VPN-Verbindungen durch Zero Trust Network Access ersetzen Mit Zero Trust zum sicheren Remote-Arbeiten

Anbieter zum Thema

Paessler AG

Insider Research

Cradlepoint GmbH

Rackspace Germany GmbH

Ein effektiver Remote-Access-Service (RAS) sollte sicher, schnell, transparent, ohne Umwege und frei von Barrieren funktionieren und dass trotz der Vielzahl an Zugängen. Der nach wie vor beliebte VPN-Zugang entspricht diesem Anforderungsprofil kaum. Das kann nur ein Zero-Trust-Konzept gemeinsam mit einem intensiven Monitoring aller Datenströme und einer Single-Sign-On-Authentifizierungsmethode (SSO).

Früher stellten Unternehmen externe Verbindungen direkt von der Zweigstelle ins Internet, zu SaaS-Anwendungen und zu den Rechenzentren des Unternehmens her und installierten Firewalls vor Ort, um weitere Sicherheitsebenen zu schaffen. Heute wird ein gerätezentrierter Ansatz präferiert, bei dem die einzelnen Büros nicht mehr Knotenpunkte eines Unternehmensnetzwerks sind, sondern eher wie Internetcafés funktionieren. Das kann in folgenden Schritten umgesetzt werden:

• Über eine Verwaltungsplattform erfolgt der Eintrag aller Geräte in ein Unternehmenssicherheitsprogramm, deren Nutzung jedoch an bestimmte Bedingungen geknüpft wird, um eine bessere Konnektivität herzustellen.

• Alle Geräte werden regelmäßig mit neuesten Updates gepatcht und Fehler stetig behoben. Werden durch einen Scan bösartige Dateien und Viren gefunden, wird das entsprechende Gerät aus dem Netzwerk eliminiert.

• Die Geräte transferieren den ausgehenden Datenverkehr über ein sicheres Web-Gateway (SWG) wo zeitgleich eine Analyse stattfindet. Die Anwendung der Unternehmensrichtlinien erfolgt bereits auf der Geräteebene. Das verhindert Schatten-IT-Anwendungen oder das unerlaubte Abgreifen von Informationen. Der Datenverkehr wird dabei vom Administrator ausgewertet und zentral protokolliert.

• Um das Internetsurfen der Mitarbeiter mit ihren eigenen Geräten zu erlauben, findet dies in einem isolierten Container, nämlich einer sicheren Sandbox, statt.

• Beim Abgang eines Mitarbeiters aus dem Unternehmen löscht die Verwaltungsschnittstelle alle sensiblen Unternehmensdaten sofort auf jedem Gerät, das der Mitarbeiter eingesetzt hat.

In einem weiteren Schritt geht es an die Bewertung der meist (immer noch) vorhandenen VPN-Landschaft. Hier ist tatsächlich eine grundlegende Maßnahme notwendig:

VPN-Verbindungen durch Zero Trust Network Access ersetzen

VPNs bedeuten häufig viele Kompromisse, Latenz und Frustration, vor allem für global verteilte Teams. Sie basieren auf einem Sicherheitsmodell, das vielen Bedrohungen nicht mehr gewachsen ist. Denn jeder, der sich mit dem Unternehmens-VPN verbindet, wird als vertrauenswürdig eingestuft, ohne dass nach der Verbindung zusätzliche Prüfungen erfolgen. Die Firewalls erschweren das mobile Arbeiten und die Konnektivität und bieten keinen Schutz, wenn sich der Angreifer bereits innerhalb der Firewall befindet. Die Bedenken hinsichtlich dieses Modells werden durch die von VPNs unterstützte, wenig zuverlässige Protokollierung noch verschärft: Sie zeichnet die IP-Adresse des Benutzers auf, aber nicht die Anwendungen und Daten, auf die der Benutzer zugegriffen hat. Auch ist es fast unmöglich, die Schritte des Angreifers zurückzuverfolgen, sollte ein Benutzerkonto kompromittiert worden sein.

Durch das Ersetzen von VPN-Verbindungen durch Zero Trust Network Access (ZTNA) wird automatisch das Prinzip der geringsten Privilegien bei geschäftskritischen Anwendungen umgesetzt. ZTNA vereinfacht die Prozesse rund um das Identitäts- und Zugriffsmanagement (IAM) durch die Anwendung von Mikroperimetern um jede Anwendung herum, das Verstecken von Anwendungen hinter verschlüsselten Verbindungstunneln und die Protokollierung jeder Anfrage.

Die komplexeste Aufgabe für jedes Unternehmen ist es jedoch, sicherzustellen, dass jeder Mitarbeiter Zugang ausschließlich zu den Tools und Daten hat, die er für seine Arbeit braucht. Das festzulegen ist nicht nur die Aufgabe der IT, sondern vielmehr von HR sowie den Vorgesetzten des Mitarbeiters. Je größer die Belegschaft, desto komplexer die Aufgabe und um so mehr werden interne Umstrukturierungen erforderlich. Ist das Authentifizierungssystem eingerichtet, geht das On- und Off-Boarding reibungslos vonstatten.

