Was ist Zero Trust Security?

Zero-Trust-Sicherheitslösungen erfordern eine kontinuierliche Authentifizierung, Autorisierung und Validierung von Endbenutzern. So kann Ihr Unternehmen den Zugriff auf seine Anwendungen und Daten rund um die Uhr sichern.

Zero Trust Security einfach erklärt

2010 prägte Forrester Research erstmals den Begriff „Zero Trust“. John Kindervag, Senior Analyst von Forrester, wies damals darauf hin, dass die klassischen Sicherheitskonzepte nicht mehr ausreichen und kein Netzwerk mehr vertrauenswürdig ist. Kindervag schlug daher vor, Sicherheitslösungen zu nutzen, die den Netzwerkverkehr überprüfen. Dies sollte es Unternehmen ermöglichen, interne und externe Netzwerk-Datenquellen zu analysieren und darin verborgene Cyberbedrohungen zu erkennen. So könnten Unternehmen sicherstellen, dass nur vertrauenswürdige Endbenutzer auf ihre Netzwerkanwendungen und -daten zugreifen können.  

Ein Jahr später startete Google seine BeyondCorp-Initiative, die durch benutzer- und gerätebasierte Authentifizierung zur Sicherheit der Netzwerk-Perimeter beitrug. BeyondCorp ermöglichte es den Mitarbeitern von Google, ohne VPN (Virtual Private Network) auf die Netzwerke des Unternehmens zuzugreifen. Zudem konnten die Google-Mitarbeiter jederzeit und an jedem beliebigen Ort sicher arbeiten.

Im Jahr 2018 initiierte Chase Cunningham, Analyst bei Forrester, das Zero Trust Extended (ZTX)-Ökosystem mit sieben Grundsätzen, die Unternehmen zur Optimierung ihrer Sicherheit priorisieren konnten:

• Sicherheit der Mitarbeiter
• Gerätesicherheit
• Workload-Sicherheit
• Netzwerksicherheit
• Datensicherheit
• Transparenz und Analyse
• Automatisierung und Orchestrierung

Im Jahr 2020 veröffentlichte das National Institute of Standards and Technology (NIST) das Papier NIST SP 800-207 Zero Trust Architecture, das sieben Grundsätze für das Zero-Trust-Konzept enthält:

• Behandlung von Daten- und Computer-Services als „Ressourcen“
• Sicherung der gesamten Kommunikation
• Gewähren von Zugriff auf Ressourcen pro Sitzung
• Festlegen des Zugriffs auf Ressourcen basierend auf Richtlinien, die Verhaltens- und Umgebungseigenschaften enthalten
• Überwachung und Messung der Ressourcen-Integrität und -Sicherheit
• Authentifizierung und Autorisierung von Benutzern und Geräten, bevor sie auf Ressourcen zugreifen können
• Sammeln von Informationen über Ressourcen, Netzwerkinfrastruktur und Kommunikation und Nutzen dieser Informationen, um den Sicherheitsstatus eines Unternehmens zu verbessern

Im Mai 2021 erließ das Weiße Haus eine Durchführungsverordnung (Executive Order), die US-Bundesbehörden zur Einhaltung von NIST 800–207 verpflichtet. Seitdem betrachten viele Unternehmen in aller Welt NIST 800-207 mittlerweile als Zero-Trust-Standard.

Was ist Zero Trust Security?

Zero Trust ist ein Sicherheitsrahmen, der auf dem Prinzip „nichts und niemandem vertrauen, alles überprüfen“ basiert.

Bei diesem Konzept wird nur Endbenutzern vertraut, die bestätigen, dass sie zum Zugriff auf Anwendungen und Daten berechtigt sind.

So funktioniert Zero Trust Security

Mit Zero-Trust-Schutzlösungen verhindern Unternehmen unbefugte Zugriffe auf Apps und Daten sowie laterale Bewegungen in ihren IT-Umgebungen. Sie richten auch eine Zero-Trust-Architektur ein, mit der sie kontextbasierte Richtlinien zur Zugriffssteuerung durchsetzen können.

Beispielsweise kann Ihr Unternehmen Zero-Trust-Sicherheitsrichtlinien einrichten, die die Zugriffsrechte der Endbenutzer basierend auf ihrer Rolle, den verwendeten Geräten sowie anderen Kriterien festlegen. Um auf die Anwendungen und Daten Ihres Unternehmens zugreifen zu können, muss ein autorisierter Benutzer seine Identität bestätigen. Wenn ein nicht autorisierter Benutzer versucht, auf Ihre Apps und Daten zuzugreifen, stellen Ihre Zero-Trust-Access-Richtlinien sicher, dass dieser Zugriff verweigert wird.

Um eine Zero-Trust-Architektur einzurichten, müssen Sie die Benutzer und den Datenverkehr Ihrer IT-Umgebung überwachen und kontrollieren. Sie können Zero-Trust-Lösungen auch nutzen, um den Datenverkehr in dieser Umgebung zu verschlüsseln, zu überwachen und zu validieren. Es gibt biometrische Daten und andere Methoden der  Multi-Faktor-Authentifizierung (MFA), mit denen Sie den Zugriff auf Ihre Apps und Daten einschränken können.

