Grenzen der IT-Security Network-Perimeter durch Zero-Trust-Modelle ersetzen

Anbieter zum Thema

ALE Deutschland GmbH

Aagon GmbH

Vitel GmbH

Perimeter-Security-Technologien bieten eine Reihe von Services vom einfachen Firewall-Schutz bis hin zur End-to-End-Sicherheit. Trotzdem tauchen in vielen Netzwerken immer wieder Lücken und anfällige Zugangspunkte auf. Zero-Trust-Modelle versprechen Abhilfe.

Die IT-Security konzentrierte sich lange Zeit auf den Schutz interner Daten und Systeme vor externen Angreifern. Die meisten Mitarbeiter arbeiteten vor Ort und Remote-Arbeitsplätze waren eher selten. Damals reichten Perimeter-basierte Security-Lösungen völlig aus, da die Unternehmen im Wesentlichen lokale Netzwerk-Operationen benötigten und die Anbindung der Mitarbeiter an Netzwerke ausschließlich im Büro vor Ort erfolgte.

Zugriffe durch ZTNA absichern

Längst veränderten Cloud Computing und Remote-Work die Netzwerk-Architekturen, die immer mehr Lücken und anfällige Zugangspunkte verursachten. Die Migration zu einem moderneren Zero-Trust-Modell kann Unternehmen dabei helfen, ihre Sicherheitslage zu verbessern. In diesem Modell wird die Grundannahme des Vertrauens durch das Prinzip „Niemals vertrauen, immer überprüfen“ ersetzt.

Zero Trust Network Access (ZTNA) ist eine IT-Security-Lösung, die auf der Grundlage klar definierter Zugriffsrichtlinien einen sicheren Fernzugriff auf die Anwendungen, Daten und Services eines Unternehmens ermöglicht. Das heißt, ein Zugriff auf definierte Anwendungen oder Ressourcen wird erst gewährt, nachdem der User bei einem ZTNA-Service authentifiziert wurde.

Nach der Authentifizierung gewährt die ZTNA dem User den Zugriff auf die spezifische Anwendung über einen sicheren, verschlüsselten Tunnel, der eine zusätzliche Sicherheitsebene bietet, indem er Anwendungen und Services vor IP-Adressen schützt, die sonst sichtbar wären.

Auf diese Weise verhalten sich ZTNAs sehr ähnlich wie Software Defined Perimeters (SDPs) und basieren auf der gleichen Idee einer sogenannten „Dark Cloud“, um zu verhindern, dass User Einblicke in andere Anwendungen und Services erhalten, auf die sie nicht zugreifen dürfen. Dies bietet auch Schutz vor „Side-Attacks“, da ein Angreifer selbst bei einem Zugriff nicht in der Lage wäre, andere Services zu scannen.

ZTNA vs. Perimeter-basierte Security-Lösungen

Im Vergleich zu den Perimeter-Security-Technologien bietet ZTNA vor allem die Möglichkeit, User, Anwendungen und Daten zu verbinden, auch wenn sie sich nicht im Netzwerk des Unternehmens befinden. Dies ist ein Szenario, das in heutigen Multi-Cloud-Umgebungen immer häufiger vorkommt, in denen auf Micro-Services basierende Anwendungen sowohl in mehreren Clouds als auch auf anderen Servern residieren.

ZTNA erfüllt den Bedarf zukunftsorientierter Unternehmen, ihre digitalen Assets überall, jederzeit und von jedem Gerät aus für eine verteilte Basis von Usern verfügbar zu machen. Dafür muss ein feingesteuerter Zugriff auf geschäftskritische Anwendungen und Daten hergestellt werden, ohne andere Services möglichen Angreifern auszusetzen.

Das ZTNA-Modell realisiert den Ansatz, dass nichts vertrauenswürdig sein kann, bis sich seine Vertrauenswürdigkeit bewiesen wurde. Noch wichtiger ist allerdings, dass das Vertrauen immer dann erneut authentifiziert werden muss, wenn sich etwas an der Verbindung wie beispielweise Standort, Kontext, IP-Adresse etc. verändert hat.

Abgrenzung zwischen VPN und ZTNA

Es gibt mehrere Unterschiede zwischen VPNs und ZTNA. VPNs sind in erster Linie darauf ausgelegt, einen netzwerkweiten Zugriff zu liefern, wobei ZTNAs den Zugriff auf bestimmte Ressourcen gewähren und häufig eine erneute Authentifizierung erfordern. Zu den Nachteilen von VPNs im Vergleich zu ZTNAs gehören:

Ressourcenauslastung

Wenn die Anzahl der Remote-User zunimmt, kann die Belastung des VPN zu höheren Latenz-Zeiten führen und das Hinzufügen neuer Ressourcen zum VPN erforderlich machen, um der wachsenden Nachfrage oder den Spitzennutzungszeiten gerecht zu werden. Dies bindet wiederum Personal in den IT-Teams.

Flexibilität

VPNs bieten nicht die Granularität, die ZTNA leistet. Darüber hinaus kann es problematisch sein, VPN-Software auf allen Endbenutzergeräten zu installieren und zu konfigurieren, die mit Unternehmensressourcen verbunden werden müssen. Umgekehrt wäre es dagegen viel einfacher, Security-Richtlinien und User-Autorisierung basierend auf den unmittelbaren Geschäftsanforderungen hinzuzufügen oder zu entfernen. Beispielsweise vereinfachen ABAC (Attribute Based Access Control) und RBAC (Role Based Access Control) in ZTNAs diese Aufgabe.

Feinsteuerung

Sobald sich ein User innerhalb eines VPN-Perimeters befindet, erhält er Zugriff auf das gesamte System. ZTNAs verfolgen den umgekehrten Ansatz und gewähren überhaupt keinen Zugriff, es sei denn, ein Asset – Anwendung, Daten oder Service – ist speziell für diesen User autorisiert. Im Gegensatz zu VPNs bieten ZTNAs eine kontinuierliche Identitätsüberprüfung basierend auf der Authentifizierung der Identität.

Auf diese Weise wird jeder User und jedes Gerät verifiziert und authentifiziert, bevor ihnen ein Zugriff auf bestimmte Anwendungen, Systeme oder andere Assets gewährt wird. VPNs und ZTNAs lassen sich natürlich auch in Kombination miteinander verwenden, um beispielsweise die Sicherheit in einem besonders sensiblen Netzwerk-Segment zu erhöhen. Dies gilt insbesondere als zusätzliche Sicherheitsebene für den Fall, wenn ein VPN kompromittiert wurde.

Auswahl des ZTNA-Anbieters

In einem schnell wachsenden Markt der Anbieter von ZTNA-Technologien ist es wichtig, den richtigen Anbieter zu finden, der ein Unternehmen vollumfänglich unterstützt. Hier sind einige Fragen, die bei der Wahl eines geeigneten ZTNA-Anbieters zu stellen sind:

• • Werden Daten der User offengelegt?

• • Wer hat die Kontrolle über die Zugangsregeln?

• • Wo werden Passwörter, Token, private Schlüssel aufbewahrt?

• • Wie wird das Risiko interner Bedrohungen gemindert?

• • Welchen Umfang hat ein sicherer Zugriff? Umfasst er User, Netzwerke, Apps usw.?

• • Wie ist die Infrastruktur des ZTNA-Anbieters? Befinden sich die Server in der Cloud oder in einem Rechenzentrum? Wer kann darauf zugreifen?

• • Die letzte, aber sehr wichtige Frage: Was passiert, wenn der ZTNA-Anbieter kompromittiert wird? Sind die Organisation und Daten der Kunden gefährdet?

(ID:49801639)