gesponsert IT-Sicherheit auf modernstem Stand Zero Trust: Vertrauen ist gut, Kontrolle ist besser

Wachsende Cloud-Services sorgen für eine wahre Datenexplosion und führen zu neuen Arbeitsmodellen sowie einer wachsenden Gerätevielfalt, während der Bedrohungsgrad durch Cyber-Angriffe im öffentlichen Sektor sehr hoch ist.

Neben dem Ukraine-Krieg herrscht ein Cyber Cold War – um Informationen, denn Cyberkriminalität ist längst ein äußerst lukratives Geschäft. Neben den altbekannten Bedrohungen entstehen so immer neue. Für Behörden besteht somit eine andauernde Aufgabe, die Sicherheit der IT auf dem modernsten Stand zu halten. Eine Möglichkeit für umfassenden Schutz stellt die Umsetzung eines Zero-Trust-Konzepts dar.

Rund 116,6 Millionen neue Schadprogramm-Varianten gab es 2022 laut Bundesamt für Sicherheit in der Informationstechnik. 15 Millionen Meldungen zu Schadprogramm-Infektionen gingen durch das BSI an deutsche Netzbetreiber. 69 Prozent aller Spam-Mails waren Cyber-Angriffe, wie beispielsweise Phishing-Mails und Mail-Erpressung. Alle diese Zahlen stammen aus dem aktuellen BSI-Lagebericht und sie zeigen: Die Bedrohungslage durch Cyber-Angriffe ist sehr hoch. Gleichzeitig führen neue hybride Arbeitsmodelle, die Nutzung von Cloud-Services, eine Vielzahl an Geräten und stetig neue Angriffsformen zu einer immer höheren Komplexität. Deshalb beschreiten Organisationen in puncto Sicherheit neue Wege, um sich entsprechend zu schützen.

Klassische Security – ein offenes Scheunentor

Ein klassischer Security-Ansatz ist starr. Es gibt eine Umgebung und eine Firewall, die als Perimeter definiert wird und vor Zugriffen von außen schützt. Allen Menschen oder Gerätschaften, die sich hinter der Firewall befinden, wird aufgrund ihres Standorts, ihres Endgerätetyps oder ihrer User-ID etc. – sowohl intern als auch extern – implizit vertraut. Dies gilt für Mitarbeiter:innen gleichermaßen wie beispielsweise für Lieferanten oder technisches Personal, das Wartungsarbeiten durchführen muss. Aber auch Administrator:innen wird bei diesem klassischen Security-Modell bedingungslos vertraut. Sprich – wer es hinter die Firewall geschafft hat, dem stehen Tür und Tor in das Unternehmensnetzwerk offen.

Human-Centric Sicherheit – die Identität wird zum Schutzwall

Weil es heute jedoch keine klaren Grenzen mehr für die IT-Sicherheit gibt, sie in statischer Form nicht abbildbar ist und klassische Sicherheitsansätze zu komplex und nicht skalierbar sind, sollten Organisationen auf Zero Trust setzen. Zero Trust ist ein Cyber-Security-Paradigma, das sich auf den Schutz von Ressourcen konzentriert. Dabei wird Vertrauen niemals implizit, sondern explizit gewährt und kontinuierlich evaluiert. Während es früher eine netzwerkzentrierte Security über Perimeter gab, stellt Zero Trust Daten und Identität in den Mittelpunkt, bei der die Identität der neue Schutzwall ist. So stellen Organisationen Sicherheit her und können sie sogar noch verbessern, um der erhöhten Bedrohungslage standzuhalten. Daher gilt es folgende 7 Punkte zu berücksichtigen:

Zero Trust vereint Lösungen für starke Security

Um Zero Trust erfolgreich implementieren und betreiben zu können, werden verschiedenste Disziplinen und Technologiefelder kombiniert. Essenziell sind eine Reihe von Kompetenzen, die in der NIST-Sonderveröffentlichung 800-207 beschrieben sind: ein Identitäts- und Zugriffsmanagement, Governance, Risk und Compliance, Cyber-Defence-Fähigkeiten, Infrastruktur- und Workplace-Absicherung sowie ein ganzheitlicher Security-Ansatz, der auch Datenverschlüsselung und Monitoring umfasst. Alle diese Kompetenzen haben das Ziel, sich von dem Konstrukt des impliziten Vertrauens zu lösen, das bisher durch abgesicherte Perimeter für die interne Netzwerkkommunikation bestand.

Innerhalb einer Zero-Trust-Architektur sind zwei grundlegende funktionale Blöcke relevant. Der Policy Decision Point (PDP) basiert auf einem Regelwerk und prüft zunächst die sogenannten Kontextinformationen (welches Gerät kommt von welcher Lokation mit welcher Berechtigung) und auch weitere Informationsquellen auf Plausibilität und Relevanz. Des Weiteren werden Informationen aus dem Asset- und Schwachstellenmanagement sowie der dynamischen Risikoanalyse in die Policy-Entscheidungsfindung mit einbezogen. Für die Durchsetzung der Regeln sind ein oder mehrere sogenannte Policy Enforcement Points (PEP) zuständig.

