Zero Trust Network Access und Zero-Trust-Segmentierung Zero Trust braucht Mikrosegmentierung

Anbieter zum Thema

TXOne Networks

Specops Software GmbH

Die Bedrohungslage für deutsche Unternehmen nimmt stetig zu. Ziel sollte es daher sein, die IT-Sicherheitsstrategie so schnell wie möglich an die aktuellen Cyberbedrohungen anzupassen. Eine Möglichkeit ist, sich auf den bewährten Zero-Trust-Ansatz zu stützen, der sich immer größerer Beliebtheit erfreut, um Risiken zu verringern und die Resilienz zu erhöhen.

Gut jedes zehnte Unternehmen in Deutschland war 2022 laut einer repräsentativen Ipsos-Umfrage im Auftrag des TÜV-Verbands von einem IT-Sicherheitsvorfall betroffen, also von einem erfolgreichen Cyberangriff oder anderen sicherheitsrelevanten Vorfällen.

Zero Trust Network Access (ZTNA) ist eine Komponente von Zero Trust und hat sich in den letzten Jahren weit verbreitet, um VPN-Risiken zu reduzieren und den Perimeter eines Unternehmens sowie den Nord-Süd-Verkehr zu sichern. ZTNA bietet einen einfachen, aber robusten Mechanismus, mit dem Benutzer auf Anwendungen in der Cloud oder im Rechenzentrum zugreifen können, indem sie auf der Grundlage ihrer Identitäten und Rollen authentifiziert werden. Wenn den Benutzern der Zugriff gewährt wird, erhalten sie im Gegensatz zu einem herkömmlichen VPN nur Zugriff auf die Anwendung, die sie benötigen, und der Zugriff auf das Unternehmensnetzwerk selbst wird verweigert. Dadurch wird die Angriffsfläche für Angriffe auf das Netzwerk an der Peripherie verringert.

Doch das allein reicht nicht aus, um die IT von Unternehmen zu schützen. Es kommt immer noch zu schweren Sicherheitsverletzungen. Denn es gibt drei Bereiche, in denen ZTNA keinen Schutz bietet.

Die Grenzen von ZTNA

Vielen Unternehmen reicht das Sicherheitsniveau von VPNs nicht aus. Sie setzten daher auf ZTNA. Doch schwere Sicherheitsverletzungen geschehen immer noch, denn ZTNA und Identity Governance allein lassen zu viele Sicherheitslücken offen:

• ZTNA sichert zwar den Remote-Zugriff besser als es ein VPN tut, aber wenn sich ein Benutzer bzw. sein Endpunkt im Unternehmensnetzwerk, also z.B. im Büro befindet, greift ZTNA normalerweise nicht. Ist der Endpunkt infiziert, kann sich die Schadsoftware von dort lateral in andere Teile der IT-Landschaft bewegen.

• ZTNA ist nicht in der Lage, das Netzwerk vor Angriffsvektoren zu schützen, die ihren Ursprung innerhalb des Netzwerks haben. Ein gutes Beispiel dafür ist der Cyberangriff auf SolarWinds im Jahr 2020. Cyberangreifern gelang es dabei, Schad-Software in die Software-Updates des IT-Unternehmens SolarWinds einzuschleusen, die von Kunden heruntergeladen wurden. So konnten sich die Angreifer Zugriff auf die IT zahlreicher Behörden, Unternehmen und Organisationen weltweit verschaffen.

• ZTNA verlässt sich bei der Authentifizierung von Benutzern auf Identitätsdienstanbieter (IDPs). Angreifer machen sich dies zunutze, indem sie IDPs fälschen und Multi-Faktor-Authentifizierungen umgehen. So lässt sich ZTNA aushebeln und Angreifer können in die IT von Organisationen eindringen.

