Zero Trust – Fragen, die Sie stellen sollten

F5

Eine „Zero-Trust-Strategie“ zu haben, ist in etwa so, als hätte man eine „Cloud-Strategie“: Ohne den Kontext dessen, was Sie erreichen möchten und wo Sie heute stehen, ist sie ziemlich bedeutungslos. Selbst die Bezeichnung kann irreführend sein, da man irgendetwas vertrauen muss. Eine grundlegende Definition von Zero Trust wäre: „Vertrauen Sie einem Benutzer oder Gerät nicht aufgrund seines Netzwerkstandorts.“ Doch wenn es so einfach wäre, hätten wir die Implementierung längst alle abgeschlossen. Als Global Solution Architect bei F5 habe ich die Gelegenheit, mir zahlreiche Zugriffsarchitekturen anzusehen. Viele streben Zero Trust zwar an, doch nur wenige haben ihre Ziele bereits erreicht.

Eine bessere Definition ergibt sich wohl, wenn man die Vertrauensgrenze neu absteckt und statt eines Netzwerkperimeters die Identität, das Gerät und die Anwendung einbezieht. Das ist sicherlich keine neue Idee, und ich habe bereits viele Kunden gesehen, die in diese Richtung große Fortschritte gemacht haben. Doch inzwischen gewinnt dieser Ansatz zunehmend an Bedeutung, da Anbieter die zentralen Herausforderungen angehen, um ihn auch in Umgebungen wirklich praktikabel zu machen, die nicht über ein eigenes Heer von Entwicklern für den Aufbau einer maßgeschneiderten Lösung verfügen. Für zusätzliche Verwirrung sorgt die Vielzahl der verfügbaren Modelle, darunter Proxys, Mikrotunnel, Mikrosegmentierung und proxylose Ansätze, sowie konkurrierende Begriffe und verwandte Konzepte wie Mikrosegmentierung und Software Defined Perimeter (SDP). Wie definiert man Erfolg bei einem derart vagen Konzept mit so vielen Optionen, und wo beginnt man mit der Bewertung von Lösungen? Zunächst müssen Sie Ihre Ziele und Anforderungen kennen. Daher würde ich mit Fragen wie diesen beginnen ...

Welche Art von Anwendungen möchten Sie schützen?

Proxys eignen sich in der Regel gut für Webanwendungen und bieten SSO-Funktionen, eine gute Benutzererfahrung sowie eine relativ einfache Bereitstellung und Verwaltung. Möchten Sie Zero Trust auch für den Serverzugriff umsetzen? Einige Lösungen bieten SSH- und RDP-Proxys. Für alle drei Protokolle gibt es zudem Lösungen ohne Proxy, die direkt in den Anwendungscode oder in die Authentifizierungsmodule des Servers integriert werden. Beachten Sie jedoch, dass Sie den Datenverkehr dann nicht stoppen können, bevor er den Server bzw. die Anwendung erreicht, und somit ein höheres Risiko eingehen.

Wenn Ihre Anwendungsziele über diese hinausgehen, müssen Sie wahrscheinlich auf eine tunnelbasierte Lösung zurückgreifen. Nicht alle Tunnellösungen sind gleich. Einige nutzen herkömmliche VPNs, die Ihre Konnektivität auf ein einziges Gateway beschränken. Mikrotunnel sind in der Regel der bessere Ansatz, da Sie damit zahlreiche Tunnel zu verschiedenen Endpunkten einrichten und so die Zugriffsanforderungen unabhängig vom Standort Ihrer Anwendungen erfüllen können.

Welche Art von Schutzmaßnahmen muss implementiert werden?

Dies ist eine hervorragende Gelegenheit, um sicherzustellen, dass jede Anwendung durch Multifaktor-Authentifizierung, einen Schutz vor Credential Stuffing und Brute-Force-Angriffen sowie einen Bot-Schutz abgesichert ist. Zudem sollten der Datenverkehr transparent einsehbar sein, Sicherheitsdienste wie Data-Loss-Prevention- und Intrusion-Prevention-Systeme integriert werden und eine Web Application Firewall Ihre Webanwendungen schützen. Durch die Implementierung eines einheitlichen Zugriffsmodells schaffen Sie zugleich eine zentrale Stelle, an der all diese Dienste eingebunden werden können. Seien Sie vorsichtig bei Lösungen, die eine durchgängige Vertraulichkeit versprechen. Das klingt zunächst attraktiv, bis Ihnen klar wird, dass Sie dafür all Ihre Sicherheitsdienste umgehen müssen. Zero Trust sollte Ihr Sicherheitsniveau niemals beeinträchtigen. Eine gute Strategie besteht darin, Tunnel an einem Gateway zu terminieren und den Datenverkehr anschließend durch Systeme zur Überwachung und Absicherung zu leiten.

