Wie sieht die Zukunft von Zero Trust aus?

Erin VernaSenior Principal Product Marketing Manager | F5

Kürzlich las ich einen Artikel über einen der jüngsten Ransomware-Angriffe, der in diesem Fall den Gesundheitsdienstleister Lehigh Valley Health Network (LVHN) traf. Es ist immer beunruhigend, wenn Cyberkriminelle die Systeme und Daten einer Organisation als Geiseln nehmen, doch dieser Cyberangriff gab besonderen Anlass zur Sorge. Das Nachrichtenportal The Register beschreibt den Vorfall wie folgt:

„[Die Cyberbande] BlackCat (auch bekannt als ALPHV) drang in eines der Ärztenetzwerke des Lehigh Valley Health Network (LVHN) in den USA ein und stahl neben anderen sensiblen Gesundheitsdaten auch Bilder von Patienten, die sich einer strahlenonkologischen Behandlung unterzogen … LVHN weigerte sich, das Lösegeld zu zahlen, woraufhin BlackCat Anfang dieses Monats begann, Patientendaten zu veröffentlichen, darunter Bilder von mindestens zwei Brustkrebspatientinnen, die von der Taille aufwärts nackt waren.“

Auch wenn jeder Erpressungsversuch den Anstoß geben kann, Netzwerke und sensible Daten künftig besser zu schützen, sollte die Tatsache, dass Ransomware und alle anderen Formen von Cyberangriffen bei Betroffenen dauerhafte Schäden und psychische Traumata verursachen können, ein deutlicher Weckruf für jede Organisation sein, die sich noch nicht auf den Weg zu einer Zero-Trust-Sicherheitsarchitektur gemacht hat. Jeder Sektor der kritischen Infrastruktur und jede Organisation, der sensible personenbezogene Daten anvertraut sind, sollte die Grundprinzipien eines Zero-Trust-Modells integrieren.

Es versteht sich wahrscheinlich von selbst, dass wir im Wettlauf mit Cyberkriminellen und ihren neuen Angriffsmethoden schnell ins Hintertreffen geraten werden, wenn wir bei der App-Sicherheit nicht schon heute einige Schritte vorausdenken. Daher ist es nie zu früh, uns zu fragen: Wie sieht die Zukunft von Zero Trust aus? Wie wird sich dieser Ansatz weiterentwickeln, um nicht nur einer sich wandelnden Bedrohungslandschaft, sondern auch der sich stetig verändernden Natur unserer digitalen Welt und der Apps selbst gerecht zu werden?

Um diese Fragen zu beantworten, habe ich mich mit zwei Sicherheitsexperten hier bei F5 zusammengesetzt: Ken Arora, Distinguished Engineer, und Mudit Tyagi, Senior Director of Product Development.

Diese Datenschutzverletzung bei LVHN hat mich wirklich darüber nachdenken lassen, wie Unternehmen ZT-Prinzipien umsetzen. Es scheint fast, als wäre nun der Moment der Wahrheit gekommen, in dem ein Jahr kostenlose Bonitätsüberwachung für die von einer Datenschutzverletzung betroffenen Verbraucher nicht mehr ausreicht. Würden Sie sagen, dass für Unternehmen heute viel mehr auf dem Spiel steht?

Mudit: Es ist offensichtlich, dass mehr auf dem Spiel steht. Das gilt insbesondere angesichts staatlich unterstützter Hacker, die über die finanziellen Mittel, die technischen Ressourcen und die nötige Zeit verfügen, um gezielte Angriffe auf Unternehmen und andere Staaten vorzubereiten und durchzuführen. Ganz zu schweigen davon, dass sie die allgemeine gesellschaftliche Stabilität gefährden. Wir erinnern uns an den Aurora-Vorfall von 2010, bei dem geistiges Eigentum von Google und anderen US-Unternehmen gestohlen wurde. Ein Jahrzehnt später, im Jahr 2020, diente der SolarWinds-Lieferkettenangriff als Mittel, um in zahlreiche sensible Netzwerke einzudringen. Das Potenzial für schwerwiegende Auswirkungen hat das Weiße Haus dazu veranlasst, eine Präsidialverordnung zu erlassen, die alle Regierungsbehörden zur Einhaltung der Zero-Trust-Prinzipien verpflichtet.