5 Vorteile von Zero-Trust-Sicherheitslösungen

1. Mehr Einblick in die Ressourcen in Ihrer IT-Umgebung: Erhalten Sie einen umfassenden Überblick über sämtliche Ressourcen, Endbenutzer, Geräte sowie verdächtige Benutzer- und Geräteaktivitäten.
2. Optimiertes IT-Management: Automatisieren Sie Zugriffsanfragen und autorisieren Sie Benutzer- und Gerätezugriffe auf Ihre Apps und Daten nur, wenn bestimmte Bedingungen erfüllt sind.
3. Mehr Sicherheit: Steuern Sie, wie und wann Benutzer und Geräte auf Ihre Apps und Daten zugreifen.
4. Sichere Benutzererfahrung: Gewähren Sie autorisierten Benutzern nahtlosen Zugriff auf Apps und Geräte, ohne die Sicherheit zu beeinträchtigen.
5. Compliance: Sichern Sie Apps und Daten in Einklang mit Compliance-Anforderungen für Finanzdienstleister, Gesundheitswesen und andere stark regulierte Branchen.

Warum ist Zero-Trust-Protection so wichtig?

Zero-Trust-Sicherheitslösungen reduzieren Ihre Angriffsfläche. Dazu müssen Sie Ihre gesamten Anwendungen und Daten betrachten und überlegen, wie diese überwacht, verwaltet und geschützt werden sollen. Sie können nun Zero-Trust-Protection-Richtlinien festlegen, um sicherzustellen, dass nur autorisierte Benutzer auf Ihre Apps und Daten zugreifen können.

Arten von Zero-Trust-Sicherheitslösungen

1. Netzwerkzugriff

Zero Trust Network Access (ZTNA)-Lösungen verbinden Ihre Ressourcen mit Ihren Endbenutzern und Geräten. Zudem ermöglichen Sie Ihnen eine Mikrosegmentierung Ihrer Netzwerke.

2. Endpoint

Zero-Trust-Endpoint-Lösungen validieren Ihre Benutzergeräte, indem sie Zugriff auf Anwendungen oder Daten anfordern. Sie bestätigen, dass diese Geräte nicht gehackt wurden und frei von Viren und anderer Schadsoftware sind. Darüber hinaus überprüfen sie, ob Ihre Geräte mit HIPAA, PCI DSS, DSGVO und anderen Datensicherheitsrichtlinien konform sind.

3. Anwendungen und Daten

Mit einigen Zero-Trust-Lösungen können Sie den Grad des Zugriffs auf Ihre Anwendungen und Daten definieren und festlegen, inwieweit Ihre Ressourcen in Ihren IT-Umgebungen zugreifen können. Beispiel: Sie haben einen gemeinsam genutzten Server, der eine Vielzahl von Daten enthält. Mit einer Zero-Trust-Schutzlösung können Sie Ihre Daten in verschiedene Kategorien aufteilen. Anschließend können Sie den Benutzer- und Gerätezugriff basierend auf den von Ihnen ausgewählten Datenkategorien verwalten.

4. Automatisierung und Transparenz

Zero-Trust-Sicherheitslösungen können Ihre Benutzer- und Geräteaktivitäten automatisch aufzeichnen. Sie bieten Dashboards und Reports, aus denen hervorgeht, wer zu welchem Zeitpunkt auf Ihre Apps und Daten zugreift. Außerdem liefern sie weitere relevante Informationen zur Zugriffskontrolle.

5. All-in-One

All-in-One-Sicherheitslösungen kombinieren mehrere Zero-Trust-Funktionen. Sie bieten ein umfassendes Schutzniveau und erfordern in der Regel mehrere Lizenzen.

Erste Schritte mit Zero-Trust-Protection

1. Erstellen Sie einen Plan

Ermitteln Sie, welche Anwendungen und Daten Sie schützen müssen. Richten Sie dabei Ihr besonderes Augenmerk auf die nachstehenden Herausforderungen im Bereich der Cybersicherheit:

• Mangelnde interne Expertise im Bereich Cybersicherheit: Ihre Zero-Trust-Schutzstrategie sollte Ihnen ermöglichen, das volle Potenzial Ihrer Investitionen in die Cybersicherheit auszuschöpfen und die Effizienz Ihres internen Cybersecurity-Teams zu maximieren.
• Ausbaufähige Benutzererfahrung: Unterstützen Sie Ihre Endbenutzer mit einer Zero-Trust-Lösung, die einfach zu bedienen ist, die Systemleistung nicht beeinträchtigt und den besten Cyberschutz bietet.
• Mangelnde Compliance: Erfüllen Sie die Compliance-Anforderungen in puncto Sicherheit Ihrer Branche, da anderenfalls Strafen drohen.
• Hohe Cyberversicherungskosten: Stärken Sie Ihren Sicherheitsstatus durch eine Zero-Trust-Sicherheitslösung und senken Sie damit Ihre Cyberversicherungs-Prämien .

