gesponsertIdentitätssicherheit als Vertrauensanker Kein falsches Vertrauen in Zero Trust

Gesponsert von

Specops Software GmbH

Zero Trust gilt als Security-Modell der Zukunft. Doch man sollte sich bei Zero Trust nicht in Scheinsicherheit wiegen. Die digitalen Identitäten sind der Vertrauensanker. Nur wenn die Identitäten sicher sind und die Berechtigungen auf Basis einer zuverlässigen Authentifizierung erteilt werden, kann Zero Trust gelingen. Gerade die Passwortsicherheit spielt hier eine zentrale Rolle.

Die Security für das neue Arbeiten

Studien des Digitalverbands Bitkom bestätigen, dass hybride Arbeitsmodelle als Mischung aus Büroarbeit, mobiler Arbeit und klassischer Büroarbeit eher das New Normal als die Ausnahme sein werden. So möchten neun von zehn Erwerbstätigen (88 Prozent) nach der Pandemie zumindest teilweise im Homeoffice arbeiten, acht von zehn (80 Prozent) an einem festen Arbeitsplatz in einem Einzelbüro. Allgemein sollte mobiles Arbeiten in Deutschland nach Ansicht der großen Mehrheit (71 Prozent) viel stärker genutzt werden.

Dieses neue, flexible und standortunabhängige Arbeiten bleibt aber nicht ohne Folgen für die Security. Klassische IT-Sicherheitsmodelle, die die Bedrohungen von extern kommen sahen und die Datenzugriffe innerhalb des eigenen Netzwerkes als eher unkritisch betrachteten, haben ausgedient. Als Security-Modell der Zukunft gilt Zero Trust.

Zero Trust: Vertrauen will verdient sein

Die Idee hinter Zero Trust ist, dass man niemanden ein Anfangsvertrauen schenkt, keiner Person, keinem Standort, keinem Gerät und keinem Netzwerk. Es müssen immer die bestehenden Risiken bestimmt werden, ob es interne oder externe Nutzende sind, betriebseigene oder fremde Geräte, interne oder externe Netze.

Abhängig von dem Risiko werden dann die Berechtigungen erteilt, Zugriffe gestattet oder verwehrt. Doch ohne jeden Vertrauensanker kommt auch ein Zero Trust Konzept nicht aus. Wenn sich eine Person mit ihrer digitalen Identität als Beschäftigte oder Beschäftigter legitimiert, erhält sie oder er bestimmte Berechtigungen. Die digitale Identität ist der neue Sicherheitsperimeter bei Zero Trust, die Identitätssicherheit ist das Rückgrat von Zero Trust.

Identitätssicherheit entscheidet über Zero-Trust-Erfolg

Wenn die digitalen Identitäten nicht sicher sind, wankt der Vertrauensanker, und Zero Trust kann nicht die gewünschte standort- und geräteunabhängige Sicherheit bringen. Das zeigt sich zum Beispiel am Service Desk eines Unternehmens.

Man stelle sich vor, eine Nutzerin oder ein Nutzer im Homeoffice ruft den Service Desk an und bittet um Hilfe bei dem Zurücksetzen eines Passwortes. Wenn es sich bei dem Anruf aber um eine Social-Engineering-Attacke handelt und der Service Desk für einen Angreifenden mit gefälschter Identität das Passwort zurücksetzt, kann der Angreifer oder die Angreiferin die Identität eines Beschäftigten übernehmen. Damit ist die Identität als Vertrauensanker verloren.

Anders sieht es aus, wenn das Zurücksetzen der Passwörter mit einer Lösung wie Specops Secure Service Desk erfolgt.

Specops Secure Service Desk ermöglicht es Organisationen über MFA (Mehr-Faktor-Authentifizierung), eine sichere Benutzerverifizierung durch Service Desk Mitarbeitende zu gewährleisten. Der Helpdesk ist mit Specops Secure Service Desk in der Lage, Benutzer zweifelsfrei zu identifizieren. Bereits bestehende Identitätsdienste, wie zum Beispiel Duo Security, Okta Verify, PingID oder Symantec VIP können zusammen mit Secure Service Desk benutzt werden, um Anrufende zu verifizieren. Zudem können Textnachrichten mit einem Einmalcode an die mit dem Benutzerkonto verknüpfte Mobilfunknummer gesendet werden.

Auf die Passwortsicherheit kommt es an

Ein weiterer Punkt, der die Bedeutung der Sicherheit der Identitäten und Identitätsnachweise unterstreicht: Zero Trust sieht vor, dass die Sicherheitsfaktoren, die Nutzende erbringen müssen, um ihre Identität zu bestätigen, von dem aktuellen Risiko abhängen, die Authentifizierung ist adaptiv und risikoabhängig.

Verlangt Zero Trust nur einen Sicherheitsfaktor, ist dies in aller Regel ein Passwort. Nimmt Zero Trust ein geringes Risiko an und ist das Passwort aber nicht stark genug, haben Angreifende ein leichtes Spiel und könnten sich mit gestohlenen Passwörtern nun Zugang verschaffen.

Leider glauben viele Unternehmen und Beschäftigte, dass sie starke Passwörter verwenden und verkennen das Risiko, das Zero Trust unterlaufen werden könnte. So hat das Forschungsteam von Specops Software eine Analyse kompromittierter Passwörter durchgeführt, zu Passwörtern, die in geleakten Passwortdatensätzen gefunden wurden, die andernfalls regulatorische Standards technisch erfüllen würden.

Laut der Untersuchung würden bis zu 83 Prozent der Passwörter, die in Datenbanken mit kompromittierten Passwörtern erscheinen, die Passwortstandards erfüllen. Das Team verglich dazu die Konstruktionsregeln von fünf verschiedenen Passwortstandards mit einem Datensatz von 800 Millionen kompromittierten Passwörtern.

„Was uns diese Daten wirklich sagen, ist, dass es einen sehr guten Grund gibt, warum einige regulatorische Empfehlungen jetzt eine Prüfung auf kompromittierte Passwörter beinhalten“, sagte Darren James, Produktspezialist bei Specops Software. „Komplexität und andere Regeln können helfen, aber das konformste Passwort der Welt trägt nichts zum Schutz Ihres Netzwerks bei, wenn es auf der Liste der kompromittierten Passwörter eines Hackers steht.“

Passwörter, die eigentlich den behördlichen Empfehlungen entsprechen würden, die aber in Listen mit kompromittierten Passwörtern gefunden werden, sollten nicht ignoriert werden. Sie könnten zum Schlupfloch bei Zero Trust werden.

So hilft Specops Password Policy

Mit Specops Password Policy und Breached Password Protection können Unternehmen über zwei Milliarden kompromittierte Passwörter in Active Directory blockieren. Dadurch verhindern sie, dass über kompromittierte Passwörter und unsichere Identitäten der Vertrauensanker von Zero Trust untergraben wird. Erst sichere Identitäten, zuverlässige Authentifizierungen und starke Passwörter machen Zero Trust zu einem Erfolgsmodell.

(ID:48571117)