Für US-Bundesbehörden ist jetzt der richtige Zeitpunkt für Zero Trust

Bill ChurchField CTO – Bundesbehörden

Die stetig wachsende Herausforderung, kritische Daten zu schützen, insbesondere in einer Zeit mobiler und cloudbasierter Arbeitsumgebungen, hat immer mehr Bundesbehörden dazu veranlasst, auf ein Zero-Trust-Sicherheitsmodell zu setzen, das ihren Anforderungen in dieser hochgradig digitalisierten Welt besser gerecht wird.

Laut einer aktuellen Umfrage gaben fast die Hälfte der IT-Führungskräfte der US-Bundesbehörden an, dass ihre Behörden zum Schutz ihrer digitalen Ressourcen zunehmend auf identitätszentrierte Sicherheitsstrategien beziehungsweise Zero Trust setzen. Die von FedScoop erstellte und von Duo Security finanzierte Studie ergab, dass sich die Bundesbehörden von herkömmlichen Schutzmaßnahmen für Netzwerkperimeter abwenden und zunehmend offen für eine Datenumgebung ohne feste Grenzen sind, in der Identitäts- und Authentifizierungstools als primäre Mittel für die Zugriffssteuerung dienen.

Nichts verdeutlicht die zunehmende Dynamik von Zero Trust und dessen anschließende Einführung besser als die kürzlich erlassene Executive Order zur Cybersicherheit, die dessen entscheidende Bedeutung hervorhebt – insbesondere da das Weiße Haus vor Kurzem eine endgültige Fassung seiner Zero-Trust-Architekturstrategie veröffentlicht hat. Damit soll die Cybersicherheit der Systeme von Regierungsbehörden in den kommenden Jahren erheblich verbessert werden. Dieser Wandel fällt mit einer drastischen Zunahme von Multi-Cloud-Umgebungen und der Zahl der im Homeoffice Beschäftigten zusammen – zwei Komponenten einer modernen Arbeitsumgebung, denen das Zero-Trust-Modell sehr gut Rechnung trägt.

Die zunehmende Nutzung des Zero-Trust-Modells sowohl in Bundesbehörden als auch in der Geschäftswelt insgesamt geht mit der wachsenden Erkenntnis einher, dass herkömmliche Methoden zur Absicherung des Netzwerkperimeters nicht mehr ausreichen. Da es innerhalb eines klar definierten Perimeters kein vertrauenswürdiges Netzwerk mehr gibt, ist der Ansatz „Vertrauen, aber überprüfen“ überholt. Stattdessen müssen sich die Sicherheitsteams der Bundesbehörden an drei wirksamere Grundsätze halten:

• Niemals vertrauen – es sei denn, Benutzer und Endgeräte haben sich dieses Vertrauen tatsächlich verdient.
  
  
• Immer verifizieren – ein Grundsatz, der für die Analyse von Kontext, Anwendung und standortbezogenem Verhalten sowie für andere Komponenten gilt, die erforderlich sind, um einen risikobasierten Ansatz abzuleiten, der der Aktivität des Endpunkts angemessen ist.
  
  
• Kontinuierlich überwachen – in dem Bewusstsein, dass eine einmalige Authentifizierung nicht ausreicht und nicht davon ausgegangen werden kann, dass das Risiko danach dauerhaft gering bleibt. Nur eine kontinuierliche Authentifizierung gewährleistet fortlaufende Sicherheit.

F5 wurde kürzlich als einer von 18 Anbietern ausgewählt, die gemeinsam mit dem NCCoE des NIST am Projekt Implementierung einer Zero-Trust-Architektur arbeiten, um praxisnahe, interoperable Ansätze für die Konzeption und den Aufbau von Zero-Trust-Architekturen zu entwickeln. Dank unserer umfassenden Erfahrung in der Zusammenarbeit mit führenden US-Bundesbehörden, die bei der Einführung von Zero Trust eine Vorreiterrolle einnehmen, können wir zur Lösung dieser wichtigen Herausforderungen beitragen. Das umfangreiche Anwendungssicherheitsportfolio von F5 deckt vier zentrale Kontrollpunkte innerhalb einer Zero-Trust-Architektur ab, die im Folgenden beschrieben werden:

Endpunkte: Vertrauenswürdiger App-Zugriff

F5 Labs berichtete dass zugriffsbezogene Sicherheitsverletzungen im Jahr 2020 mit 34 % den größten Anteil der bekannten Ursachen für Sicherheitsverletzungen ausmachten. In einer Zeit, in der zugriffsbezogene Sicherheitsverletzungen zunehmen, ist eine Lösung für den vertrauenswürdigen Anwendungszugriff unerlässlich.

F5 BIG-IP Access Policy Manager (APM) bietet moderne Authentifizierung für alle Anwendungen und vereinfacht und zentralisiert den Zugriff auf Anwendungen, APIs und Daten – unabhängig davon, wo sich die Benutzer und ihre Anwendungen befinden. Ob die Anwendung lokal oder in der Cloud ausgeführt wird: Das Ergebnis ist eine bessere Benutzererfahrung mit SSO und einer einheitlichen Bedienung in einer sichereren Umgebung auf Basis einer Zero-Trust-Architektur.

