Definition Zero Trust Network Access (ZTNA) Was ist Zero Trust Network Access (ZTNA)?

Zero Trust Network Access ist eine Technologie, die den Remote-Zugriff auf Anwendungen auf Basis des Zero-Trust-Modells ermöglicht. Im Gegensatz zu einem VPN werden nicht Zugänge zu Netzwerken freigeschaltet, sondern dedizierte Verbindungen auf Anwendungsebene realisiert. Ein Broker vermittelt zwischen Client und Anwendung. Er sorgt für die Entkopplung des Anwendungszugriffs von der Netzwerkebene.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Rapid7 Germany

TXOne Networks

Die Abkürzung ZTNA bedeutet Zero Trust Network Access. Sie steht für ein Konzept und eine Technologie, die einen sicheren, auf Applikationsebene steuerbaren Zugriff auf Anwendungen eines Unternehmens oder einer Organisation ermöglicht. Im Gegensatz zu einem Virtual Private Network (VPN) werden keine Tunnel zwischen dem Client-Netzwerk und dem zentralen Unternehmensnetzwerk aufgebaut, sondern dedizierte Applikationsverbindungen hergestellt.

Zentrales Element ist der Software-Defined Perimeter (SDP), der als eine Art Broker zwischen Client und Anwendung auftritt. Er entkoppelt die Zugriffsberechtigungen auf die Applikationen von der Netzwerkebene und arbeitet auf der Basis des Zero-Trust-Modells. Es wird grundsätzlich allen Klienten, Geräten und Anwendungen unabhängig vom Netzwerk misstraut. Alle Dienste und Clients müssen geprüft werden und sich authentifizieren, bevor sie irgendeine Form von Zugriff erhalten. ZTNA erlaubt eine Mikrosegmentierung auf Anwendungsebene und behandelt jede Applikationsverbindung als separate Umgebung. Die Authentifizierung kann abhängig von einer Identität oder gerätebasiert erfolgen. Das Konzept eignet sich gut für Cloud-basierte und hybride Umgebungen, bei denen Anwendungen über eine private oder öffentliche Cloud bereitgestellt werden. Gegenüber dem Internet bleiben die Anwendungen trotz Nutzung öffentlicher Clouds verborgen.

Unterschied zwischen ZTNA und VPN

ZTNA und VPN sind beides Technologien, mit denen sich der sichere Remote-Zugriff auf Anwendungen über Netze wie das Internet herstellen lässt. In ihren Funktionsprinzipien unterscheiden sie sich jedoch grundsätzlich. Bei einem VPN wird ein verschlüsselter Tunnel zwischen dem Netzwerk, in dem sich der Client befindet, und dem Netzwerk mit den Applikationen aufgebaut. Der Client ist netzwerktechnisch über den verschlüsselten Tunnel mit dem Applikations- oder Unternehmensnetz verbunden. Er kann die dort erreichbaren und für ihn auf Netzwerkebene freigeschalteten Ziele wie Anwendungsserver erreichen. Dieses Konzept passt nur noch eingeschränkt zu Cloud-basierten Umgebungen, in denen Anwendungen direkt als Service im Internet bereitgestellt werden. Hier kommt Zero Trust Network Access ins Spiel, bei dem der Anwendungszugriff von der Netzwerkebene entkoppelt ist.

Zero Trust Network Access Funktionsweise

Wichtigster Teil im ZTNA ist der Software-Defined Perimeter (SDP). Es handelt sich um einen selbst oder von einem Anbieter gehosteten Service, der als Makler zwischen Anwendung und Client auftritt. Über den SDP lässt sich eine ausgehende Verbindung von der Anwendung zum Nutzer aufbauen. Nur ein zuvor über den Broker authentifizierter Anwender oder ein authentifiziertes Gerät erhält Zugriff auf einem beim Broker registrierten Dienst. Ist der Zugriff erlaubt, stellt der Broker einen sicheren Verbindungspfad her, ohne dass die Anwendung im Internet sichtbar wird. Der Internetnutzer sieht nicht, welche Anwendungen über das Internet erreichbar sind und über welche IP-Adressen sie angesprochen werden können. Das Zugriffsmodell basiert nicht auf Netzwerkebene, denn der Netzwerkzugang ist vom Applikationszugang isoliert. Es besteht nur Zugang zu einer dedizierten Anwendung und nicht wie bei einem VPN zu einem Netzwerk oder Server. Die Verbindungen zwischen Client und Applikation sind verschlüsselt und für Außenstehende nicht einsehbar.

Anwendungen für Zero Trust Network Access

Mögliche Anwendungen für den Zero Trust Network Access sind:

• sichere Remote-Arbeit unabhängig vom eigenen Standort (Home Office oder mobil)

• sicherer Zugang zu Services in Cloud-basierten und hybriden Umgebungen

• sicherer Zugang zu Multi-Cloud-Umgebungen

• Alternative zum Remote Access per VPN

• Zugriffskontrolle auf Applikationsebene

(ID:46834914)