bei allen Benutzern und auf sämtlichen Geräten nach. Dadurch erhält man ein klares Bild, welche Änderungen autorisiert oder nicht autorisiert vorgenommen wurden und kann unerwartete Änderungen oder Risiken beheben. Wenn man FIM-Tools mit Agenten zur Überwachung in Echtzeit kombiniert, bieten sie ausreichenden Einblick über die Vorgänge in einem Netzwerk, um ein Zero-Trust-Modell zu unterstützen.
Zero Trust ist allerdings kein Benchmark, den man erreichen kann. Vielmehr handelt es sich um einen netzwerkverstärkenden Ansatz, der kontinuierliche Anstrengungen über die Zeit belohnt. Aber selbst, wenn man sich nur ansatzweise mit der Idee des Zero Trust befasst, wird jedes Sicherheitsprogramm langfristig davon profitieren.
Frank Augenstein, Tripwire
https://www.microsoft.com/en-us/security/business/zero-trust
100 Artikel zu „Zero Trust“
NEWS | FAVORITEN DER REDAKTION | IT-SECURITY | STRATEGIEN | TIPPS
Ransomware-Angriffe mit Zero Trust bekämpfen: Best Practices gegen Daten-Geiselnahme
Ransomware bleibt ein lukratives Geschäft für Cyberkriminelle. Allein mit der Ransomware-Variante Ryuk erpressten Angreifer bereits Lösegelder von über 3,7 Millionen US-Dollar. Um die Sicherheitsvorkehrungen von Unternehmen zu umgehen, nutzen Hacker mittlerweile häufig anspruchsvolles Spear-Phishing, damit Opfer auf bösartige Links und Anhänge klicken oder verseuchte Webseiten besuchen. Nach der Infektion beginnt der Erpressungstrojaner mit der Verschlüsselung…
NEWS | CLOUD COMPUTING | FAVORITEN DER REDAKTION | INFRASTRUKTUR | IT-SECURITY | RECHENZENTRUM | SERVICES | SICHERHEIT MADE IN GERMANY
Datenschutz im Home Office: Macht Zero-Trust-Technologie die Cloud sicher?
Rund ein Viertel der Deutschen arbeitet derzeit von Zuhause aus [1]. Rosige Zeiten für Hacker: Sie nutzen die Krise um COVID-19 für gezielte Cyberangriffe. Sicherheitsforscher sprechen im Rahmen der Corona-Pandemie von einer der größten E-Mail-Kampagnen durch Cyberkriminelle, die jemals unter einem einzigen Thema durchgeführt wurde [2]. Auch die deutsche Verbraucherzentrale warnt explizit vor Malware und…
NEWS | IT-SECURITY | RECHENZENTRUM | STRATEGIEN
Ein Zero-Trust-Modell mithilfe von FIM und SCM implementieren
Vor inzwischen annähernd zehn Jahren prägte John Kindervag, damals Analyst bei Forrester, den Begriff des »Zero Trust«. Er entwickelte das Modell im Jahr 2010 zu einer Zeit, da viele Unternehmen gerade erst damit begonnen hatten, grundlegende Regelungen zur Cybersicherheit einzurichten. Gleichzeitig gingen Firmen in zu hohem Maße von einer nur angenommenen Sicherheit innerhalb der Grenzen…
NEWS | CLOUD COMPUTING | IT-SECURITY | LÖSUNGEN
Datenpannen in der Cloud – Ist der Zero-Trust-Ansatz die Lösung?
