Die zunehmende Vernetzung über Organisationsgrenzen hinweg und die Integration externer Dienste in interne Prozesse sind für die IT Sicherheit eines Unternehmens in den letzten Jahren zunehmend zur Herausforderung geworden. Remote Working, Cloud-Services, eine organisationsübergreifende Vernetzung - all diese Entwicklungen führen zu komplexeren, sicherheitsrelevanten Anforderungen und erhöhen die Angriffsfläche für Cyberangriffe. Die Implementierung einer Zero Trust Strategie gewinnt daher in der aktuellen Cybersicherheitslandschaft immer mehr an Bedeutung.
Der Zero Trust Ansatz basiert auf dem Prinzip der minimalen Rechte (sog. Least Privileges) aller User oder Geräte auf allen Ebenen einer Netzwerkumgebung.
Es wird davon ausgegangen, dass kein Gerät oder User innerhalb oder außerhalb des Netzwerks standardmäßig vertrauenswürdig ist. Es sollen also lediglich die Nutzer oder Geräte Zugriff auf Ressourcen haben, die diesen auch wirklich benötigen. Dies bedeutet, dass Berechtigungen standardmäßig möglichst granular vergeben werden müssen, sodass im Falle eines Sicherheitsvorfalls (beispielsweise falls ein User einen bösartigen Anhang einer Phishing Email öffnet) unkontrolliertem Datenabfluss oder der Manipulation aller Daten eines Netzwerks vorgebeugt wird.
Vorrangiges Ziel des Zero Trust Ansatzes ist, die Cybersicherheit im Unternehmen zu erhöhen, indem man davon ausgeht, dass generell keinem Gerät oder User, weder intern noch extern der Organisation, vertraut wird. Dieses fehlende Vertrauen gegenüber jedem Zugriff, setzt voraus, dass jeder Zugriff auf ein System oder Daten einer vorherigen Authentifizierung und Autorisierung bedarf.
Ob ein Zugriff autorisiert ist, wird durch möglichst hochwertige Information evaluiert. Loganalysen zum Verhalten der zum Zugriff verwendeten Systeme, Informationen zum Gerätemonitoring oder aktuelle Bedrohungsinformationen fließen in die Entscheidungsfindung mit ein.
Die Umsetzung von Zero Trust im Unternehmen könnte beispielsweise folgende IT-Sicherheitsmaßnahmen, angepasst an die Prozesse der Organisation, beinhalten:
Für das Identitäts- und Zugriffsmanagement kann eine Multi-Faktor-Authentifizierung Lösung verwendet werden, die sicherstellt, dass Benutzer bei jedem Anmeldeversuch ihre Identität gegenüber dem Aktive Directory als zentraler Verzeichnisdienst zur Benutzerverwaltung nachweisen.
Eine Überwachung von Netzwerkaktivtäten in Echtzeit und ein Monitoring der Netzwerklandschaft helfen dabei, ungewöhnliche Aktivitäten und Muster zu erkennen und darauf zu regieren. Die Analyse von Logfiles mittels entsprechender SIEM-Tools (Security Information and Event Management) ist unumgänglich. Die gesammelten und analysierten Logdaten sind die Basisinformationen, die zusammen mit Daten aus anderen Quellen wertvolle Informationen zu ungewöhnlichen Netzwerkaktivitäten liefern. Versucht sich beispielsweise ein User oftmals hintereinander mit den falschen Zugangsdaten anzumelden, kann dies als außergewöhnliche Aktivität gewertet werden. Solche Anmeldeversucht können auf ein potentielles Sicherheitsproblem hinwiesen, wie beispielsweise einen Brute-Force-Angriff, bei dem der Angreifer versucht, verschiedene Passwörter auszuprobieren, um Zugriff zu erlangen. Mit Hilfe entsprechender Logfile Analyse Tools kann die KI durch maschinelles Lernen Anomalien im Benutzerverhalten identifizieren und beispielsweise das entsprechende Benutzerkonto für die Anmeldung sperren.
Die Verwendung von MDM Lösungen sorgt dafür, dass Sicherheitsrichtlinien durchgesetzt werden, indem die Verwaltung von mobilen Endgeräten zentralisiert wird. Entsprechende Tools zur Benutzerverwaltung oder Passwortvergabe sind ideal, um Sicherheitsrichtlinien durchzusetzen und die Einhaltung dieser nachzuweisen.
Im Gegensatz zum Zero Trust Ansatz findet man das klassische Perimeter basierte Sicherheitsmodell. Bei diesem Ansatz geht man davon aus, dass alles, was sich innerhalb des Netzwerkperimeters befindet, vertrauenswürdig ist. Alles, was sich außerhalb des Netzwerks befindet wird als gefährlich eingestuft. Bei diesem Modell wird beispielsweise internen Netzwerkusern standardmäßig vertraut. Das Hauptaugenmerk der Zugriffskontrolle liegt auf der Sicherung des internen Netzwerks durch Gateways und Firewalls. Sicherheitsüberprüfungen sind oft weniger streng. Moderne Bedrohungen (KI-gesteuerte Ransomware, Phishing etc. ) können sich so, einmal im internen Netzwerk, leichter frei bewegen und ausbreiten.
Das Netzwerk ist so zu segmentieren, dass im Falle eines Sicherheitsvorfalls, der Angreifer nicht auf das gesamte Netzwerk Zugriff hat, sondern der Angriff mittels Intrusion Detection and Prevention System erkannt und verhindert wird. Eine entsprechende Microsegmentierung inkl. granularer Firewallkonfiguration unter Verwendung von VLANS ist zu implementieren.
