Virtual Private Network vs. Zero Trust Network Access 5 Gründe für den Umstieg von VPN auf ZTNA

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Security-Insider

TXOne Networks

Avast Deutschland GmbH

Avast Software Deutschland GmbH

Bisher haben Unternehmen für den sicheren Zugriff auf ihre in der Private Cloud gehosteten Anwendungen meist so genannte Remote Access VPNs (Virtual Private Networks) verwendet – diese sind jedoch langsam, wenig benutzerfreundlich und stellen oft ein Sicherheitsrisiko dar. Die Zero-Trust-Network-Access-Technologie (ZTNA) bietet hier eine gute Alternative.

In der Vergangenheit wurden Firmenressourcen häufig mit VPN-Technologie für Unternehmen abgesichert. Diese stellen eine verschlüsselte Verbindung zwischen dezentral arbeitenden Mitarbeitern und vor Ort stationierten Unternehmenssystemen, wie CRM-Servern, her. Doch Remote-Access-VPNs sind oft langsam, da sie den Datenverkehr über ein physisches Firmennetzwerk routen, das möglicherweise Tausende Kilometer vom Benutzer entfernt ist.

Die meisten Unternehmen sind mittlerweile zu Hybrid-Cloud-Modellen übergegangen. Zudem arbeiten viele Mitarbeiter remote. Unternehmenskritische Ressourcen sind daher stärker zwischen Unternehmensnetzwerk und öffentlichen sowie privaten Clouds verteilt. Dadurch sind die konventionellen Mittel zur Definition und Absicherung von Netzwerkperimetern nicht mehr zeitgemäß – besonders hinsichtlich verbundener Netzwerke.

Bei ZTNA-Lösungen liegt das Hauptaugenmerk auf der Authentifizierung eines Nutzerzugriffs und nicht auf der Herstellung einer sicheren Verbindung zwischen Gerät und Netzwerk. Dadurch stellen sie eine geeignetere Lösung für Herausforderungen dar, denen Unternehmen heutzutage in Bezug auf die Konnektivität gegenüberstehen. So müssen Unternehmen keine nutzerspezifischen Ausnahmen mehr in ihrer Firewall einrichten. Dies senkt das Risiko, dass Fremde durch solche Schlupflöcher Zugriff auf das Firmennetzwerk haben. Denn der ZTNA verbindet Nutzer auf eine sichere Art und Weise direkt mit den gewünschten Anwendungen.

Was sind Zero-Trust-Network-Access-Lösungen?

Die ZTNA-Technologie basiert auf dem „Software-Defined Perimeter“-Modell (SDP) und dem „Software-Defined Network“-Modell (SDN). Laut diesen Modellen wird die Sicherheit dadurch gewährleistet, dass ein authentifizierter Nutzer nur mit den Anwendungen verbunden wird, die er für seine Arbeit benötigt. Ein Merkmal dieser Sicherheitslösung ist, dass die Vertrauenswürdigkeit eines Zugriffsversuchs danach bewertet wird, ob dieser durch einen authentifizierten Nutzer ausgelöst wurde. Außerdem kann der Zugriff auf bestimmte Bereiche einer Anwendung granular konfiguriert werden. Somit wird der neue Mikroperimeter nicht mehr durch das Netzwerk, sondern durch die Software definiert.

Wieso sind ZTNA-Lösungen besser als VPNs für Unternehmen?

Durch den Einsatz von ZTNA-Lösungen zur Zugriffsabsicherung auf interne Anwendungen ergeben sich für Unternehmen gegenüber Remote-Access-VPN-Lösungen gleich mehrere Vorteile. Die beiden Lösungstypen unterscheiden sich dabei in den folgenden Punkten:

1. Geringere Angriffsfläche, begrenzter Schaden
ZTNA-Lösungen sind so konzipiert, dass sie Nutzern, unabhängig davon, ob sich diese remote oder von innerhalb des Unternehmens verbinden, Zugriff auf ausgewählte Anwendungen bieten. Diese Lösungen folgen dem Null-Vertrauensprinzip (englisch: Zero Trust) – einem IT-Sicherheitsprinzip, bei dem jeder Zugriff eine Authentifizierung erfordert – und dem Need-to-Know-Prinzip, das nur Projektbeteiligten mit berechtigtem Informationsbedarf Zugriff gewährt. Administratoren können so die Konfiguration von strengen Zugriffsberechtigungen garantieren, da sie den Zugriff auf bestimmte Funktionen einer Anwendung differenziert gewähren oder einschränken können.

Unter Verwendung von Remote-Access-VPNs wäre dies praktisch unmöglich, da VPNs ihren Nutzern stets Zugriff auf das Netzwerksegment bieten, indem die jeweilige Anwendung gehostet wird, und nicht nur auf die Anwendung selbst.

Ziel einer differenzierten Zugriffsberechtigung ist es, die potenzielle Angriffsfläche im Falle eines Durchbrechens der Sicherheitsmaßnahmen zu reduzieren. Beispielsweise kann ein Risiko von Nutzern ausgehen, die sich über das VPN ihres Unternehmens von einem infizierten Endgerät aus mit unternehmenskritischen Systemen vor Ort verbinden. Die Malware könnte so über das VPN übertragen werden, sich im gesamten Firmennetzwerk verbreiten und möglicherweise eine Vielzahl von Systemen infizieren. Selbst eine geringe Anzahl von betroffenen Nutzdaten könnte dem Unternehmen einen großen Schaden zufügen.

