Durchstarten mit Zero Trust Network Access Vier-Punkte-Plan zur Einführung von ZTNA

Die Zeiten des reinen Perimeterschutzes für On-Site-Accounts sind mittlerweile vorbei: Remote Work ist das New Normal. Entsprechend schwer ist es für Unternehmen, ihre Mitarbeitenden und das Firmennetz zu schützen. Zero Trust Network Access (ZTNA) ist eine praktikable und sinnvolle Lösung – die Implementierung allerdings nicht trivial.

Unternehmen sind heute sehr gut geschützt, wenn die Mitarbeitenden „on site“ sind. Die Firewall und das ganze Sicherheits-Setup sind darauf ausgelegt, das Unternehmen bestmöglich gegen Bedrohungen von außen – und innen – abzuschirmen. Jedoch haben die Pandemie und die New-Work-Bewegung die Parameter für immer verändert, denn Homeoffice und Remote Work sind heute vielerorts zum Standard geworden. Arbeitet das Personal remote, sind nach wie vor in der Regel traditionelle VPN-Lösungen im Einsatz. Allerdings sind aus Komplexitäts- und teilweise Lizenzgründen die möglichen Zugangseinschränkungen limitiert, das heißt eine feingranulare und rollenbasierte Zugriffskontrolle ist entweder nicht möglich oder findet des Aufwands wegen nicht statt. Das höchste der Gefühle ist oft, dass einzelne Abteilungen spezielle Zugriffsrechte erhalten, allerdings nicht die User im Einzelnen. Das heißt im Klartext: Wenn der Mitarbeitende sich remote ins Unternehmensnetzwerk über ein VPN anmeldet, hat er mitunter mehr Rechte und Zugriffsmöglichkeiten, als wenn er „on site“ ist.

Hinzu kommt, dass die Mitarbeitenden, die von daheim oder unterwegs aus auf das Firmennetz zugreifen, mit ihren Geräten – egal ob es Managed Devices vom Unternehmen oder private Rechner (Stichwort: Bring your own Device) sind – viel zu oft noch frei im Internet unterwegs sein können. Das liegt daran, dass Firmen ihr Web Gateway nur on-site und nicht auf jedem einzelnen Remote-Gerät in Betrieb haben. Das stellt ein extrem großes Sicherheitsrisiko dar, insbesondere in Verbindung mit uneingeschränkten Zugriffsrechten via VPN. So geht von Hackern, die sich erfolgreich Zugang zu einem Account eines Remote Users verschaffen, deutlich mehr Schadenspotenzial aus als das bei einem On-Site-User der Fall wäre.

Security-Insider Podcast – Folge 98

Wo Daten lagern, lauern Risiken!

Never trust, always verfiy

Das Information-Security-Modell „Zero Trust“ ist die moderne und sinnvollere Herangehensweise, wenn es um den Schutz des Unternehmens­netzwerks bis an den Edge, also zum Remote User geht. Es folgt dem Prinzip „Never trust, always verify“, dem zugrunde liegt, dass denkbar jeder Account, der auf das Firmennetz zugreift, ein potenzieller Gefahrenherd ist. Daher erhalten die User Accounts nicht nur sehr eingeschränkte Rechte im Netzwerk und können auf wenige Systeme zugreifen, sondern jede Verbindung wird aufs Neue geprüft, ob sie den geltenden Policies entspricht und ob es sich wirklich um den Angestellten oder die Angestellte handelt. Dafür kommt unter anderem auch Multi-Faktor-Authentifizierung zum Einsatz. Was auf den ersten Blick vielleicht gar empörend klingt, ergibt durchaus Sinn, wenn man die möglichen Folgen einer erfolgreichen Hackerattacke denkt, durch die der Angreifer uneingeschränkt im Unternehmensnetzwerk schalten und walten kann – und an die Bußgelder in Millionenhöhe, die NIS-2, DORA, die DSGVO und ähnliche Regularien und Gesetze nach sich ziehen.

