Definition Was ist Zero Trust Network Access (ZTNA)?

Anbieter zum Thema

Vitel GmbH

Zero Trust Network Access ist ein Konzept und eine Technologie für den Zugriff auf Services und Anwendungen gemäß des Zero-Trust-Modells. Zugriffe werden nicht wie in einem VPN auf Netzwerkebene, sondern dediziert für User oder Geräte auf Anwendungsebene freigeschaltet. Als vermittelnde Instanz zwischen Client und Anwendung agiert ein Broker. Er entkoppelt den Anwendungszugriff von der Netzwerkebene.

Zero Trust Network Access, abgekürzt ZTNA, ist ein Konzept und eine Technologie für einen auf Applikationsebene steuerbaren Zugriff eines Clients auf eine Anwendung oder einen Dienst über ein Netzwerk wie das Internet. Ein oft alternativ verwendeter Begriff lautet Software-Defined Perimeter (SDP). Genau genommen handelt es sich beim SDP aber um eine Realisierungsmöglichkeit des Zero Trust Network Access.

ZTNA basiert auf dem Zero-Trust-Modell und misstraut grundsätzlich jedem Dienst, Anwender oder Gerät innerhalb oder außerhalb des eigenen Netzwerks. Erst die Authentifizierung der Dienste, Anwender oder Geräte ermöglicht einen gegenseitigen Zugriff gemäß den zuvor definierten Policies. Im Gegensatz zu beispielsweise einem virtuellen privaten Netz (VPN) basiert das Vertrauen zu einem Client nicht auf dessen Netzwerkzugehörigkeit. Es werden keine Tunnel zwischen dem Client und dem den Service beherbergenden Netzwerk aufgebaut, die einen netzwerkbasierten Zugriff ermöglichen. Bereitgestellte Dienste und Anwendungen bleiben nach außen verborgen und sind nur von den authentifizierten Entitäten nutzbar.

Für jeden einzelnen Nutzer stellt ein zentraler Vermittler eine eigene Applikationsverbindung her. Er agiert zwischen dem Client und der Anwendung und entkoppelt die Zugriffsberechtigungen von der Netzwerkebene. Das reduziert für die Dienste oder Anwendungen die Angriffsfläche und verhindert, dass ein Angreifer sich über einen unbefugten Zugriff innerhalb des Servicenetzwerks weiterbewegen kann. ZTNA ist sehr gut für cloudbasierte oder hybride Umgebungen geeignet, die Services oder Anwendungen in einer öffentlichen oder privaten Cloud oder On-Premises bereitstellen. Selbst in einer öffentlichen Cloud bleiben die Dienste und Anwendungen gegenüber nicht autorisierten Benutzern vollständig verborgen.

Das Zero-Trust-Modell

ZTNA basiert auf dem Zero-Trust-Modell. Beim Zero-Trust-Modell handelt es sich um ein Sicherheitskonzept, das sich aus dem Grundsatz ableitet, keinem netzinternen oder netzexternen User, Gerät oder Service zu vertrauen. Alle User, Geräte oder Services müssen sich gegenüber einer prüfenden Instanz authentifizieren. Ziel des Zero-Trust-Modells ist es, die Risiken des unbefugten Zugriffs auf Netzwerke, Anwendungen oder Services zu minimieren, indem neben externen Bedrohungen auch interne Gefahrenpotenziale ausgeschlossen werden.

Viele herkömmliche Sicherheitsverfahren stützen sich auf die Zugehörigkeit eines Clients zu einem bestimmten internen Netzwerk und stufen nur externe Zugriffe als potenziell gefährlich ein. Aus dem Zero-Trust-Grundsatz leitet sich die Forderung ab, dass sich jeder Client, Anwender oder Service zu authentifizieren hat und der Datenverkehr geprüft und verschlüsselt werden muss. Das grundsätzliche Misstrauen gegenüber allen Kommunikationsteilnehmern hat Auswirkungen auf die IT-Security-Architektur. Sicherheitssysteme sind nicht mehr nur an den Grenzen eines Netzwerks, sondern für das komplette Kommunikationsnetzwerk vorzusehen. Sie analysieren den Datenverkehr, authentifizieren Entitäten, lassen Verbindungen zu oder verbieten sie und erteilen oder entziehen Zugriffsrechte bis auf Anwendungsebene.

Die zentralen Merkmale von Zero Trust Network Access

Kurz zusammengefasst sind die zentralen Merkmale von Zero Trust Network Access folgende:

• der Anwendungszugriff ist von der Netzwerkherkunft eines Clients und vom Netzwerkzugriff entkoppelt

• Zero Trust Network Access arbeitet mit ausgehenden Verbindungen und macht Anwendungsinfrastrukturen gegenüber dem Internet und den Nutzern unsichtbar

• für authentifizierte und autorisierte Clients und Services werden dedizierte Eins-zu-eins-Verbindungen erstellt

• autorisierte User haben nur Zugriff auf spezifische Dienste oder Applikation und nicht auf komplette Netzwerke