Eine Secure Access Service Edge (SASE)-Architektur folgt dem Zero-Trust-Prinzip und ermöglicht eine ganzheitliche Modernisierung der Netzwerk- und Sicherheitsinfrastruktur. Dieses Security-Modell bietet einen sicheren Zugriff auf Anwendungen und Daten basierend auf digitalen Identitäten. Es vereint die Netzwerk- mit der Security-Welt auch unter Nutzung von digitalen Services aus der Cloud. Typische Anwendungsfälle sind hierbei:

• Standort- und Cloud-Anbindungen: Sichere Verbindungen zwischen Standorten und Cloud-Unternehmensressourcen (IaaS/PaaS) – SD-WAN

• Netzwerksicherheit/Firewall (as a Service): Kontrolle der Kommunikationsbeziehungen

• Zugriff auf private Ressourcen/ZTNA: Verbindungen für mobile Endgeräte zu On-Premises- und Cloud-Unternehmensressourcen

• Optimaler Cloud Service Access (SaaS): Zugriff auf vertrauenswürdige Cloud-Ressourcen, z. B. Microsoft 365

• Kontrollierter Internetzugriff: Kontrollierter Zugriff auf Internet und Public-Cloud-Ressourcen

• Zusätzliche Sicherheitsfunktionen: Absicherung der IaaS-, PaaS- und SaaS-Dienste, erweiterter Malwareschutz sowie Analyse und Visibilität

Zero Trust in der Praxis

Wählen sich User:innen über ein VPN ein, ist das Tor in die Organisation meist sehr weit geöffnet. Denn alle haben auf Netzwerkebene zumeist Zugriff auf die gesamte Infrastruktur – auf jeden Drucker und jeden Server, obwohl dies in der Regel überhaupt nicht notwendig ist. Bei einem ZTNA (Zero Trust Network Access) hingegen erhalten Anwender:innen einen feinen, granularen Zugriff. Sie melden sich an einem Kontrollpunkt an und erhalten lediglich die Berechtigungen, die sie für die jeweilige Tätigkeit benötigen. Dadurch ist die Angriffsfläche deutlich geringer.

Darüber hinaus ist eine Dynamisierung der Zugriffsrechte möglich. Sind beispielsweise die notwendigen Patches nicht auf dem Rechner eingespielt, wird irgendwann ein gewisses Risikolevel erreicht und das Endgerät völlig automatisiert in seinen Zugriffsrechten und Kommunikationsmöglichkeiten eingeschränkt.

Auch in (hybriden) Datacenter-Umgebungen gilt es Zero-Trust-Prinzipien in der Kommunikation zwischen jeder einzelnen Instanz zu etablieren. Moderne Lösungen erzeugen hier zunächst die erforderliche Visibilität und ermöglichen die darauf aufbauende (Mikro-) Segmentierung. Durch Automatisierung wird eine agile und betreibbare Sicherheit zwischen Anwendungen, Servern und Diensten erreicht.

Zero Trust – ein immerwährender Prozess ohne Ende

Zero Trust stützt sich auf viele verschiedene Grundlagen, wie digitale Identitäten und die Fähigkeit, Rechte mithilfe von vertrauenswürdiger Automatisierung schnell bereitzustellen und wieder zu deaktivieren – und ist somit keine singuläre Lösung oder Technologie. Es handelt sich vielmehr um einen Prozess, der kontinuierlich fortgeführt werden muss. So gut wie jede Organisation hat bereits Bestandslösungen im Einsatz, die auf eine Zero-Trust-Strategie einzahlen können. Daher ist das „Zero-Trust-Konto“ niemals leer. Organisationen können auf Bestehendes zurückgreifen und ihre Security gemäß den Zero-Trust-Regeln neu zusammensetzen und passend erweitern. Damit Sicherheit von allen Mitarbeiter:innen auch gelebt wird, bedarf es gleichzeitig eines umfassenden Kulturwandels hinsichtlich der Sicherheitsbetrachtung im gesamten Unternehmen. Zero Trust löst auch den Zielkonflikt zwischen hoher Produktivität und hoher Sicherheit, ohne dabei Kompromisse einzugehen.

Erfahrener Partner

Der IT-Dienstleister Computacenter kann sowohl bei der organisatorischen als auch bei der technischen Umsetzung helfen. Er besitzt umfassendes Prozess-, Change- und Security-Know-how. Die Leistungen umfassen die Entwicklung einer Zero-Trust-Roadmap, eine Analyse der vorhandenen Sicherheitsmaßnahmen sowie eine Reifegradanalyse der Bestandstechnologien. Darüber hinaus übernimmt der IT-Dienstleister auch die Architekturberatung, Planung und Konzeption, führt Marktanalysen sowie Proof of Concepts durch.

Außerdem implementiert Computacenter Zero-Trust-Bausteine, integriert sie in bestehende oder auch neue IT-Systeme und Prozesse, migriert Bestandssysteme und unterstützt maßgeblich mit Schulungen der Fachabteilungen für die neu etablierten Technologien beim Cultural Change und stellt einen reibungslosen Betrieb sicher. Der IT-Dienstleister pflegt zudem langjährige Partnerschaften mit führenden Herstellern und hat bereits Zero-Trust-Konzepte anhand eines selbstentwickelten Blueprints ganzheitlich und erfolgreich umgesetzt. Damit sorgt Computacenter für den notwendigen Schutz der IT-Infrastruktur in der öffentlichen Verwaltung, getreu dem eigenen Anspruch: Wir lassen Worten Daten folgen.

* Autor: Armend Saliaj, Lead Consultant für Cyber Security im öffentlichen Sektor bei Computacenter

(ID:49618492)