Ein weiterer Aspekt des Zero-Trust-Ansatzes ist, dass Unternehmen ihre Netzwerke sehr stark segmentieren. Durch die Einteilung des Netzwerkes in verschiedene Teilbereiche, auf die nur bestimmte Personengruppen (teils ausschließlich Administratoren, wenn es sich um hochkritische Bereiche der IT-Infrastruktur handelt) Zugriff haben, gerät ein Cyberkrimineller schnell an seine Grenzen. Das entspricht der Idee von Zero Trust, eine möglichst geringe Angriffsfläche zu bieten – im besten Fall müssen Admins nach einer erfolgreichen Attacke lediglich ein System isolieren, säubern, die Sicherheit wieder herstellen und dann erneut hochfahren, anstatt die gesamte IT-Infrastruktur des Unternehmens vom Netz zu nehmen und neu aufzusetzen.

Ethische und datenschutzrechtliche Erwägungen beim KI-Einsatz

Vertrauen in KI oder Zero-Trust?

Die Zero Trust Journey beginnt

Einen solchen Sicherheits­perimeter bis zum Edge aufzubauen, ist kein Tagesprojekt, sondern eine lange Reise. Es ist daher nicht sinnvoll, zu viele Baustellen auf einmal angehen zu wollen. Die bessere Variante ist ein Step-by-Step-Ansatz, also die schrittweise Einführung einer solchen Sicherheitsinfrastruktur nach Zero-Trust-Prinzip. Die Einrichtung eines Zero Trust Network Access (ZTNA) ist in diesem Zusammenhang ein wichtiger erster Schritt. Der Name ist jedoch ein wenig irreführend, denn eigentlich geht es dabei nicht darum, einen Netzwerkzugriff zu gewähren, sondern den Mitarbeitenden Zugang zu einzelnen Applikationen und Systemen (Segmenten) zu geben. Dieser Schritt ist unter den richtigen Voraussetzungen relativ schnell erledigt. Unternehmen müssen dafür im Vorfeld vor allem die User gut orchestrieren können, sprich: Sie müssen klar erkennen können, welcher Account zu welcher Abteilung gehört, welche Aufgaben der Mitarbeitende hat und auf welche Applikationen und Systeme er für deren Erfüllung Zugriff benötigt.

Unternehmen müssen, das ist wohl die größte Herausforderung, grundsätzlich ihr Mindset ändern. Es ist nämlich nicht trivial, von „Netzwerkzugang“ auf „Applikationszugang“ umzudenken. Da das Access Management in der Verantwortung des Security-Teams und nicht zuletzt des Chief Information Security Officers (CISO) liegt, muss die Einführung von Zero Trust und die Implementierung eines ZTNA auch von ihnen vorangetrieben werden. Da es dann Netzwerklösungen wie VPN ablöst, entlastet diese Maßnahme auch Netzwerk-Teams. Ein gutes Beispiel für die Wichtigkeit von ZTNA sind Fertigungsanlagen der Industrie. Es gab eine Zeit, da waren IT und OT (Operational Technolgy)-Systeme strikt voneinander getrennt. Durch das Internet of Things (IoT) und die immer größere Konvergenz dieser Technologiebereiche kann es sein, dass bei einem klassischen VPN-basierten System plötzlich Buchhalter Zugriff auf kritische Industrieanlagen erhalten. Nicht auszudenken ist, welchen Schaden Hacker mit einem Zugriff auf Fertigungsstraßen und der Manipulation von Daten anrichten könnten.