Ken: Ich stimme zu, dass das Ausmaß der Gefährdung mit der Zeit nur zunehmen wird. Das liegt nicht nur daran, dass immer mehr Daten online verfügbar sein werden, sondern auch daran, dass mit der zunehmenden Einführung von KI völlig neue Arten von Sicherheitsrisiken zutage treten werden. Dabei ist zu bedenken, dass die gesellschaftliche Regulierung der Risiken neuer Technologien stets Zeit braucht. So können Unternehmen, insbesondere in regulierten Branchen, erst seit wenigen Jahren rechtlich haftbar gemacht werden. Das haben wir bei Experian und T-Mobile gesehen, die zusammen Zahlungen von über 1 Milliarde US-Dollar leisten mussten. In jüngerer Zeit sehen wir, dass Personen wie der CSO von Uber für Fehlverhalten persönlich zur Verantwortung gezogen werden, wenn erhebliche Fahrlässigkeit vorlag. Auch hier gibt es Parallelen zum Gesundheitswesen. Ich denke, angesichts dieser Entwicklungen sind Sicherheitsexperten umso mehr dazu verpflichtet, bewährte Verfahren einzuhalten, und das Rechtssystem muss Leitlinien für einen sicheren Rechtsrahmen schaffen.

Was glauben Sie angesichts der heutigen Lage, wie sich Zero Trust in Zukunft entwickeln wird?

Mudit: Historisch gesehen führte Google nach den Aurora-Angriffen BeyondCorp als eine der frühen Ausprägungen von Zero Trust ein, obwohl die Idee noch älter ist. Heute gibt es Angebote wie ZTNA und SASE, die Zero-Trust-Prinzipien auf den Zugriff von Benutzern und Geräten anwenden. Allerdings müssen größere Anstrengungen unternommen werden, um Zero-Trust-Prinzipien auch innerhalb des Netzwerks selbst anzuwenden, wo Workloads miteinander interagieren, um Geschäftsprozesse und Benutzererlebnisse zu ermöglichen. Wir bezeichnen dies als Workload-to-Workload Zero Trust. Vereinfacht gesagt versuchen die zugriffsbezogenen Ansätze, Sicherheitsverletzungen zu verhindern, während Zero Trust auf Workload-Ebene darauf abzielt, die Auswirkungen einer bereits laufenden Sicherheitsverletzung zu minimieren.

Die Branche tut sich schwer damit, Kontrollmechanismen zu implementieren, die dem Zero-Trust-Grundsatz „Assume Breach“ folgen, also davon ausgehen, dass bereits eine Sicherheitsverletzung vorliegt. Um mit Szenarien nach einem Sicherheitsvorfall umzugehen, benötigen Workloads ebenso wie Benutzer und Geräte eigene „Identitäten“. Zudem sollten diese Workloads kontinuierlich überwacht werden, um zu verhindern, dass bereits im Netzwerk befindliche Schadsoftware Schaden anrichtet. Dies ist angesichts der heutigen mobilen Belegschaft und der aktuellen Infrastrukturlandschaften, in denen Anwendungen über Private und Public Clouds sowie Altsysteme verteilt sind, besonders wichtig.

Da Zero Trust eine „von einer Sicherheitsverletzung ausgehen“-Mentalität erfordert, sind Sicherheitsmaßnahmen notwendig, die weit über eine reine Zugriffskontrolle hinausgehen.

Ken: Genau. Wir müssen auch Bedrohungsinformationen, Sicherheitsinformations- und Ereignismanagement, kontinuierliche Diagnosen und Risikominderung und vieles mehr einbeziehen. Angesichts der sich wandelnden Anwendungslandschaft und des stetig zunehmenden KI-gesteuerten Datenverkehrs müssen wir Zero Trust nicht nur ganzheitlich angehen, sondern diese Prinzipien auch auf neue Bereiche der Infrastruktur anwenden, etwa auf die Workloads selbst.

Wie Mudit bereits betont hat, sind die Grundprinzipien von Zero Trust in Sicherheitsberufen seit Langem bekannt und fest verankert – wobei ich Sicherheit im weiteren Sinne meine, nicht nur Cybersicherheit. Bei der jüngsten Ausprägung, ZTNA, geht es im Wesentlichen darum, die Prinzipien „stets überprüfen“ und „kontinuierlich überwachen und bewerten“ auf die Identität von Benutzern und Geräten anzuwenden, die auf ein Netzwerk zugreifen möchten.

