So implementieren Sie ein Zero-Trust-Sicherheitsmodell in einer weithin offenen Landschaft

Es ist noch nicht allzu lange her, dass die Sicherheit lokale Speicher mit geschützten Perimetern umfasste. Unternehmen konnten sich auf die Stärke ihres Schutzes verlassen, da sie wussten, wo sich sensible Daten befanden und wie begrenzt die Anzahl der Personen war, die physischen Zugriff erhielten.

Das ist einfach nicht die digitale Welt, in der wir heute leben. Befestigte Perimeter wurden durch Remote-Umgebungen und eine Vielzahl mobiler Geräte ersetzt. Geschäftsdaten werden heute über virtualisierte Speicher verteilt, die auf Servern auf der ganzen Welt untergebracht sind. Dies bietet nicht nur eine große Flexibilität und Skalierbarkeit für Unternehmen, sondern vergrößert auch die Angriffsfläche für böswillige Akteure, die Sicherheitslücken ausnutzen wollen.

Als Antwort auf diese Herausforderung läuten Sicherheitsexperten eine neue Ära der Zero-Trust-Sicherheit ein. Im einfachsten Fall erfordert der Zero-Trust-Ansatz die Überprüfung jeder Zugriffsanfrage zwischen allen Ressourcen, unabhängig davon, wer, was oder wo sie sich befinden. Im Kern ist Zero Trust eine Sicherheitsmentalität und -strategie, deren vollständige Umsetzung eine Herausforderung darstellen kann.

In diesem Beitrag erörtern wir den Ursprung der Zero-Trust-Methodik und erklären, wie Unternehmen Zero-Trust-Sicherheit in einer zunehmend entfernten und perimeterlosen Cloud-First-Landschaft implementieren können.

Eine kurze Geschichte von Zero Trust

Der Begriff Zero Trust wurde erstmals in den 1990er Jahren in einer Doktorarbeit über Computersicherheit diskutiert, allerdings noch nicht in seiner heutigen Bedeutung. Das Konzept gewann um das Jahr 2010 an Bedeutung, nachdem Forrester Research eine Diskussion über die Prinzipien geführt hatte, die die Grundlage des Paradigmas bilden sollten.

Forrester hat erkannt, dass die Idee eines vertrauenswürdigen Perimeters in Unternehmen riskant ist. Nicht nur, dass Anmeldeinformationen kompromittiert werden könnten, sondern es wird auch nicht erwähnt, dass Insider-Bedrohungen verhindert werden sollen. Daher sollte der gesamte Netzwerkverkehr als nicht vertrauenswürdig betrachtet werden, bis das Gegenteil bewiesen wird.

Einige Jahre später definiert unsere zunehmend mobile (und mittlerweile auch zunehmend ortsunabhängige) Belegschaft sogar den grundlegenden Begriff des Perimeters neu. Dies erfordert in Verbindung mit dem Aufstieg von Cloud-Lösungen eine weitere Abkehr von der anmeldeinformationsbasierten Authentifizierung. Neben dem Fokus auf die Menschen müssen wir das Zero-Trust-Framework nun auch auf die Daten ausweiten . Dies bedeutet, dass Sicherheitstools der nächsten Generation Netzwerkaktivitäten, Benutzerzugriffe und -berechtigungen sowie Datenzugriff und -nutzung berücksichtigen müssen.

Zero Trust erfordert heute mehr als nur die Frage, wer der Benutzer ist. Jeder Anmeldeversuch muss Kontext erfordern, z. B.:

• Wird das Gerät als bekanntes Gerät verwendet?
• Stammt die Anmeldung von einem bekannten Standort oder Netzwerk?
• Auf welche Daten oder Anwendungen versuchen sie zuzugreifen?

Natürlich ist es in unserer zunehmend offenen Landschaft leichter gesagt als getan, all diese Kontextinformationen einzufordern und zu überprüfen. Sicherheitsexperten müssen sich auf neue Trends in einer zunehmend offenen digitalen Landschaft einstellen . Wir gehen noch einen Schritt weiter und sehen uns an, wie man ein Zero-Trust-Paradigma in einer modernen Sicherheitsumgebung einführen kann.