In den vergangenen Monaten gab es zahlreiche, teilweise drastische Meldungen über Datenverluste beziehungsweise die ungewollte Offenlegung von Daten durch ungesicherte Clouds sowie Attacken auf Cloud-Infrastrukturen. Vor dem Hintergrund dieser Ereignisse erläutert Palo Alto Networks das Konzept von »Zero Trust« in der Cloud. Den Begriff »Zero Trust« gibt es seit fast zehn Jahren, aber er hat…
NEWS | TRENDS SECURITY | IT-SECURITY
Cyberkriminalität auf dem Vormarsch: Das digitale Wettrüsten hat begonnen
Kaum eine Woche vergeht, ohne dass neue Berichte über Hacker-Angriffe publik werden. So sorgte zuletzt der Angriff auf den französischen Fernsehsender TV5 Monde für Aufsehen. Auch deutsche Unternehmen und Institutionen sehen sich zusehends mit hochprofessionellen Cyber-Attacken konfrontiert. Dabei ist der Cyber-Krieg bereits in vollem Gange – und die heimische Wirtschaft steht unter Zugzwang. Im April…
NEWS | BUSINESS | FAVORITEN DER REDAKTION | KOMMENTAR
Mann über Bord: Nicht der Geldsack zählt, sondern die Arbeitsplätze
Den Ruf »Mann über Bord« vernimmt man zurzeit sehr oft. Nicht als Hilferuf gedacht, sondern als Befehl an die Personalabteilung. Nicht bei uns! Wir haben einen Plan, ein Rezept, wie 1000 Menschen motiviert bleiben und trotz Corona gerne in die Arbeit gehen! Es wird bei uns keine Kurzarbeit, keine Entlassungen, keine Einbußen geben. Dafür sind…
NEWS | TRENDS 2020
Über 30 % der kleinen Unternehmen müssen 2020 ihr Office-Paket aktualisieren
Office 2010 trotz bevorstehendem Support-Ende noch vielfach im Einsatz. Am 13. Oktober 2020 endet der Herstellersupport für Microsoft Office 2010. Doch noch setzt fast ein Drittel der kleinen Unternehmen in Deutschland auf genau dieses, gut zehn Jahre alte Softwarepaket – und die Umstellung geht nur schleppend voran. Das zeigt die diesjährige KMU-Studie des Groupware-…
NEWS | BUSINESS | FAVORITEN DER REDAKTION | GESCHÄFTSPROZESSE | SERVICES | SICHERHEIT MADE IN GERMANY
Antragssoftware für Corona-Soforthilfe startet erfolgreich
Pegasystems hat eine Antragslösung für die bayerische Regierung entwickelt. Damit können Selbständige, Landwirte und Unternehmen die Corona-Soforthilfe viel einfacher und schneller im Internet beantragen. Weil der gesamte Prozess vollständig digitalisiert ist, ist auch die Auszahlung der Mittel deutlich beschleunigt. Betrieben wird die Software in Rechenzentren von T-Systems. Gemeinsam mit dem bayerischen Wirtschaftsministerium hat…
NEWS | KOMMENTAR | STRATEGIEN
Holt die pensionierten Experten für das Krisenmanagement
Wankende Wirtschaftsriesen – Corona-Krise als Interims-Turbo. Zur Bedeutung der weltweiten Krise rund um den Covid-19 für die gesamte Automobilbranche und zu der Zeit nach der Pandemie äußert sich Steffen Haas, Geschäftsführer von Automotive Senior Experts GmbH (ASE): »Nun gerät auch der Taktgeber der deutschen Konjunktur – die Automotive-Branche – vollends ins Stocken. Bei VW,…
NEWS | FAVORITEN DER REDAKTION | IT-SECURITY | TIPPS
Die Zukunft gehört dem passwortlosen Login
Nach wie vor gelten Passwörter für die meisten Nutzer immer noch als die vorherrschende Praktik, wenn es darum geht, sich bei verschiedenen Diensten und Webseiten anzumelden. Auch in deutschen Unternehmen ist die Kombination aus Benutzername und Passwort weiterhin die gängigste Methode zur Absicherung von Accounts und Geräten. Und dies, obwohl hierbei viele potenzielle Schwachstellen aufeinandertreffen,…
NEWS | IT-SECURITY | TIPPS
Corona und Home Office: Mitarbeiter für IT-Risiken der Fernarbeit sensibilisieren
Das Smart Working ist bei Mitarbeitern beliebt und wird von einer steigenden Anzahl Firmen umgesetzt. Während der Corona-Krise ergibt dieses Konzept umso mehr Sinn. Allerdings müssen Unternehmen auch in Notfällen einige Vorkehrungen treffen, um unangenehme Überraschungen zu verhindern, vor allem in Bezug auf Datensicherheit. Dieser Beitrag stammt vom Cybersecurity-Hersteller Stormshield, Teil des Airbus-Konzerns, der aus…
NEWS | DIGITALE TRANSFORMATION | PRODUKTMELDUNG
Hohe Dynamik in der Welt der Daten – Ein Ausblick
Nicht zuletzt die aktuellen Schlagzeilen rund um Home Office und die Leistungsfähigkeit der IT von Unternehmen belegen, dass die datengesteuerte digitale Transformation zu einem zentralen Bestandteil jedes erfolgreichen – und widerstandsfähigen – Unternehmens geworden ist. Betreibe benötigen die entsprechende Technologie, um nicht ausgebremst zu werden. »Ein automatisiertes Datenmanagement setzt Zeit und Ressourcen frei, so dass…