Ich denke, die nächsten logischen Schritte bei der Weiterentwicklung von Zero Trust im Bereich der Cybersicherheit werden folgende sein: 1) der Übergang vom Netzwerkzugriff zum Anwendungszugriff, also die Verwendung von Abstraktionen und Schutzmechanismen auf Anwendungsebene statt auf Netzwerkebene, und 2) die Ausweitung der Anwendung von Zero-Trust-Prinzipien über Benutzer und Geräte hinaus auf Workloads.

Warum ist die Workload so entscheidend? Und wenn wir so tief gehen, wenden wir die Zero-Trust-Prinzipien dann auch auf die Entwicklungspraktiken selbst an (etwa auf Code-Repositorys und Ähnliches)?

Ken: Die kurze Antwort lautet: Workloads sind kritisch, weil sie die neue interne Bedrohung darstellen.

Man muss sich vor Augen führen, dass der Großteil des Codes in Cloud-nativen Anwendungen in einer Open-Source-Umgebung und außerhalb der Kontrolle des Unternehmens entwickelt wird, dem die Anwendung gehört. Die bei der Entwicklung dieses Codes eingesetzten Softwarepraktiken unterliegen in der Regel nur einer lockeren Kontrolle und sind unzureichend dokumentiert. Die Tests, die nach dem Import des Codes durchgeführt werden, konzentrieren sich meist auf Funktionalität und Leistung, während Sicherheitsprüfungen kaum Beachtung finden. Daher wird dem meisten Anwendungscode „implizit vertraut“ – genau von diesem Verhalten soll Zero Trust abhalten. Und dabei wird noch von wohlmeinenden Code-Lieferanten ausgegangen. Berücksichtigt man darüber hinaus, dass aktive Angreifer versuchen, Open-Source-Code als Hintertür zu nutzen, wird dies zu einer erstrangigen Angriffsfläche. Übrigens sind viele der jüngsten aufsehenerregenden Angriffe – log4j, SolarWinds und 3CX – Beispiele für Lieferkettenangriffe, die weder von ZTNA noch von Sicherheitslösungen abgedeckt werden, die auf der Benutzeridentität basieren.

Lassen Sie uns kurz auf den letzten Punkt eingehen – darauf, wie Open-Source-Code als Hintertür genutzt werden kann. Das knüpft an Ihre frühere Aussage an, dass Zero Trust Maßnahmen wie Threat Intelligence, Security Information and Event Management, kontinuierliche Diagnosen und Ähnliches erfordert.

Mudit: Ja. Es ist wichtig, sich zu überlegen, wie wir über Sicherheit denken würden, wenn wir von der Annahme ausgehen, dass bereits eine Sicherheitsverletzung vorliegt. Netzwerkzentrierte Kontrollen spielen dabei eine gewisse Rolle; sie können nach Kommunikation mit Command-and-Control-Servern suchen. Das Ziel besteht jedoch darin, eingedrungene Schadsoftware daran zu hindern, erfolgreich Schaden anzurichten. Sobald die Schadsoftware aktiv wird, muss sie sich zu erkennen geben. Wenn wir alle Workloads überwachen und ihre Merkmale verstehen, haben wir eine wesentlich bessere Chance, den schädlichen Workload zu erkennen, der mit den Aktivitäten der Schadsoftware zusammenhängt.

Die Forscher von MITRE haben der IT-Sicherheitswelt einen großen Dienst erwiesen, indem sie eine Taxonomie entwickelt haben, mit der sich die meisten Angriffe als Kombination aus Taktiken, Techniken und Verfahren (TTPs) verstehen lassen, die im MITRE ATT&CK Framework beschrieben sind. Darüber hinaus beschreiben sie im MITRE D3FEND Framework eine Reihe von Gegenmaßnahmen, die bei der Erkennung dieser TTPs helfen. Ein wichtiger Bestandteil dieses Frameworks sind Prozessanalysen, die die Anwendung von Zero-Trust-Prinzipien auf Workload-Ebene erfordern.