Implementierung von Zero Trust in einer grenzenlosen Umgebung

Die Art der Datenverbreitung und der Remote-Arbeit macht es heute nahezu unmöglich, Sicherheitsperimeter so durchzusetzen, wie wir es früher getan haben. Werfen wir also einen Blick auf einige umsetzbare Schritte, um diese Strategie in Ergebnisse und ein technologiegesteuertes Sicherheitsparadigma umzusetzen.

Definieren der Schutzfläche

Der erste Schritt zur Sicherung der IT-Umgebung Ihres Unternehmens besteht darin, diese Umgebung zu definieren. Im Grunde versuchen Sie, eine Grenze zu errichten, wo keine existiert. Dieser Ansatz erfordert eine ganzheitliche Sicht auf das Netzwerk und die Umgebung, einschließlich aller Benutzer, Geräte, Berechtigungen und des gesamten Datenverkehrs.

Dies stellt eine besondere Herausforderung dar, wenn Sie Cloud-basierte Dienste nutzen oder Shared Hosting für Ihre Server haben. Laut Branchenexperte Alex Williams von Hosting Data kann die Sicherheit immer dann beeinträchtigt werden, wenn Ressourcen gemeinsam genutzt werden. „Die stark gemeinschaftliche Natur des Servers kann dazu führen, dass sich Viren auf einem Serverstandort ausbreiten und die damit verbundenen Geräte infizieren“, sagt Williams. „Sie haben keine Möglichkeit, Ihre Sicherheitseinstellungen zu personalisieren.“ Sie verlassen sich im Grunde darauf, dass Ihr Hosting-Team Sie schützt.“

Unabhängig von Ihrem speziellen Setup wird unsere moderne Angriffsfläche ständig erweitert. Es gibt mehrere Möglichkeiten, Definieren einer Angriffsfläche, aber mit Zero Trust gehen wir es speziell an, wenn es darum geht, was geschützt werden muss.

Dadurch wird der Fokus auf das verengt, was für das Unternehmen am wertvollsten ist. Zu einer "geschützten Oberfläche" gehören:

• Daten (z. B. personenbezogene Daten oder Zahlungskarteninformationen)
• Anwendungen (die für den Zugriff auf die Daten verwendet werden, z. B. CRM oder Zahlungsprozesse)
• Assets (Server oder Geräte, die die Daten verarbeiten, wie z. B. Point-of-Sales-Terminals)
• Dienste (geschäftskritische Dienste, die für den Zugriff auf Daten verwendet werden, z. B. DNS oder Active Directory)

Durch die Definition einer geschützten Oberfläche werden Datenmanagement und Asset-Management zusätzlich zur herkömmlichen Zugriffsverwaltung im Zusammenhang mit der Benutzerauthentifizierung zusammengeführt.

Entwurf einer Zero-Trust-Richtlinie

Nachdem Sie die Schutzoberfläche definiert haben, müssen Sie diese Informationen verwenden, um die organisationsweite Richtlinie zu formalisieren. Zero Trust verlangt die Frage, wer wann und von wo aus Zugriff auf was hat. Jedes Mal, wenn eine Zugriffsanforderung an eine bestimmte Ressource gestellt wird, gibt es eine Reihe von Fragen, die gestellt werden müssen:

• Wer sollte Zugang haben?
• Welche Geräte sollten Zugriff haben?
• Wann können Benutzer darauf zugreifen?
• Von wo aus können Benutzer darauf zugreifen?
• Wofür kann die Ressource verwendet werden?

Diese Fragen sollten in konkrete Handlungsschritte übersetzt werden, die so spezifisch sind, dass sie den individuellen Bedürfnissen verschiedener Anlagen oder Dienstleistungen gerecht werden. Ein attributbasiertes Zugriffskontrollmodell (ABAC) ist hilfreich bei der Erstellung von Richtlinien, die auf die Attribute verschiedener Ressourcengruppen abzielen.

Dass Sie für verschiedene Servicearten unterschiedliche Richtlinien haben, bedeutet jedoch nicht, dass es sich nicht um eine unternehmensweite Richtlinie handelt. Wenn Sie mit diesem Thema noch nicht vertraut sind, sollten Sie einen Experten zu Rate ziehen , um Ihre Zero-Trust-Strategie zu entwickeln.

