Was ist Zero Trust?

Sicherheitsansatz, der nicht implizit aufgrund des Netzwerkstandorts (innerhalb oder außerhalb des Unternehmens) vertraut, sondern bei jeder Zugriffsanfrage auf eine Ressource Authentifizierung des Benutzers, Zustand des Endgeräts, Inhalt der Anfrage usw. prüft und nur den minimal nötigen Zugriff erlaubt. Zusammengefasst wird er als „Niemals vertrauen, immer überprüfen“ (Never trust, always verify). Das US-amerikanische NIST beschrieb in der 2020 veröffentlichten SP 800-207 seine Prinzipien und Bestandteile wie Policy Decision Point und Policy Enforcement Point. Mit der Verbreitung von Cloud-Nutzung und Telearbeit wird er als Ergänzung der Perimeterverteidigung eingeführt.

Japanische Bezeichnung: ゼロトラスト

„Zero Trust“ kommt in 3 Übungsfragen aus 2 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis, Grundlagen und Anwendungen der Kryptografie.

Fachgebiet: Cyberangriffe und Abwehr in der Praxis

Unterschied zur Perimeterverteidigung

Die herkömmliche Perimeterverteidigung betrachtet das interne Netzwerk als vertrauenswürdiges Inneres und wehrt Eindringen von außen mit Firewalls ab. Gelangt ein Angreifer dabei einmal ins Innere, etwa durch Phishing, kann er sich dort frei bewegen. Zero Trust macht Vertrauen nicht davon abhängig, ob ein Zugriff von innen oder außen kommt, und prüft auch Zugriffe aus dem Unternehmen auf dieselbe Weise; so lässt sich die Ausbreitung des Schadens nach einem Eindringen verringern.

Bestandteile

SP 800-207 trennt den Policy Decision Point (PDP), der entscheidet, ob ein Zugriff erlaubt wird, vom Policy Enforcement Point (PEP), der die Entscheidung zwischen Benutzer und Ressource umsetzt. Für die Entscheidung werden Informationen wie Identitätsverwaltung und Multi-Faktor-Authentifizierung, Verwaltungsstatus des Endgeräts, Bedrohungsinformationen und Log-Analysen herangezogen. In der Umsetzung werden ZTNA (Zero-Trust-Netzwerkzugang), Mikrosegmentierung, identitätszentrierte Zugriffskontrolle usw. kombiniert.

Vorgehen bei der Einführung

Zero Trust entsteht nicht durch den Kauf eines einzelnen Produkts; es ist ein Vorhaben, bei dem die zu schützenden Werte (Daten, Anwendungen, Assets) erfasst, die Kommunikationsflüsse verstanden und die Richtlinien schrittweise verschärft werden. Üblich ist ein schrittweises Vorgehen, das etwa mit der konsequenten Einführung von Multi-Faktor-Authentifizierung und der Verwaltung der Endgeräte beginnt und wichtige Anwendungen zuerst auf ZTNA umstellt.

Jetzt üben: Fragen zu Zero Trust

Welche Aussage beschreibt eine Zugriffskontrolle nach dem Ansatz von Zero Trust richtig?

AAllein der Aufenthalt im internen Netzwerk begründet kein Vertrauen; bei jeder Anfrage werden der Zustand von Benutzer und Endgerät geprüft und nur der minimal nötige Zugriff erlaubt
BDas interne Netzwerk gilt als sicher und erlaubt freie Kommunikation; Firewall und VPN an der Grenze verhindern nur das Eindringen von außen
CBenutzer und Endgeräte, die sich einmal erfolgreich angemeldet haben, sind vertrauenswürdig und dürfen danach ohne Prüfung frei auf alle Systeme zugreifen

Antwort und Erläuterung anzeigen

Antwort: A. Allein der Aufenthalt im internen Netzwerk begründet kein Vertrauen; bei jeder Anfrage werden der Zustand von Benutzer und Endgerät geprüft und nur der minimal nötige Zugriff erlaubt

Die herkömmliche Perimeterverteidigung betrachtete das interne Netzwerk als vertrauenswürdiges Inneres und wehrte Eindringlinge von außen an der Grenze ab. Durch Cloud-Nutzung und Telearbeit reichen die zu schützenden Ressourcen über das Unternehmen hinaus, und ein Angreifer, der die Grenze überwunden hat, kann sich frei bewegen; deshalb hat sich Zero Trust verbreitet, das kein Vertrauen allein aufgrund des Netzwerkstandorts gewährt. Das US-amerikanische NIST nennt in der 2020 veröffentlichten SP 800-207 als Prinzipien unter anderem, kein implizites Vertrauen aufgrund des Netzwerkstandorts zu gewähren, den Zugriff auf Ressourcen für jede Anfrage einzeln zu erlauben und auf Grundlage dynamischer Richtlinien zu entscheiden, die etwa den Zustand von Benutzer und Endgerät berücksichtigen. Zusammengefasst wird das als „Niemals vertrauen, immer überprüfen“ (Never trust, always verify).

