Zero Trust ist heute eines der meistdiskutierten Schlagwörter (oder Schlagwortphrasen) in der Technologiebranche. In unserer Studie „State of Application Strategy 2022“ wurde es zur drittspannendsten Technologie gekürt und findet auf allen Ebenen der Organisation große Beachtung.
Eine der oft übersehenen Wahrheiten über Zero Trust ist, dass es sich dabei eigentlich um eine Denkweise handelt und nicht um eine Technologie oder Lösung. Deshalb komme ich immer wieder auf unsere grundlegende Überzeugung zu Zero Trust zurück:
„Wir sind überzeugt, dass Zero-Trust-Sicherheit im Kern eine Denkweise – ein Überzeugungssystem – ist, aus der Techniken und Taktiken hervorgehen, die sich bestimmte Technologien zunutze machen. Diese können dann eingesetzt werden, um ein breites Spektrum an Sicherheitsbedrohungen zu bewältigen.“
Deshalb ist es wichtig, sich noch einmal mit der Sicherheitsregel Null zu befassen.
Für alle, die mit dem Konzept der „Regel Null“ nicht vertraut sind: Es stammt aus Rollenspielen, in denen Regeln eine wichtige Rolle spielen. Sie bestimmen die Reihenfolge der Interaktionen, die Auslegung von Würfelergebnissen und was man tun darf und was nicht. Genau wie in der realen Welt. Doch in Rollenspielen gibt es eine Regel Null, die über allen anderen Regeln steht: „Die Spielleitung hat bei allen Belangen des Spiels das letzte Wort.“ Im Wesentlichen bedeutet das, dass die Spielleitung jederzeit Regeln ändern, hinzufügen oder entfernen kann. Und glauben Sie mir: Das tut sie oft.
Manche mag es überraschen, dass es auch in der IT-Sicherheit eine Regel Null gibt, und sie lautet:
„Du sollst Benutzereingaben niemals vertrauen. Wirklich niemals.“
Diese Regel ist nicht neu; sie wurde schon sehr, sehr oft hervorgehoben, und ich habe bereits mehrfach darüber geschrieben, um daran zu erinnern, dass sie zu den Grundprinzipien bewährter Sicherheitspraktiken gehört. Wer diese Regel nicht befolgt, riskiert Schwachstellen, die zu weitverbreiteter, gefährlicher Ausnutzung führen können.
Die Sicherheitsregel Null ist auch heute noch relevant – vielleicht sogar mehr denn je. Mit der zunehmenden Verbreitung von APIs und dem explosionsartigen Wachstum digitaler Dienste gibt es mehr Bots, Skripte und böswillige Akteure als je zuvor. Und obwohl Credential Stuffing nach wie vor zu den wichtigsten Angriffstechniken zählt, mangelt es nicht an Meldungen über Exploits, die digitale Dienste und APIs ausnutzen, bei denen die Sicherheitsregel Null nicht eingehalten wird.
Benutzereingaben zu vertrauen, widerspricht dem Grundgedanken von Zero Trust. Bei keiner Benutzereingabe – unabhängig davon, ob der Benutzer ein Mensch, eine Software oder ein System ist – darf davon ausgegangen werden, dass sie ohne Überprüfung sicher verarbeitet werden kann. Punkt. Ohne Ausnahme.
Eines der Grundprinzipien – der Überzeugungen – von Zero Trust besteht darin, von einer Kompromittierung auszugehen. Eine Kompromittierung kann bedeuten, dass Schadsoftware vorhanden ist oder dass ein böswilliger Akteur die Kontrolle übernommen hat. Das ist der Zustand des Systems. Die Folge ist, dass Daten – Nachrichten –, die von diesem System stammen, bösartig sein können.
Daher, folglich und somit sollten Sie niemals irgendwelchen Eingaben eines Benutzers vertrauen. Punkt.
Wie oben erwähnt, führt diese Grundregel zu Taktiken (Überprüfung) und Technologien (WAAP, WAF, NGF), mit denen eine Vielzahl von Angriffen erkannt und neutralisiert werden kann.
Security Rule Zero ist ein zentraler Bestandteil von Zero Trust. Ihre Einführung führt zu effektiveren Taktiken und mehr Sicherheit für alle.
Bleiben Sie da draußen sicher.
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.