Ausklammern von implizitem Vertrauen kommt in ModeWie “Zero” in Zero Trust kommt

Zero Trust ist ein ausgereifter Ansatz für Cyber-Sicherheit, der auf dem Ausklammern von implizitem Vertrauen basiert, um die IT-Sicherheit von Unternehmen zu gewährleisten. Aufgrund der hohen Wirksamkeit und dem Verhindern von Angriffen – zuzüglich des Druckes der US-Regierung – gewinnt der Ansatz weltweit zunehmend an Popularität. Laut dem State of Zero Trust Transformation Report 2023 setzen mehr als 90 Prozent der befragten IT-Entscheidungsträger in den nächsten zwölf Monaten einen Zero Trust-Sicherheitsansatz um oder planen dessen Einführung.

Was das Zero Trust-Modell einzigartig und relativ einfach macht, ist die Tatsache, dass jede Sitzung validiert und verifiziert wird, indem das Netzwerk aus der IT-Sicherheit ausgeklammert wird. Ein zusätzlicher Vorteil besteht darin, dass Unternehmen flexibler agieren und die Netzwerkkosten senken können. Ein wesentlicher Unterschied zwischen Zero Trust und anderen, weniger dynamischen Sicherheitsmechanismen besteht darin, dass Unternehmen gleichzeitig sicherer und schneller werden.

Das Design eines herkömmlichen Netzwerks beruht auf implizitem Vertrauen, wodurch es zu einem leichten Ziel für Cyber-Angriffe wird. Das ist einer der Hauptgründe für den Paradigmenwechsel hin zu Zero Trust. Ursprünglich waren Netzwerke dazu gedacht, lokale Computer miteinander zu verbinden. Damals war es eine Revolution, Computer unbegrenzt zu vernetzen, wodurch sich die IT effizienter gestalten ließ.

Doch im Laufe der Zeit wurde ein eklatantes Problem transparent: Es gab keine Möglichkeit, unerwünschten Datenverkehr zu unterbinden. Sobald diese Schwachstelle erkannt war, wurden Firewalls zur Risikominimierung eingesetzt. Dadurch wurde allerdings nicht die Ursache beseitigt, sondern das Problem lediglich in kleinere Teile zerlegt und mehr Aufwand generiert.

Seitdem haben Unternehmen gelernt, dass jegliches implizite Vertrauen aus den Netzwerken verbannt werden sollte zu Gunsten höherer Sicherheit. Genau dazu wurde der Zero Trust-Ansatz erfunden. Damit wird sichergestellt, dass ein Netz nur für den Transport verwendet wird und nicht mehr für die Sicherheit zuständig ist.

Zero Trust in niemandem

Der Begriff „Zero Trust“ an sich ist insofern fehlerhaft, als es keine gänzliche Ausschaltung des Vertrauens gibt. „Überhaupt kein Vertrauen“ ist unerreichbar und wäre wohl auch gleichbedeutend mit „wertlos“. Stattdessen sollte Zero Trust als eine Verlagerung von implizitem zu explizitem Vertrauen betrachtet werden und damit einhergehend eine Verlagerung weg vom Vertrauen in Netzwerke hin zum Vertrauen in Menschen und bekannte Instanzen. Wenn eine Organisation versteht, wem oder was sie vertrauen kann, wird es einfacher zu verstehen, wer Zugriff auf Ressourcen erhalten darf.

Das Netzwerk-Vertrauensmodell und insbesondere Firewalls versagen, wenn es um die Anbindung an das Internet geht. Umgekehrt muss ein Vertrauensmodell auch auf Geräte ausgedehnt werden können und hier muss das Vertrauen kontinuierlich bewertet werden.

Genau das wird durch die rasante Entwicklung in diesem Bereich durch Zero Trust-Zugangstechnologien ermöglicht. Ein „vertrauenswürdiges“ Gerät, das von einem Büro aus eine Verbindung herstellt, ist möglicherweise nicht mehr oder weniger vertrauenswürdig, wenn es sich von einem Internetcafé oder einem Hotel aus verbindet.

In einem Zero Trust-Modell müssen alle Aktivitäten in jeder Phase des Prozesses einen Vertrauenstest bestehen. Cloud-Umgebungen beispielsweise verringern das implizite Vertrauen in Serverstandorte, so dass das Vertrauen in die Umgebung und das Host-Management fortlaufend überprüft werden müssen, insbesondere im Fall von Fernarbeit.

Diese Zero Trust-Philosophie ist für alle Unternehmen unabhängig von ihrer Größe wichtig, insbesondere aber für das IT- oder Server-Management und den Betrieb von Rechenzentren. In der Vergangenheit waren unterschiedliche Personen am physischen Prozess des Aufbaus eines Rechenzentrums beteiligt.

Heutzutage kann ein Rechenzentrum von einer Person in kürzester Zeit eingerichtet werden. Obwohl dies zu mehr Flexibilität und geringeren Kosten führt, werden diese Vorteile durch einen Anstieg des impliziten Vertrauens erkauft. Solche Cloud-basierten Instanzen sind in hohem Maße veränderbar und können mit einem einzigen Klick angreifbar sein.

Die Vertrauenswürdigkeit des Netzes

Wenn es darum geht, „Zero“ in „Zero Trust“ zu realisieren, muss implizites versus explizites Vertrauen adressiert werden. So ist es beispielsweise wichtig, jedes Kabel oder jeden Port genauso wie das Internet an sich zu betrachten, anstelle das Netzwerk als Mittel zur Authentifizierung zu begreifen.
Daher sollten Anwendungen und Workloads bei jeder Nutzung evaluiert werden und nicht nur bei der Erstellung oder Installation. Durch die Abkehr vom Netzwerk als Teil des Vertrauensmodells ist es einfacher aufzuschlüsseln und zu bewerten, was als explizit vertrauenswürdig eingestuft werden kann oder sollte.

Sobald das implizite Vertrauensmodell aus dem Netzwerk ausgeklammert ist, wird es für einen Angreifer, der sich zum Beispiel Zugang zu einem Endpunkt verschafft hat, durch die reduzierte Angriffsfläche sehr viel schwieriger, sich lateral durch die IT-Umgebung zu bewegen. Der Zero Trust-Prozess der Verifizierung, Kontrolle und Durchsetzung von Regeln muss kontinuierlich stattfinden, um sicherzustellen, dass implizites Vertrauen in explizites umgewandelt werden kann, falls nötig.

Die Verifizierung ist entscheidend, um den Kontext einer Sitzung zu erfassen und darauf aufbauend den User dahinter als vertrauenswürdig oder nicht vertrauenswürdig einzustufen. Hinzu kommt die Kontrolle der Risikokriterien als weitere Schlüsselkomponente, da letztlich aufbauend auf allen Faktoren eine Entscheidung über die Vertrauenswürdigkeit der Sitzung getroffen werden muss.

Zero Trust wird die Sicherheitsbranche transformieren, da sich mit der Einführung eines solchen Ansatzes Rollen und Verantwortlichkeiten innerhalb von Unternehmen wandeln werden, um den multifunktionalen Auswirkungen besser gerecht zu werden. Es liegt an den Unternehmen ihr Sicherheitspostulat an die neue Bedrohungslandschaft und das mobile Arbeiten anzupassen, indem sie implizites Vertrauen eliminieren, um das Netzwerk so sicher wie möglich zu gestalten.

Marc Lueck ist Chief Information Security Officer für die Region EMEA bei Zscaler.

Zscaler