2. Berücksichtigen Sie relevante Anwendungsfälle

Wählen Sie Zero-Trust-Sicherheitslösungen, die Ihr Unternehmen vor folgenden Bedrohungen schützen:

• Ransomware: Benachrichtigt Sie automatisch über Ransomware-Angriffe und bereinigt diese.
• Supply-Chain-Angriffe: Zeigt Ihnen, welche Benutzer und Geräte auf Ihre Supply-Chain-Anwendungen und -Daten zugreifen können, bevor ein Supply-Chain-Angriff Ihren Betrieb stören kann.
• Interne Bedrohungen: Validiert Benutzeridentitäten, bevor Sie Zugriff auf Ihre Apps und Daten gewähren, damit Sie sich vor internen Bedrohungen schützen können.

Achten Sie zudem bei der Wahl einer geeigneten Zero-Trust-Schutzlösungen darauf, dass sie Ihnen Funktionen zur Verhaltensanalyse bietet, damit Sie Benutzer- und Geräteaktivitäten nachverfolgen können.

3. Optimieren Sie Ihre Zero-Trust-Protection

Überwachen und analysieren Sie Ihren Sicherheitsstatus und aktualisieren Sie Ihre Zero-Trust-Schutzstrategie und -Lösungen nach Bedarf. Befolgen Sie dabei die folgenden Zero-Trust-Prinzipien:

• Immer identifizieren: Verwenden Sie Single Sign-On (SSO) und MFA und legen Sie fest, dass Ihre Benutzer ihre Anmeldedaten mit biometrischen Daten, E-Mail, SMS oder anderen Formen der passwortfreien Authentifizierung bestätigen müssen.
• Immer kontrollieren: Implementieren Sie geeignete Zugriffskontrollen für Ihre Anwendungen und Daten. So stellen Sie sicher, dass Benutzer nur auf Anwendungen und Daten zugreifen können, die sie zur Ausführung ihrer Aufgaben benötigen. 
• Immer analysieren: Zeichnen Sie Netzwerk- und Systemaktivitäten auf und überprüfen Sie sie. So erhalten Sie wichtige Einblicke, die Sie zur Optimierung Ihres Sicherheitsstatus heranziehen können.
• Immer sichern: Ermitteln Sie die Anwendungen und Daten, die Sie schützen müssen, und sorgen Sie dafür, dass diese von innen heraus gesichert werden.

Schulen Sie Ihre Mitarbeiter zum Thema Zero-Trust-Security. Mit gezielten Schulungen können Ihre Mitarbeiter ihren Beitrag zum Schutz Ihrer Anwendungen und Daten leisten.

Worauf muss ich bei einer Zero-Trust-Protection-Lösung achten?

Eine gute Zero-Trust-Sicherheitslösung ergänzt die Plattformen, die Sie bereits für Ihre Kunden und Gateways verwenden und bietet folgende Funktionen:

• Cloud-Verwaltung: Erfordert keine Management-Server oder -Infrastruktur und bietet sicheren Zugriff von jedem Gerät, von jedem Standort und zu jeder Zeit. 
• Integration mit anderen Cybersecurity-Lösungen: Funktioniert mit Ihren vorhandenen Sicherheitsprodukten und ermöglicht Ihnen, sämtliche Cybersicherheitsaufgaben über eine zentrale Konsole zu verwalten. 
• Benutzer- und Verwaltungskomfort: Bietet maximalen Komfort für Ihre Endbenutzer und erleichtert den Zugriff auf Informationen zu Anwendungs- und anderen Sicherheitsproblemen.

Sophos ZTNA

Sophos ZTNA ist eine Zero Trust Network Access-Lösung, mit der Sie Mitarbeiter von überall aus sicher mit Ihren Unternehmensanwendungen und -daten verbinden können.

Ihre Vorteile mit Sophos ZTNA:

• Bieten Sie Endbenutzern sicheren Zugriff auf die Anwendungen und Daten, die sie für ihre Arbeit benötigen
• Mikrosegmentieren Sie Anwendungen zum Schutz vor lateralen Bewegungen
• Sperren und sichern Sie den RDP-Zugriff mit passwortfreien Optionen und Windows Hello for Business.
• Beseitigen Sie Cyber-Angriffsvektoren, bevor Cyberkriminelle sie nutzen können, um in Ihrem Netzwerk Fuß zu fassen
• Richten Sie neue Anwendungen schnell und sicher ein und melden Sie Geräte und Benutzer einfach an und ab
• Erhalten Sie Informationen über den Status und die Nutzung von Anwendungen

Sophos ZTNA ist eine Einzellösung, kann aber auch als integrierte Synchronized-Security-Lösung zusammen mit der Sophos Firewall und Intercept X genutzt werden. Sie möchten mehr darüber erfahren? Kontaktieren Sie uns noch heute.

Kontaktieren Sie uns noch heute

Video ansehen: Remote Access VPN vs. Zero Trust Network Access (ZTNA)

 

Verwandtes Sicherheitsthema: Was ist Threat Hunting?