Benötigen Sie Single Sign-On (SSO)?

Tunnellösungen sind in der Regel nicht in der Lage, die Identität an die Anwendung zu übermitteln, und setzen mitunter voraus, dass in der Umgebung bereits eine andere nahtlose Authentifizierung vorhanden ist. Möglicherweise benötigen Sie Proxys oder eine direkte Codeintegration, um das gewünschte SSO bereitzustellen. Dies umzusetzen, dürfte entscheidend für den Erfolg bei vielen Ihrer Stakeholder sein. Die richtige, fachgerecht implementierte Lösung kann sowohl die Benutzerfreundlichkeit als auch die Sicherheit verbessern.

Wie sieht Ihre Analysestrategie aus?

Hier sollten Sie hohe Erwartungen haben. Bei der Einführung eines einheitlichen Richtlinienrahmens für den unternehmensweiten Zugriff sollte ein wesentlicher Vorteil darin bestehen, nachvollziehen zu können, wer wann, von wo und mit welchem Gerät auf welche Ressource zugreift. Diese Daten sollten genutzt und gemeinsam mit den Daten Ihrer anderen Sicherheitstools analysiert werden, um Bedrohungen zu erkennen und einzudämmen. Dies bietet die Möglichkeit, Risiken innerhalb des Unternehmens zu begegnen, indem Sie Ihre Kill Chain in jeder Phase verbessern – von der Transparenz über die Bedrohungserkennung bis hin zur Eindämmung. Anbieter in diesem Bereich liefern bislang noch kein vollständiges Gesamtpaket. Achten Sie daher darauf, dass sich Analyselösungen von Drittanbietern integrieren lassen, um die Lösung zu erweitern. Eine gute Strategie besteht darin, nach Anbietern zu suchen, die neben ihrer eigenen Lösung auch auf Partnerintegrationen setzen, anstatt zu versuchen, alles über eine einzige Plattform bereitzustellen.

Welche Art von Benutzererlebnis können Sie erwarten?

Proxys bieten bei Webanwendungen in der Regel eine bessere Benutzererfahrung, da die Benutzer ihr Verhalten im Browser nicht ändern müssen und auch auf der Clientseite weniger Komponenten erforderlich sind. Andere Lösungen können jedoch Tunnel-Clients erfordern. Es ist davon auszugehen, dass Endbenutzer die Tunnel überhaupt nicht oder kaum wahrnehmen. Herkömmliche VPNs bieten im Vergleich zu Mikrotunneln meist eine schlechtere Benutzererfahrung und weisen weitere der oben beschriebenen Einschränkungen auf.

Welche Plattformen müssen Sie unterstützen?

Einige Lösungen bieten eine hervorragende Plattform für Desktop-Computer, jedoch nicht für Mobilgeräte. Prüfen Sie die Lösung sorgfältig und stellen Sie fest, ob sie die Anforderungen der Benutzer auf den wichtigsten Desktop-Betriebssystemen, auf Mobilgeräten und gegebenenfalls in nativen mobilen Apps erfüllt und dabei eine einheitliche Benutzererfahrung sowie einen konsistenten Funktionsumfang bietet.

Nächste Schritte

Definieren Sie Ihre Ziele. Dazu sollten zunächst wahrscheinlich eine bessere Benutzererfahrung, eine verbesserte Integration von Sicherheitsdiensten, Multifaktor-Authentifizierung für sämtliche Zugriffe und eine Strategie zur Integration von Analysen gehören. So können Sie ermitteln, bei welchen Anbietern und Architekturen sich eine eingehendere Prüfung lohnt. Konzentrieren Sie sich anschließend auf Anbieter mit guten Partnerschaftsstrategien. Kein einzelner Anbieter wird alles bieten können, was Sie von dieser Architektur erwarten sollten, und Sie benötigen eine Plattform, auf der Sie aufbauen können. Langfristig werden Sie damit zufriedener sein, glauben Sie mir!

Über den Autor

F5

Weitere Blogbeiträge von F5