Single Sign-On (SSO)-Authentifizierungsmethode verstärkt die Sicherheit

Die Single Sign-On (SSO)-Authentifizierungsmethode ermöglicht es internen wie externen Parteien, sich bei mehreren Anwendungen und Webseiten zu authentifizieren und trotzdem nur einmal ihre Anmeldedaten einzugeben. Besonders sicher: die Verwendung eines Einmalkennworts (OTP), welches oft in Kombination mit einem normalen Passwort verwendet wird oder eine Zwei-Faktor-Authentifizierung. Damit wird eine dynamische Zugangs- und Zugriffsberechtigung etabliert.

Viele Unternehmen brauchen eine sichere Methode zur Verwaltung von Mitarbeitern, Auftragnehmern und anderer Drittparteien. Sie sollten nur so lange auf Daten und Tools zugreifen, wie sie diese benötigen. Moderne Authentifizierungslösungen erlauben sogar eine Anmeldung mit bereits vorhandenen Konten, beispielsweise Gmail, Facebook oder LinkedIn. Sie müssen nur dasselbe hohe Maß an Sicherheit, Protokollierung und detaillierten Berechtigungen bieten wie eine Anmeldung mit einem auf den eigenen Systemen erstellen Konto.

Monitoring ist die halbe Miete

Je besser das Monitoring, desto sicherer der Datenverkehr. Es gilt, Schritt zu halten mit der Erkennung immer neuer Varianten und Methoden, weswegen das Monitoring an einen externen Spezialisten ausgelagert werden sollte, der stets auf der Höhe der Zeit agiert und die die künftigen Entwicklungen im Auge hat. Durch das Verständnis der Stärke oder Nähe der Beziehungen und der Verbindungen zwischen Absendern und Empfängern, können anormale Verhaltensweisen erkannt, Mitarbeiter gewarnt und Angriffe verhindert werden. Ein Cyber-Graph entfernt eingebettete E-Mail-Tracker, welche den Angreifern Informationen für gezielte Angriffe liefern könnten, und macht Mitarbeiter auf falsch adressierte E-Mails aufmerksam, damit Datenverluste vermieden werden.

Secure Web-Gateways (SWGs) benötigen Richtlinien

Web-Gateways (SWGs), die den Datenverkehr von Mitarbeitergeräten abfangen, werden meist als SaaS-Sicherheitsplattformen angeboten. Sie wenden Filterregeln auf den ein- und ausgehenden Datenverkehr an. Mit demselben Filtermechanismus legen Administratoren Richtlinien fest, mit denen kontrolliert wird, wie ein User mit Unternehmensdaten interagiert. Das sind Richtlinien zur:

• Blockierung von Websites, die als Phishing-Betrug gekennzeichnet wurden,

• Protokollierung und Überwachung von Aktivitäten innerhalb von SaaS-Anwendungen,

• Verhinderung, dass ein Mitarbeiter der Marketingabteilung das Verwaltungsportal einer CRM-Anwendung des Unternehmens besucht,

• Begrenzung von Datei-Uploads und -Downloads von nicht genehmigten Cloud-Speicher-Sites wie Dropbox.

Browser-Isolierungsdienste nutzen

Webbrowser differenzieren nicht und verbinden auch mit potenziell schädlichen Teilen des Internets. Um die Daten zu schützen, die auf den Geräten gespeichert sind oder auf die zugegriffen werden, setzen Unternehmen Browser-Isolierungsdienste ein, bei denen der Browser nicht auf dem Gerät selbst, sondern auf einer virtuellen Maschine bei einem Cloud-Anbieter ausgeführt wird. Dadurch bleiben die vom Browser ausgehenden Bedrohungen auf diesem virtuellen Rechner in der Cloud.

Schon mit diesen oben skizzierten Maßnahmen, die auch Bestandteil einer Security-Strategie sein können, werden schnell die kritischsten Schwachstellen behoben, die Unternehmens-Security nachhaltig und wirksam aufgestellt und den Mitarbeitern ein einfaches, sicheres und schnelles Arbeiten (remote, hybrid, on-premise) geboten. Bei der Umsetzung sollten externe Spezialisten wie Rackspace hinzugezogen werden. Diese führen als erstes einen Security Discovery Workshop zur Bestandsaufnahme und Entwicklung einer passgenauen Security-Roadmap durch und begleiten das Unternehmen bis zum Abschluss aller Umsetzungen.

Über den Autor

Kristof Riecke ist CISO bei Rackspace Technology.

(ID:49254322)