ZTNA: Ein Einblick in das Zero Trust-Konzept

In seinem “Market Guide for Zero Trust Network Access (ZTNA)” [01] schätzt Gartner, dass bis zum Jahr 2022 80 % der neuen Business Applikationen, die einem Ökosystem an Partnern offen stehen, über eine ZTNA-Lösung zugänglich sein werden. Die Studie erklärt weiterhin, dass bis zum Jahr 2023 60 % der Unternehmen ihre Remote-VPN-Zugänge durch Remote-ZTNA-Zugänge ersetzt haben werden. ZTNA – Zero Trust setzt sich also als eines der Schlüsselthemen der kommenden Jahre für IT-Leiter und CISO durch.

ZTNA / Zero Trust: Woher kommt das Konzept?

Das Konzept des Zero Trust ist relativ neu und obwohl das Thema von einer steigenden Anzahl an Organisationen übernommen wird, hat dieses Modell noch nicht denselben Bekanntheitsgrad wie VPN, das es ersetzen soll. John Kindervag [02], Vizepräsident und Chef-Analyst im Team Sicherheit und Risiken des Planungsbüro Forrester, hat das Konzept Zero Trust im Jahr 2010 entwickelt.

Heute empfiehlt das Repräsentantenhaus der Vereinigten Staaten allen staatlichen Einrichtungen, das Modell Zero Trust anzuwenden. Diese Empfehlung entstand als Folge eines massiven Diebstahls von Daten beim Office of Personnel Management (OPM) im Jahr 2014 [03] [04], die Haupt-Organisation für Personalverwaltung und Personalpolitik der US-Bundesregierung. Diese Datenpanne gilt als die schlimmste in der Geschichte der US-Regierung. Betroffen waren die persönlichen Daten von 21,5 Millionen ehemaligen und beauftragten Mitarbeitern der US-Regierung.

Im Rahmen dieses Datendiebstahls haben sich die Hacker die Zugangsdaten wahrscheinlich durch Social Engineering verschafft, also durch die Manipulation von Personen, indem sie deren Vertrauen gewinnen, um an Informationen zu gelangen. Durch Einsatz des Zero Trust-Konzepts hätte diese massive Verletzung von Daten höchstwahrscheinlich vermieden oder ihre Auswirkungen deutlich reduziert werden können.

Das Konzept Zero Trust

Zero Trust ist ein Modell, das darauf abzielt, das IT-System und die Daten von Organisationen nach dem Prinzip zu schützen, dass sie niemandem vertrauen können. Daher müssen sowohl die Identitäten der Personen geprüft werden, die auf das IT-System zugreifen, als auch die für den Zugriff verwendeten Geräte, unabhängig davon, ob sie sich außerhalb oder innerhalb des Netzwerks der Organisation befinden. Dies war bei früheren Konzepten für IT-Sicherheit nicht der Fall, bei denen der Ansatz die Grundlage bildete, dass die Nutzer und Geräte innerhalb des Unternehmensnetzwerks vertrauenswürdig waren, da sie schon die äußere Schutzwand des Unternehmens überwunden hatten. 

Dieses Vertrauen, das einem Nutzer innerhalb eines IT-Systems zuvor entgegengebracht wurde, stellt eine Quelle der Verwundbarkeit dar, denn wenn ein Angreifer erst einmal in das Netzwerk einer Organisation eingedrungen ist, kann er potenziell auf deren sensible Daten zugreifen. Mehrere Prinzipien ermöglichen es Organisationen, eine Zero Trust-Sicherheit einzuführen, darunter:

Prinzip der geringsten Privilegien: Geben Sie Nutzern nur Zugriff auf Ressourcen oder Daten, die sie zur Erledigung ihrer Aufgaben benötigen. Es handelt sich hierbei um ein zentrales Prinzip der Empfehlungen der französischen Datenschutzbehörde zur Umsetzung einer Systempartitionierung, wodurch die Wirkungsfläche im Falle eines bösartigen Angriffs reduziert wird (Dokument PG-040 [05]): „Standardmäßig alle Aktionen zu verbieten und ausdrücklich die Erlaubnis zu erteilen für das, was für die Aufgaben notwendig ist, stellt die wirksamste Strategie der Umsetzung des Prinzips der minimalen Rechte dar.”

Kontrolle der auf das IT-System zugreifenden Geräte: Es reicht nicht aus, nur die Personen zu kontrollieren, die auf das IT-System zugreifen. Wenn dieser Benutzer berechtigt ist, auf das IT-System zuzugreifen, muss auch das Gerät, über das er darauf zugreift, kontrolliert werden. Ein wohlwollender Benutzer kann tatsächlich, ohne es zu wissen, ein bösartiges Programm auf seinem Gerät installiert haben und damit das IT-System, auf das er zugreift, kontaminieren.

Multi-Faktor-Authentifizierung: Als anderes wichtiges Element des Zero Trust-Modells ermöglicht es die Multi-Faktor-Authentifizierung (MFA), bösartige Zugriffe komplexer zu machen, indem mehrere Identitätsnachweise von einem Nutzer verlangt werden, der auf das IT-System zugreifen möchte. Aktuell erfolgt die einfache Authentifizierung oft durch die Eingabe von Login und zugehörigem Passwort, wobei Missbrauch durch Social Engineering jedoch einfach ist, wie der Datendiebstahl im Office of Personnel Management im Jahr 2014 gezeigt hat. Mit der MFA authentifiziert sich der Nutzer mit mindestens zwei von drei möglichen Authentifizierungs-Faktoren: etwas, das er weiß, wie die Eingabe von Login/Passwort; etwas, das er hat, durch zum Beispiel einen Code, den er auf seinem Smartphone erhalten hat; und etwas, das er „ist” mit zum Beispiel seinem digitalen Fingerabdruck oder einem Netzhautscan.

Zero Trust innerhalb seiner Organisation einsetzen

Mehrere Lösungen ermöglichen es Unternehmen, mit den Zero Trust Prinzipien konform zu gehen. Die Einführung einer Lösung zur Zugangskontrolle mit starker Authentifizierung, wie Systancia Access, kann es Organisationen ermöglichen, die Multi-Faktor-Authentifizierung für alle Mitarbeiter zur Pflicht zu machen.

Eine ZTNA-Lösung wie Systancia Gate kann ihrerseits für jede Art Nutzer einen hoch gesicherten Zugang auf ausgewählte Ressourcen des IT-Systems ermöglichen (auf Dienstreisen, Home Office-Mitarbeiter, IT-Dienstleister…) und das durch einen einzigen Zugang, ohne eingehende Datenflüsse und ohne Öffnen von Netzwerk-Ports. So werden die Risiken für das IT-System beschränkt. Die durch die Mitarbeiter einer Organisation verwendeten Geräte können auch kontrolliert werden, um die Konformität des PCs zu gewährleisten. Konkret können Regeln eingerichtet werden, um zum Beispiel das Vorhandensein einer Anti-Viren-Software, einer Firewall oder von Updates zu bestätigen. So kann das Zero Trust sich an eine Vielzahl an Anwendungsfällen anpassen und insbesondere an Home-Office oder BYOD (Bring Your Own Device), welche in der Regel von der IT-Leitung als wenig sicher angesehen werden.

Download Produktblatt

Referenzen

[01] Gartner – Market Guide for Zero Trust Network Access (ZTNA)

[02] Bio John Kindervag

[03] Datendiebstahl im Office of Personnel Management

[04] About – Office of Personnel Management

[05] Empfehlungen für den Einsatz einer System-Abschottung