Bilden Sie den "virtuellen" Perimeter

Es gibt verschiedene Tools und Taktiken, die angewendet werden können, um den virtuellen Perimeter zu stärken. Ein Hauptaugenmerk in einer offenen Landschaft sollte auf der Abbildung von Netzwerkflüssen und der Erhöhung der Transparenz von Cloud-nativen Ressourcen liegen.

Möglicherweise verfügen Sie über eine Hybrid-Cloud-Umgebung mit einigen lokalen und virtuellen Ressourcen. Sie werden sich außerdem mit der Frage auseinandersetzen müssen, ob es sich um hauseigene Software oder Software von Drittanbietern handelt. Das ABAC-Modell wird dazu beitragen, die Regeln zu konsolidieren und so eine umfassendere Transparenz zu gewährleisten. Darüber hinaus müssen Sie Ihre Dienste segmentieren, um Zero Trust durchzusetzen.

Ein Mikrosegmentierungstool , das eine detaillierte Kontrolle Ihrer geschützten Datenquelle ermöglicht, trägt dazu bei, die Schwere eines Angriffs im Falle eines Datenlecks zu verringern. Eine Segmentierung ist besonders wichtig bei der Verwendung von Cloud-basierten Microservices – ohne virtuelle Barrieren könnte sich ein Angreifer mit nur einem Satz gestohlener Zugangsdaten lateral in Ihrem System bewegen. Das richtige Tool ermöglicht Ihnen außerdem, das Systemverhalten in Echtzeit zu beobachten, was Ihnen bei der Durchsetzung Ihrer Richtlinien hilft.

Konsistentes Überwachen und Testen

Auch wenn Sie von Ihren Richtlinien und deren Umsetzung überzeugt sind, sollten Sie Ihr System immer wieder auf Schwachstellen überprüfen. Testen Sie Ihre vordefinierten Richtlinien, um sicherzustellen, dass sie verdächtige Aktivitäten erkennen und im Falle einer Bedrohung zur Einleitung von Notfallmaßnahmen genutzt werden können. Es kann auch hilfreich sein, regelmäßig Angriffstests durchzuführen, entweder intern oder durch externe Dienstleister, um Schwachstellen aufzudecken und Selbstzufriedenheit zu vermeiden.

Schulen Sie Ihre Teams

Um ein Zero-Trust-Paradigma in Ihrem Unternehmen voranzutreiben, müssen Sie schließlich durch gezielte Schulungen alle an Bord holen. Es ist wichtig, dass jeder, von der IT bis zur C-Suite, weiß, warum die Richtlinienänderungen implementiert werden und wie sie sich auf sie auswirken.

Sie sollten beispielsweise Ihre Mitarbeiter darin schulen, wie Zugriffsmanagement und Multi-Faktor-Authentifizierung ihre Anmeldeprozesse verändern werden und warum dies für das Unternehmen, die Mitarbeiter und die Kunden wichtig ist.

Fazit

Die digitale Welt ist im ständigen Wandel, und Sicherheitsexperten tragen die Last, sich diesen Veränderungen anzupassen. Die Zeiten von fest installierten, lokal installierten Geräten sind vorbei; sie wurden durch Hybrid-Cloud, Edge-Computing und das Internet der Dinge ersetzt.

Zero Trust hilft Unternehmen, sich mit mehrschichtiger, datenzentrierter Sicherheit der Herausforderung zu stellen. Und wenn sie richtig implementiert wird, gibt es keinen Grund, warum sich Sicherheit wie eine Unannehmlichkeit anfühlen muss. Vielmehr kann es sich um eine unternehmensweite Prioritätenverschiebung handeln, die Verantwortung und eine gesunde Cyberhygiene fördert.

Erfahren Sie, wie Illumio, der Pionier und Marktführer im Bereich Zero Trust Segmentation, Ihnen helfen kann:

• Lesen Sie die neuesten Forrester Wave-Berichte zu Zero Trust und Mikrosegmentierung.
• Eine Schritt-für-Schritt-Anleitung erhalten Sie im E-Book „ 6 Schritte zur Implementierung eines Zero-Trust-Modells“.
• Laden Sie die Forrester Consulting-Studie „ Trusting Zero Trust“ herunter.