Neues eBook „Zero Trust Modelle für die hybride Arbeitswelt“

Das richtige Vertrauen an jedem Standort

Ein Vier-Punkte-Plan zur Einführung von ZTNA

Unternehmen sollten zunächst einfach von einem Technologiewechsel ausgehen und von traditionellem VPN zu ZTNA umstellen, ohne jedoch die Policy anzuzweifeln, dass es sich um einen Netzwerkzugang handelt. Dabei geht es vor allem darum, sich nicht zu überheben, denn schon ein reiner Technologiewechsel birgt genug Komplexität und Probleme. Gleichzeitig muss eine Evaluierung stattfinden, welche Applikationen und Systeme im Einsatz sind und welche User welche Zugänge benötigen. Im zweiten Schritt können Unternehmen dann das Mindset aufbauen, von einem netzwerkbasierten zu einem applikationsbasierten Ansatz zu wechseln und mit der praktischen Umsetzung beginnen. An dieser Stelle sollten Unternehmen vor allem den Zugriff auf kritische Applikationen und Systeme (etwa OT-Systeme oder Mainframes) priorisieren. Dieser zweite Schritt allein kann schon, je nach Unternehmensgröße und Netzwerkinfrastruktur, ein Projekt für sechs bis zwölf Monate sein.

In dieser zweiten Phase sollten Organisationen auch schon über die Implementierung eines Secure Web Gateway (SWG) nachdenken, dessen Inbetriebnahme dann im dritten Schritt folgt. Natürlich muss das SWG dann auf jedem Endgerät, über das auf das Firmennetz oder die Unternehmensapplikationen zugegriffen wird, vorhanden sein, um den Internetzugriff der User zu regulieren und sie wie auch das Unternehmen zu schützen. Der finale Schritt – der auch wirklich erst ganz am Ende der Reise stehen sollte – ist die Umstellung auf einen sogenannten Universal ZTNA. Gemeint ist, dass für jeden User, egal wo und wie er arbeitet, eine einzige Policy mit seinen Zugriffsrechten angewandt wird. Ohne Universal ZTNA würden Mitarbeitende bei Remote Zugriff nach ZTNA-Richtlinien behandelt, sobald sie aber im Büro sind würden wieder die klassischen Schutzmechanismen greifen. Für die Security- und Netzwerkteams ist diese Zweiteilung eine doppelte Belastung, zu der ein Universal ZTNA die bessere Alternative darstellt.

Gesundes Misstrauen ist Pflicht

Zero Trust für ERP-Systeme?

Langfristige Evaluierung bei der Wahl der ZTNA-Lösung

Um ZTNA wirklich umzusetzen, bedarf es selbstverständlich einer entsprechenden Software-Lösung. Dabei ergibt es durchaus Sinn, ein wenig weiter in die Zukunft zu denken, denn kurzfristige Entscheidungen können langfristig zu Problemen führen. Wer beispielsweise eine reine ZTNA-Lösung einkauft, der wird dann bei der Implementierung eines SWG schon einen zweiten Agenten auf seinen Systemen haben – die nicht zwingend kompatibel sind. Besser ist daher, sich eine holistische Lösung zu suchen, die möglichst viele Bereiche des SASE (Secure Access Service Edge)-Spektrums abdeckt. Das bedeutet nicht, dass das Unternehmen direkt alle Sicherheitsansätze umsetzen und implementieren muss, es erleichtert diese Vorgänge in Zukunft aber erheblich.

Zu guter Letzt ergibt es für viele Unternehmen natürlich Sinn, externe Service-Anbieter als Unterstützung für die Zero Trust Journey an Bord zu holen. Sie beschleunigen solche Transformationen durch ihre Erfahrung immens und verringern somit die Komplexität sowie die Arbeitslast für die Belegschaft. Unternehmen sollten allerdings darauf achten, dass diese Dienstleister auch eine eigene holistische SASE-Lösung im Angebot haben, da gerade im Security-Bereich die technische Vertrautheit mit der einzusetzenden Software von höchster Wichtigkeit ist. Und auch in diesem Zusammenhang gilt, dass gute Vorbereitung und eine klare Vorstellung der eigenen Ansprüche und Prioritäten die Arbeit aller Beteiligten erheblich erleichtert. Sind diese Voraussetzungen erfüllt, das Mindset und die Mitarbeitenden auf die Reise eingestellt sowie ein Step-by-Step-Ansatz akzeptiert steht der erfolgreichen Einführung eines Universal ZTNA und später einer vollständigen Zero-Trust-Architektur nichts mehr im Wege.

Über den Autor:Stefan Keller ist Chief Product Officer bei Open Systems.

(ID:50399610)