Es ist sehr wichtig, dass der Code, aus dem der Workload besteht, während des Entwicklungszyklus mithilfe von Tools für statische Anwendungssicherheitstests (SAST) und dynamische Anwendungssicherheitstests (DAST) auf Schwachstellen geprüft wird. Zudem kann die Umsetzung von Zero Trust auf Workload-Ebene vorbereitet werden, indem während des Entwicklungszyklus eine Baseline für grundlegende Workload-Merkmale wie etwa „Systemaufrufe“ erstellt wird. Anhand dieser Baseline lassen sich Anomalien leichter erkennen und analysieren, während der Workload in der Produktionsumgebung ausgeführt wird. Das D3FEND-Framework empfiehlt eine ganze Reihe von Gegenmaßnahmen zur Systemhärtung, die während des Entwicklungszyklus umgesetzt werden sollten.

Lassen Sie uns kurz auf die Rolle von KI für die Sicherheit im Allgemeinen und für Zero Trust im Besonderen eingehen. Welche Herausforderungen und Chancen wird KI für die Sicherheit mit sich bringen? Außerdem ist ChatGPT derzeit allgegenwärtig in den Nachrichten. Ich habe Prognosen gesehen, denen zufolge bis 2026 90 % des Internetverkehrs von KI generiert werden. Wird sich dies auf die Sicherheit auswirken? Wenn ja, wie?

Mudit: Automatisierte Angriffe sind bereits heute sehr schwer abzuwehren. Angreifer können ihre Angriffe fortlaufend abwandeln und verändern, was im SOC für viel unnötiges Datenrauschen sorgt. Sicherheitsteams setzen bereits Automatisierung ein, um diese automatisierten Angriffe zu bekämpfen. Selbst wenn wir die Signaturen automatisierter Angriffe erkennen, stellen Fehlalarme ein großes Problem dar. Mithilfe von KI wird es deutlich einfacher sein, das Verhalten normaler Benutzer wesentlich überzeugender nachzuahmen, als dies mit heutigen automatisierten Angriffen möglich ist. Dadurch wird die Erkennung von Anomalien schwieriger und erfordert hochentwickelte Kontextanalysen, um Fehlalarme zu minimieren.

Ken: Ich denke, dass KI auch weiterhin enorme Auswirkungen auf die Sicherheit haben wird. Zunächst einmal hat sie eindeutig großen Einfluss darauf, wie Angreifer ihre Attacken durchführen und wie Verteidiger diese erkennen und abwehren. Kurz gesagt: Das Katz-und-Maus-Spiel wird weitergehen, wobei KI als Stellvertreter für den Menschen exponentiell schneller und agiler agieren kann, als es Menschen manuell möglich wäre.

Speziell im Hinblick auf ChatGPT denke ich, dass hier das Zero-Trust-Mantra, nichts blind zu vertrauen, zum Tragen kommen wird. So wie ZTNA auf dem Grundsatz „Nutzern und Geräten nicht blind vertrauen“ beruht und dieser auch auf Workloads ausgeweitet werden sollte, wird uns die KI-gestützte Erstellung von Inhalten meiner Meinung nach dazu bringen, auch Inhalten nicht blind zu vertrauen. In vielerlei Hinsicht schließt sich damit der Kreis zur Funktionsweise unserer Gesellschaft: Wie viel Vertrauen wir einem bestimmten Inhalt entgegenbringen, hängt davon ab, woher er stammt. Beispielsweise würde ich einer Aussage meiner Bank über die Echtheit eines Schecks eher vertrauen als einer vergleichbaren Aussage einer beliebigen Person auf der Straße. Kurz gesagt: Die Zuordnung von Daten zu ihrer Quelle ist entscheidend. Und da KI immer mehr Inhalte generiert, wird sich dieses Konzept, das in der realen Welt schon lange existiert, auch in der digitalen Welt zu einem zentralen Aspekt entwickeln.

Angesichts des immer schnelleren Tempos, mit dem neue Bedrohungen entstehen, dürfte die Diskussion über die Zukunft von Zero Trust weiterhin relevant bleiben – insbesondere wenn es darum geht, die Auswirkungen interner Bedrohungen zu minimieren und Zero-Trust-Prinzipien auf Workloads anzuwenden. Da immer mehr KI-generierte Inhalte das Internet überfluten, wird sich der Ansatz der Branche für Zero Trust zwangsläufig weiterentwickeln. Künftig werden wir weitere Perspektiven dazu vorstellen. Vielen Dank, dass Sie dabei waren.
____

Wenn Sie mehr über das Prinzip „Assume Breach“ erfahren möchten, lesen Sie Kens neuesten Artikel hier.

Über den Autor

Erin VernaSenior Principal Product Marketing Manager | F5

Weitere Blogbeiträge von Erin Verna