Perimeterverteidigung vs. Zero Trust: Vertrauen, Authentifizierung, Fernzugriff
Die Perimeterverteidigung vertraut dem Inneren des Unternehmensnetzes und platziert Firewalls und VPN-Geräte an der Grenze zum Internet, um Angriffe fernzuhalten. Zero Trust gewährt kein Vertrauen aufgrund der Position im Netzwerk; für jede Kombination aus Nutzer, Gerät und Ressource wird jeder Zugriff geprüft und dann nur das Nötige erlaubt. Das US-amerikanische NIST definiert die Zero-Trust-Architektur in SP 800-207 (2020). Zero Trust verbreitete sich, als Cloud-Dienste und Zugriffe von außerhalb des Büros zunahmen und das Schützenswerte über den Perimeter hinauswanderte.
| Merkmal | Perimeterverteidigung | Zero Trust |
|---|---|---|
| Vertrauensannahme | Dem Inneren des Unternehmensnetzes wird vertraut, dem Äußeren nicht | Die Position im Netzwerk begründet kein Vertrauen; Zugriffe von innen werden wie Zugriffe von außen jedes Mal geprüft |
| Ort der Kontrollen | An der Grenze zum Internet (Firewalls, VPN-Geräte, Proxys usw.) | Auf jedem Zugriffsweg zwischen Nutzern oder Geräten und Ressourcen (Anwendungen und Daten), mit einer Stelle, die über den Zugriff entscheidet (Policy Decision Point), und einer, die die Entscheidung durchsetzt (Policy Enforcement Point) |
| Zeitpunkt von Authentifizierung und Autorisierung | Einmal beim Betreten des Unternehmensnetzes (etwa beim Verbinden mit dem VPN) | Je Ressource und je Sitzung, auf Basis der Nutzerauthentifizierung (etwa Multi-Faktor-Authentifizierung), des Gerätezustands, des Orts und der Zeit; bei geänderten Bedingungen erneut bewertet |
| Fernzugriff | Ein VPN verbindet Nutzer mit dem Unternehmensnetz und behandelt sie, als wären sie im Büro | ZTNA (Zero Trust Network Access) und ähnliche Ansätze verbinden Nutzer nur mit den Anwendungen, die sie nutzen dürfen, nie mit dem ganzen Netzwerk |
| Lateral Movement nach einem Einbruch | Ist ein Angreifer einmal drinnen, unterliegt der Verkehr zwischen internen Rechnern kaum Beschränkungen, sodass er sich leicht ausbreiten kann | Zugriffe sind fein unterteilt und nur die nötigen Rechte werden vergeben (Least Privilege), daher ist die Ausbreitung schwerer |
| Umgang mit Geräten | Geräten im internen Netz wird tendenziell vertraut | Ob ein Gerät verwaltet wird und ob Betriebssystem-Updates und Malware-Schutz in Ordnung sind, fließt in jede Zugriffsentscheidung ein |
| Sichtbarkeit und Protokollierung | Verkehr über die Grenze wird protokolliert, Verkehr zwischen internen Rechnern ist aber schwer einsehbar | Jede Zugriffsanfrage und Entscheidung wird protokolliert und für fortlaufende Überwachung und Verbesserung der Richtlinien genutzt |
| Eignung für die Cloud | Mit zunehmender Nutzung von Cloud-Diensten und Zugriffen von zu Hause wandert das Schützenswerte über die Grenze hinaus; den gesamten Verkehr per VPN durch das Büro zu leiten, überlastet leicht Leitungen und Geräte | Entscheidungen folgen unabhängig vom Ort derselben Richtlinie, was zu Cloud-Diensten und Remote-Arbeit passt |
| Schwierigkeit der Umstellung | Leicht verständlich, und die meisten Organisationen haben sie bereits | Erfordert Identitätsverwaltung, Geräteverwaltung, ein Inventar der Assets und eine durchdachte Zugriffsrichtlinie und wird schrittweise eingeführt; die Installation eines einzelnen Produkts genügt nicht |
Die Zahlenwerte sind typische Größenordnungen und variieren je nach Prozessgeneration und Produkt.