• der Datenaustausch findet grundsätzlich verschlüsselt statt

Unterschiede zum Sicherheitskonzept eines VPNs

Zwar handelt es sich sowohl beim VPN als auch beim ZTNA um Konzepte und Technologien, die einen sicheren Remote-Zugriff von Anwendern oder Geräten über ein Netzwerk wie das Internet auf Anwendungen oder Dienste ermöglichen sollen, doch die Sicherheitskonzepte des ZTNA und des klassischen virtuellen privaten Netzwerks (VPN) unterscheiden sich deutlich. Ein VPN baut einen sicheren, verschlüsselten Tunnel zwischen dem Client oder Client-Netzwerk und dem Zielnetzwerk mit dem Service oder mit der Anwendung, auf die zugegriffen werden soll, auf. Damit entsteht eine Netzwerkverbindung des Clients mit dem Unternehmens- oder Applikationsnetzwerk. Auf alle im Zielnetzwerk erreichbaren und auf Netzwerkebene für den Client freigeschalteten Ziele wie Server kann zugegriffen werden. In cloudbasierten Umgebungen, die Services oder Anwendungen direkt über das öffentliche Internet bereitstellen, ist das Sicherheitskonzept des VPNs mit einigen Risiken verbunden und nur eingeschränkt tauglich. Zero Trust Network Access entkoppelt den Zugriff auf Anwendungen oder Services von der Netzwerkebene und stellt den Clients dedizierte Verbindungen auf Anwendungsebene zur Verfügung.

Die prinzipielle Funktionsweise von Zero Trust Network Access

Wichtige Komponente von ZTNA ist ein Broker, der als Vermittler zwischen Client und Kommunikationsziel auftritt und als Service im eigenen Netz oder in einer Cloud gehostet wird. Zu diesem Broker müssen sowohl die Anwendungen und Services als auch die Clients eine ausgehende Verbindung aufbauen, sich authentifizieren und sich registrieren. Nur wenn für die Kommunikationspartner entsprechende Autorisierungen vorliegen, stellt der Broker einen sicheren Verbindungspfad zwischen dem Client und seinem Ziel her. Die Dienste und Services sind für die Nutzer und das öffentliche Internet verborgen. Für einen Internetuser ist es nicht erkennbar, welche Anwendungen über welche IP-Adressen ansprechbar sind, da der Zugriff nicht auf Netzwerkebene erfolgt. Der Zugang zur Anwendung oder zum Service ist von der Netzwerkebene entkoppelt. Nur dedizierte Anwendungen und nicht ein Server oder ein Netzwerk sind für einen autorisierten User zugänglich. Sämtliche Verbindungen zwischen dem Client und dem Broker sowie dem Service oder der Anwendung und dem Broker sind verschlüsselt. Die Verwaltung der Zugriffsrechte erfolgt über Policies.

Anwendungsmöglichkeiten von Zero Trust Network Access

Für Zero Trust Network Access bieten sich zahlreiche Anwendungsmöglichkeiten:

• sicherer Remote-Zugriff für die Arbeit im Homeoffice oder mobil

• sichere Alternative zum Remote-Zugriff per VPN

• sicherer Zugang zu cloudbasierten oder hybriden Anwendungen und Services

• sicherer Zugang zu Multi-Cloud-Umgebungen

• sicherer Zugang für externe Partner und Drittanbietern auf Anwendungen und Services

• sicherer Zugriff während Unternehmensfusionen und -übernahmen

Vorteile durch den Einsatz von ZTNA

Gegenüber anderen Sicherheitskonzepten wie dem virtuellen privaten Netzwerk bietet ZTNA zahlreich Vorteile. Zero Trust Network Access reduziert die Angriffsfläche und die Cyber-Risiken, indem die nutzbaren Ressourcen gegenüber dem öffentlichen Internet und den Nutzern verborgen bleiben. Da der Zugriff auf Anwendungen oder Services von der Netzwerkebene entkoppelt ist, ist es ausgeschlossen, dass ein unbefugter Zugriff auf Basis der Zugehörigkeit zu einem bestimmten Netzwerk erfolgt.

Alle Verbindungen werden vom Broker kontrolliert und nur dediziert als Eins-zu-eins-Verbindungen auf Anwendungsebene hergestellt. Der Zugriff auf Daten und Anwendungen ist fein granular steuerbar. Gelingt es einem potenziellen Angreifer, Zugriff auf eine Anwendung oder einen Service zu erhalten, schließt das Sicherheitskonzept aus, das er sich über das Service-Netzwerk von System zu System weiterbewegt und sich weitere unbefugte Zugriffsrechte verschafft.

Zur Authentifizierung lassen sich verschiedene Merkmale nutzen und miteinander kombinieren. Dies reicht von der Prüfung des Gerätestatus über die Benutzer-Authentifizierung bis zur Multi-Faktor-Authentifizierung (MFA). Die Einrichtung und die Bereitstellung von Zero Trust Network Access ist in der Regel weniger aufwendig als bei einem VPN. Für den Benutzer ist Zero Trust Network Access transparent. Ein weiterer Vorteil von Zero Trust Network Access ist, dass sich das Sicherheitskonzept sehr gut für den Zugriff auf cloudbasierte Umgebungen, hybride Umgebungen und Multi-Cloud-Umgebungen eignet.

(ID:47471182)