Zero-Trust-Segmentierung ergänzt ZTNA und Identity Governance perfekt

Diese Sicherheitslücken sind ein Problem. Um sie zu schließen, sollten Sicherheitsverantwortliche Maßnahmen ergreifen, mit denen sie auch die interne Angriffsfläche reduzieren, damit Angriffe so wenige Ressourcen wie möglich betreffen. Es ist wichtig, einen Zero-Trust-Ansatz einzuführen. Unternehmen, die bereits auf Identity Governance und ZTNA setzen, haben schon zwei der drei wichtigsten Zero Trust Must Haves und brauchen nur noch das dritte Must Have – Zero-Trust-Segmentierung (ZTS) – ergänzen.

Die Zero-Trust-Segmentierung – auch als Mikrosegmentierung bekannt – unterteilt die IT-Landschaft in kleine Segmente. Die Segmente können dabei Regionen, Standorte, Abteilungen, Test- sowie Produktionsumgebungen bis hin zu einzelnen Workloads umfassen. Das kann man sich wie ein gut gesichertes Gebäude vorstellen: Am Eingang (dem Perimeter) patrouilliert das Wachpersonal. Wird das ausgetrickst und die Einbrecher dringen bis in die Eingangshalle ein, kommen sie nicht weiter. Jede einzelne Tür ist aus gehärtetem Stahl, sicher verschlossen und öffnet sich nur für bekannte Personen. Man spricht in dem Zusammenhang auch von „Defense in Depth“.

Diese Aufteilung der IT-Landschaft in Segmente bietet zahlreiche Vorteile, unter anderem werden die oben genannten Sicherheitslücken geschlossen. So lassen sich laterale Bewegungen verhindern. Infizierte Endpunkte oder Sicherheitslücken in einzelnen Applikationen stellen kein großes Risiko mehr dar – die nächste verschlossene Stahltür stoppt den Angriff. Das ist ein wichtiger Aspekt, um beispielsweise Ransomware-Angriffe schnell einzudämmen und zu verhindern, dass aus kleinen Sicherheitsverstößen riesige Cyberkatastrophen werden.

Außerdem sorgt ZTS dafür, dass bei Angriffen die Wiederherstellung schneller möglich ist – auch bei noch laufenden Angriffen. IT-Teams können beispielsweise einen Schutz für einzelne Abteilungen und Systeme einrichten, damit diese ihren Betrieb abgeschirmt von einem Angriff wieder aufnehmen können.

Netzwerksegmentierung so einfach und komfortabel wie nie zuvor

Aufmerksam Lesende werden nun einwenden: Wenn Segmentierung so viele Vorteile bietet, warum sind die Unternehmensnetzwerke weltweit dann noch nicht überall in kleinste Segmente unterteilt? Darauf gibt es viele mögliche Antworten, aber die wahrscheinlichste ist die: Die herkömmlichen Ansätze zur Netzwerksegmentierung – also die netzwerkbasierte und die Firewall-basierte Segmentierung – passen einfach nicht zu den dynamischen und komplexen IT-Infrastrukturen, die seit Jahren bei den meisten Unternehmen vorherrschen.

Netzwerkbasierte und Firewall-basierte Segmentierung sind sehr zeit- und personalaufwendig. Beispielsweise müssen bei der Firewall-basierten Segmentierung die Firewall Rules manuell geschrieben und auf die Firewalls gepusht werden. Das ist komplex und statisch. Zudem birgt dies das Risiko von Downtime wichtiger Applikationen. Denn berücksichtigen bestimmte Regeln nicht bestimmte Datenströme, wird falsch segmentiert. Dann funktionieren wichtige Applikationen und Workloads nicht mehr – ein Alptraum jedes IT-Experten.