In der Zero-Trust-Architektur nach NIST SP 800-207 werden der „Policy Decision Point (PDP)“, der entscheidet, ob ein Zugriff erlaubt wird, und der „Policy Enforcement Point (PEP)“, der die Entscheidung umsetzt, getrennt betrachtet. Welche Beschreibung ihrer Aufgaben beim Zugriff eines Mitarbeitenden auf eine Geschäftsanwendung ist richtig?

ADer PEP entscheidet anhand der Benutzerauthentifizierung und des Endgerätezustands über den Zugriff, und der PDP läuft auf dem PC des Benutzers und verschlüsselt die Kommunikation mit der Anwendung
BDer PDP bewertet das Authentifizierungsergebnis und den Endgerätezustand anhand der Richtlinie, und der PEP zwischen Benutzer und Anwendung lässt die Verbindung gemäß dieser Entscheidung zu oder trennt sie
CPDP und PEP sind zwei Namen für dasselbe Gerät; grundsätzlich wird die Entscheidung nach einer einmal erlaubten Verbindung bis zum Ende der Sitzung nicht überprüft

Antwort und Erläuterung anzeigen

Antwort: B. Der PDP bewertet das Authentifizierungsergebnis und den Endgerätezustand anhand der Richtlinie, und der PEP zwischen Benutzer und Anwendung lässt die Verbindung gemäß dieser Entscheidung zu oder trennt sie

In SP 800-207 entscheidet der PDP, bestehend aus Policy Engine und Policy Administrator, anhand der Richtlinie über den Zugriff und berücksichtigt dabei das Authentifizierungsergebnis des Benutzers, den Zustand des Endgeräts, die Bedeutung der angefragten Ressource, Bedrohungsinformationen usw. Der PEP liegt auf dem Weg zwischen Benutzer und Ressource und aktiviert, überwacht oder trennt die Verbindung gemäß der Entscheidung des PDP. Durch die Trennung von Entscheidung und Durchsetzung lassen sich Richtlinien an einer Stelle verwalten und zugleich an den Eingängen vieler Anwendungen einheitlich anwenden. Ändert sich etwa der Zustand des Endgeräts, wird die Entscheidung auch während einer bestehenden Verbindung überprüft, sodass der Zugriff gestoppt werden kann.

Häufige Fragen

Braucht man mit Zero Trust keine Firewalls und VPNs mehr?

Sie werden nicht sofort überflüssig. Zero Trust bedeutet, nicht allein aufgrund des Netzwerkstandorts zu vertrauen; die Verteidigung an der Grenze bleibt als eine Schicht nützlich, die Angriffe verringert. Beim Fernzugriff gibt es allerdings eine Bewegung weg vom VPN hin zu ZTNA, das den Zugriff für jede Anwendung einzeln erlaubt.

Wird die Arbeit der Mitarbeitenden nicht schwieriger, wenn man „niemandem vertraut“?

Nicht vertraut wird dem „Netzwerkstandort“; nach einer Prüfung wird der nötige Zugriff erlaubt. Mit Single Sign-on und Passkeys wird der Prüfaufwand für die Benutzer möglichst unmerklich gemacht, und nur bei neuen Endgeräten oder Nutzung von ungewöhnlichen Orten werden zusätzliche Prüfungen verlangt; so werden Sicherheit und Benutzerfreundlichkeit in Einklang gebracht.

„Zero Trust“ in den Erläuterungen

Durch Cloud-Nutzung und Telearbeit reichen die zu schützenden Ressourcen über das Unternehmen hinaus, und ein Angreifer, der die Grenze überwunden hat, kann sich frei bewegen; deshalb hat sich Zero Trust verbreitet, das kein Vertrauen allein aufgrund des Netzwerkstandorts gewährt.
Welche Aussage beschreibt eine Zugriffskontrolle nach dem A…
Verwendet wird es häufig für die Authentifizierung zwischen Maschinen, die nicht von Menschen bedient werden, etwa bei der Kommunikation zwischen Microservices, bei der Verbindung von IoT-Geräten mit Servern oder in Netzwerken nach dem Zero-Trust-Prinzip.
Welche Beschreibung von gegenseitigem TLS (mTLS) ist richti…