Mit Identity Aware Proxy (IAP) implementiert APM eine Validierung nach dem Zero-Trust-Modell, die jede Zugriffsanfrage auf Anwendungen absichert. In US-Bundesbehörden beginnt die Authentifizierung privilegierter Benutzer damit, dass APM dem Benutzer einen Warnhinweis der US-Regierung anzeigt, der akzeptiert werden muss, bevor die Authentifizierung fortgesetzt werden kann. APM fordert vom Benutzer außerdem starke Anmeldedaten an und bietet dafür verschiedene Optionen, beispielsweise deren Abgleich mit einer Zertifikatsperrliste oder einem Online-Certificate-Status-Protocol-Server, um sicherzustellen, dass die Anmeldedaten nicht widerrufen wurden.

Sobald dem privilegierten Benutzer der Zugriff auf das System gestattet wurde, fragt APM zusätzliche Attribute ab, um zu ermitteln, auf welche Ressourcen der Benutzer zugreifen darf. Darüber hinaus stehen mehrere erweiterte Funktionen zur Verfügung, um die Integrität des Clients sicherzustellen. So kann beispielsweise überprüft werden, ob der Client eine von der Regierung bereitgestellte Ausstattung (Government Furnished Equipment, GFE) verwendet, die Vorgaben des Host Based Security System (HBSS) erfüllt und/oder ein unterstütztes Betriebssystem ausführt.

Netzwerkinfrastruktur: Anwendungssicherheit

Eine Netzwerkinfrastruktur ist erforderlich, um die Sicherheit und Verfügbarkeit der Anwendungen zu gewährleisten und Zero Trust umzusetzen. F5 Labs Untersuchungen zufolge werden fast 90 % der Seitenaufrufe mit SSL/TLS verschlüsselt, was bedeutet, dass Verschlüsselung heutzutage zum Standard geworden ist. Dennoch bestehen weiterhin verschlüsselte Bedrohungen. Tatsächlich nutzen Angreifer häufig Verschlüsselung, um schädliche Payloads zu verbergen und Sicherheitskontrollen zu umgehen.

Ziehen Sie eine SSL-Visibility-Lösung in Betracht, die Bedrohungen durch eine zuverlässige Entschlüsselung und Verschlüsselung des ein- und ausgehenden SSL/TLS-Datenverkehrs mit zentralisierter Verschlüsselungssteuerung beseitigt. Diese Lösung sollte eine richtlinienbasierte Orchestrierung bieten, um blinde Flecken zu beseitigen und eine kosteneffiziente Transparenz über die gesamte Sicherheitskette hinweg zu ermöglichen – unabhängig von Netzwerktopologie, Gerät oder Anwendung.

Anwendungen: Sicherheit auf Anwendungsebene zum Schutz von Behörden

Unsere Untersuchungen von F5 Labs zeigen dass Unternehmen im Durchschnitt 765 Apps bereitstellen. Da Cyberangreifer so viele potenzielle Ziele haben, müssen Behörden beim Schutz dieser Apps im Rahmen ihrer Zero-Trust-Strategie wachsam bleiben.

Ihre Sicherheitslösungen auf Anwendungsebene sollten – unabhängig davon, ob sich die Anwendungen in der Cloud oder lokal befinden, SaaS-basiert sind oder vollständig verwaltet werden – Sicherheitsfunktionen direkt an oder in unmittelbarer Nähe der Anwendung bereitstellen und den Anwendungs-Stack innerhalb einer Zero-Trust-Architektur schützen.

Ihre WAF-Lösungen für Bundesbehörden sollten außerdem mithilfe von Verhaltensanalysen, die den Zustand der Anwendungen kontinuierlich überwachen, vor DoS-Angriffen auf Schicht 7 schützen. Weitere Funktionen sollten den Schutz von Anmeldedaten umfassen, um unbefugten Zugriff auf Benutzerkonten zu verhindern und Anwendungen vor API-Angriffen zu schützen.

Identitätsdienst: Partnerschaften

Ziehen Sie die Bereitstellung einer Lösung von einem Anbieter in Betracht, der über etablierte, enge Partnerschaften mit Unternehmen wie Microsoft, Okta und Ping verfügt. Durch die Integration vertrauenswürdiger Lösungen für den Anwendungszugriff mit diesen Identity-as-a-Service-Anbietern (IDaaS) schließen Sie die Identitätslücke zwischen cloudbasierten Anwendungen, SaaS-Anwendungen sowie geschäftskritischen und benutzerdefinierten Anwendungen und bieten Benutzern so ein einheitliches, sicheres Zugriffserlebnis.

Auch Bundesbehörden müssen starke Partnerschaften aufbauen, um eine erfolgreiche Implementierung von Zero Trust sicherzustellen. Wir laden Sie ein, Kontakt mit uns aufzunehmen, um die benötigte Expertise und die passenden Lösungen zu erhalten. Unser Ziel ist es, Ihnen einen möglichst reibungslosen Umstieg auf Zero Trust zu ermöglichen, damit Ihre Behörde schnellstmöglich von den Vorteilen profitieren kann.

Bill Church
Chief Technology Officer – F5 US Federal Solutions

(Eine frühere Version dieses Beitrags wurde Ende 2020 veröffentlicht. Aktualisiert Anfang 2022.)

Über den Autor

Bill ChurchField CTO – Bundesbehörden

Weitere Blogbeiträge von Bill Church