Doch diese Zeiten sind vorbei, denn moderne Zero-Trust-Segmentierung funktioniert anders als die netzwerkbasierte oder die Firewall-basierte Segmentierung. Zuerst wird die Lösung für Zero-Trust-Segmentierung ausgerollt. Dabei werden auch oft Agents installiert. Gute Lösungen decken Endpunkte, das Rechenzentrum und die Cloud aus einem Guss ab. Dann analysiert die Lösung beispielsweise den Datenverkehr und stellt ihn graphisch in Form einer übersichtlichen Map dar, die durch Hovern oder Drill Downs weitere Informationen liefert. Diese Visualisierung des gesamten Netzwerkverkehrs liefert allein für sich genommen schon einen erheblichen Mehrwert und sorgt für viele Aha-Erlebnisse.

Schließlich präsentiert die Lösung Vorschläge zur Segmentierung, bzw. die Anwender legen mit Klicks und natürlicher Sprache Policies fest. Diese Policies werden dann von der Lösung in Firewall Rules übersetzt, zu den Agents gepusht und von den Agents in die Firewalls geschrieben. Doch zuvor können die Policies bzw. Regeln in einer Simulation getestet werden. So stellen Anwender sicher, dass die Applikationen und Workloads online bleiben.

Auch spannend: Wenn die Zero-Trust-Segmentierungs­lösung den Datenverkehr (erstmalig) analysiert, erfasst sie auch bestehende Firewall Rules und gibt Hilfestellung zur Verbesserung. Und wenn das Netzwerk geändert wird, werden einfach die Policies angepasst, nicht jede einzelne Firewall Rule.

Das Trio für Zero Trust

Netzwerksegmentierung ist mit modernen Zero-Trust-Segmentierungs­lösungen also erheblich einfacher, schneller und risikoärmer umzusetzen als mit den herkömmlichen Ansätzen. Dennoch sollten Unternehmen nicht davon ausgehen, dass Zero-Trust-Segmentierung nur eine Handvoll Klicks erfordert, und möglichst frühzeitig ihre Segmentierungs-Journey starten. Denn dank des Quantensprungs der Technologie ist die Netzwerksegmentierung für viele Unternehmen nun leichter realisierbar und praktikabler.

Dies geht auch aus dem jüngsten Gartner Market Guide für Mikrosegmentierung hervor, der davon ausgeht, dass bis 2026 60 Prozent der Unternehmen, die auf eine Zero-Trust-Architektur hinarbeiten, Mikrosegmentierung einsetzen werden, im Vergleich zu 5 Prozent aktuell. Auch mittelständische Unternehmen evaluieren Mikrosegmentierungs­lösungen, was eine relativ neue Entwicklung ist, wobei das Interesse aus allen Branchen und Regionen kommt.

Gegen die immer professionelleren Cyberangreifer sowie extrem gefährliche Angriffsmethoden wie Ransomware muss ein höheres Schutzniveau erreicht werden – was sich nur durch eine Zero-Trust-Architektur erreichen lässt. ZTS, ZTNA und Identity Governance sind grundlegende Bausteine für eine Zero-Trust-Architektur. Die Komponenten ergänzen sich gegenseitig – dadurch wird gewährleistet, dass die Sicherheitsmaßnahmen am Perimeter mit den Defense-in-depth-Maßnahmen harmonieren.

Mit Zero Trust verhindern Unternehmen, dass sich Cyberangriffe, die als kleine Sicherheitsverletzungen beginnen, ausbreiten und zu Cyberkatastrophen werden. Somit können Unternehmen ihren Betrieb auch trotz eines Angriffs aufrechterhalten – Stichwort Cyberresilienz – und teure Ausfallzeiten, umfangreiche Datenverluste, Image-Schäden und eventuelle Aktienkursverluste vermeiden.

Über den Autor: Alexander Goller ist Senior Systems Engineer in der DACH-Region bei Illumio und der Ansprechpartner für alle Fragen zur Technik und zum Verständnis der Illumio-Lösungen. Er hat viel Erfahrung im Sicherheitsumfeld, hat als Vertriebsingenieur und Softwareentwickler gearbeitet und kennt die Probleme bei der IT-Sicherheit.

(ID:49750035)