Ist eine ZTNA-Lösung implementiert, so ist der Bewegungsraum des Remote-Benutzers auf eine bestimmte Komponente eines einzigen Systems beschränkt. Selbst wenn also eine Malware auf den Server eines Unternehmens hochgeladen wird, ist das Schadenspotenzial deutlich geringer. ZTNA bietet mehr Sicherheit, indem es die Angriffsfläche verringert.

Im Gegensatz zu Remote-Access-VPNs erfordern ZTNA-Lösungen keine Anpassungen der Firewall-Einstellungen für den eingehenden Abhörport oder öffentliche IP-Adressen und DNS-Einträge. Die ausgehende Kommunikation von ZTNA-Konnektoren mit den jeweiligen Cloud-basierten Servern erfolgt über TLS (Transport Layer Security).

2. Cloud-First-Lösungen
ZTNA-Lösungen sind für Unternehmen, die bereits einen Großteil ihrer Firmensysteme in die Cloud verlagert haben, die deutlich sinnvollere Wahl. Der Zugriff auf praktisch alle in der Cloud verfügbaren Anwendungen ist per SSL-Verschlüsselung geschützt. Zusätzlich verbinden sich viele Remote-Nutzer über sichere, vertrauenswürdige Netzwerke. Daher liegt der Fokus von Cybersicherheitsteams, die die Integrität dieser Ressourcen schützen sollen, nicht mehr nur auf der Gewährleistung eines grundlegenden Maßes an Sicherheit. Seit der Einführung von VPN-Lösungen hat sich vieles verändert und Unternehmen sind heute auf der Suche nach Systemen, die diese Veränderungen in ihrer nativen Architektur berücksichtigen.

Die Authentifizierung von Nutzern und Geräten sollte unabhängig davon, von wo die Verbindung hergestellt wird, auf Anwendungsbasis erfolgen. Eine ZTNA-Lösung kann Geräten, die auf einer Whitelist aufgeführt sind, beispielsweise Zugriff auf das Firmen-CRM gewähren, während es den Zugriff auf andere Firmensysteme wie das ERP verweigert. Die Konfiguration solcher Abstufungen in den Zugriffsrechten ist bei der Nutzung von Remote-Access-VPNs äußerst umständlich.

ZTNA-Lösungen passen deutlich besser zu den Arbeitsabläufen, die Administratoren in Cloud-First-Unternehmen absichern müssen. Außerdem ist die Authentifizierung standort- und netzwerkunabhängig. Remote-Mitarbeiter können sich unabhängig davon, von wo aus sie sich verbinden, bei ihren Anwendungen authentifizieren – ein VPN-Client ist nicht erforderlich.

3. Besseres Nutzererlebnis
Der Zugriff auf Cloud-Dienste, die durch eine ZTNA-Lösung geschützt werden, gestaltet sich für die Nutzer wesentlich einfacher als bei der Verwendung eines Firmen-VPN. Der Zugriff erfolgt über den Browser. Die Nutzer müssen nicht mehr darauf achten, ob sie auf interne oder externe Anwendungen zugreifen. Sie müssen sich keine Gedanken über die Installation von VPN-Clients, die Authentifizierung oder zusätzliche MFA-Passwörter machen. All das sorgt für ein flüssigeres Nutzererlebnis. Für Unternehmen bedeutet dies geringere Latenzzeiten und die Sicherstellung der VPN-Compliance.

ZTNA-Lösungen bieten außerdem höhere Verbindungsgeschwindigkeiten als VPNs. Nutzer können sich so auf ihre Arbeit konzentrieren, anstatt ständig warten zu müssen, bis ihre Online-Anwendungen geladen werden.

4. Reduzierter Verwaltungsaufwand in puncto Infrastruktur
Die Einrichtung eines Firmen-VPNs zur Absicherung des Netzwerkzugangs ist ein kompliziertes Unterfangen, das sehr viele Ressourcen erfordert. Netzwerkadministratoren müssen vor Ort Server bereitstellen und das Gateway oft an jedem Rechenzentrumsstandort replizieren. Im Gegensatz dazu entfällt bei der Bereitstellung einer in der Cloud gehosteten ZTNA-Lösung die Notwendigkeit des Hostens und Verwaltens der Infrastruktur.

5. Kosteneinsparungen
ZTNA-Lösungen umfassen viele Funktionen, durch die für Anbieter und Kunden die anfallenden Betriebskosten geringer ausfallen als bei Remote-Access-VPNs: Sie lassen sich leicht skalieren und schnell bereitstellen, sodass weniger Zeit für Kundenschulungen aufgewendet werden muss. Es muss keine komplexe VPN-Infrastruktur gewartet werden. Und das bessere Nutzererlebnis steigert die Produktivität der Mitarbeiter.

Ein weiterer Vorteil ist, dass ZTNA-Lösungen BYOD-Richtlinien (Bring Your Own Device) unterstützen. Dies kann in einigen Unternehmen zu geringeren Kosten für die Anschaffung und Bereitstellung von Hardware für die Mitarbeiter führen.

Fazit

Wieso ist die Zero-Trust-Network-Access-Technologie also besser als Firmen-VPNs? Weil jeder davon profitiert: Die Benutzer erhalten eine bessere und die Sicherheitsteams eine leistungsfähigere Authentifizierungsmethode.

Über den Autor

Oliver Kunzmann ist als Sales Engineer bei Avast Business für die Regionen DACH und Niederlande verantwortlich. Vor der Übernahme von AVG durch Avast war er in dieser Position bereits seit 2015 bei AVG aktiv. Zudem leitet der die Unternehmens-Niederlassung in Düsseldorf.

(ID:47443634)