Die Zukunft der Netzwerksicherheit heißt Zero Trust Network Access ZTNA für hybride Umgebungen erfolgreich umsetzen

Anbieter zum Thema

Versa Networks

Dell GmbH

Fujitsu Technology Solutions GmbH

TXOne Networks

Das Sicherheitsmodell der Zukunft heißt Zero Trust und basiert auf der Annahme, dass kein Benutzer, kein Gerät und keine Anwendung standardmäßig vertrauenswürdig ist. Vor allem Cloud-basierte ZTNA-Lösungen haben sich hier als wertvoll erwiesen, um Netzwerk-Zugänge zu authentifizieren. Dies gelingt allerdings nur zum Teil, denn viele ZTNA-Lösungen sichern vor allem Mitarbeiter an entfernten Standorten ab – nicht aber die Belegschaft vor Ort. In Zeiten hybrider Arbeitsmodelle ein großes Risiko!

Immer mehr Unternehmen sichern ihre IT gemäß dem Security-Motto „Vertraue nie, prüfe stets“. Nach den Zahlen des Okta-Reports The State of Zero Trust Security 2022 [Registrierung erforderlich] haben 55 Prozent der Unternehmen bereits eine Zero-Trust-Initiative eingeführt, und 97 Prozent planen, in den kommenden 12 bis 18 Monaten eine solche zu starten. Dabei setzen viele von ihnen auf Zero-Trust-Network-Access (ZTNA), ein Sicherheitskonzept, das dezidierte sichere Verbindungen zwischen autorisierten Nutzern und bestimmten Anwendungen vermittelt und kontextbasierte Zugriffe gewährt, anstatt Tunnel zwischen dem Client- und dem Unternehmensnetzwerk aufzubauen.

Vor allem im Rahmen des Remote-Work-Booms während der Pandemie ist ZTNA für Unternehmen immer attraktiver geworden, hat es ihnen doch eine sichere Alternative zum klassischen VPN geboten. Und so soll laut dem Gartner Market Guide for ZTNA [Registrierung erforderlich] bereits im Jahr 2025 die Abwicklung von mindestens 70 Prozent aller neuen Remote-Zugriff-Bereitstellungen mehrheitlich über ZTNA anstatt wie bisher über VPN erfolgen.

Hybride Arbeit – die Lücke in vielen Zero-Trust-Strategien

Doch auch nach dem Ende der flächendeckenden Homeoffice-Pflicht ist Zero Trust und speziell ZTNA für Unternehmen wichtiger denn je. Denn die Pandemie hat den Wandel der Arbeitswelt hin zu flexiblen Beschäftigungsmodellen nachhaltig beschleunigt. So möchte der Großteil der Mitarbeitenden in Deutschland auch langfristig nicht mehr auf Homeoffice-Möglichkeiten verzichten. Wie eine Befragung des Branchenverbandes Bitkom zeigt, bevorzugen neun von zehn Beschäftigen fortan eine Mischung aus Home-Office und Büro.

Für die IT-Sicherheit sind diese hybriden Arbeitsmodelle jedoch eine Herausforderung. Das Problem: Die meisten Zero-Trust-Access-Lösungen werden heutzutage in der Cloud bereitgestellt und sind so konzipiert, dass sie zwar Remote-Mitarbeitende absichern, sich aber automatisch deaktivieren, sobald der Benutzer in der vermeintlich sichereren Büroumgebung arbeitet. Hier greifen dann die bestehenden, Perimeter-basierten Sicherheitsansätze, die der heutigen Bedrohungslandschaft jedoch längst nicht mehr gerecht werden und ein Ungleichgewicht zwischen Remote- und Onsite-Security verursachen.

Denn in Campusnetzwerken wird diese traditionelle Perimeter-Sicherheit in der Regel durch herkömmliche Network-Access-Control- (NAC), 802.1X- und VLAN-Produkte bereitgestellt, die davon ausgehen, dass Benutzern und Geräten innerhalb der geschützten Unternehmensumgebung grundsätzlich vertraut werden kann. Dies ist fatal, denn grundsätzlich ist es nicht unmöglich, dass auch kompromittierte Geräte oder bösartige Akteure in das Netzwerk gelangen. Einmal als vertrauenswürdig eingestuft, sind sie dann in der Lage, sich lateral im Netzwerk zu bewegen, Daten zu stehlen oder Ransomware auszuführen. Wollen Unternehmen diese Risiken eliminieren, müssen sie davon ausgehen, dass Sicherheitsverletzungen im Netzwerk entweder bereits stattgefunden haben (Assume-Breach-Ansatz) oder es nur eine Frage der Zeit ist, bis sie stattfinden.

Folgt man dieser Annahme, ist es unerlässlich, den ZTNA-Ansatz auch onsite, d.h. in Campus- und Zweigstellenumgebungen, anzuwenden und Netzwerkzugänge gemäß der Kernprinzipien von Zero Trust zu managen, einzuschränken (Least Privilege) und zu überwachen.

Warum ZTNA aus der Cloud vor Ort Probleme macht

Ein Blick auf die gängigen ZTNA-Lösungen zeigt, dass der Großteil von ihnen zwar die Arbeit an entfernten Standorten wie dem Homeoffice effektiv schützen, die Sicherheit der Onsite-Mitarbeitenden jedoch meist außen vor lassen. Wollen Sicherheitsverantwortliche Zero-Trust-Services aus der Cloud in integrierter Form im gesamten Unternehmen, d.h. sowohl für Remote- als auch für vor-Ort-Benutzer verwirklichen, stoßen sie meist auf folgende Probleme und Herausforderungen:

• Inline-Inspektion: die Inline-Inspektion von Malware oder Inhalten in der Cloud ist langsam und teuer

• Hairpinning (oder Tromboning): Verkehrsströme müssen in die Cloud gehen und vor Ort wieder zurückkommen

• User-to-Application-Performance: Eine in der Cloud bereitgestellte ZTNA-Lösung, die onsite verwendet wird, kann zu erheblichen Latenzzeiten bei privaten Anwendungen führen

• Lokaler Ressourcenzugriff: Headless-Geräte im lokalen Netzwerk, wie Drucker und IP-Telefone, sind schwer zu erreichen

• Sicherheit von OT- und IoT-Geräten: Diese Geräte können grundsätzlich keinen Zero-Trust-Client hosten, was eine Teilnahme an einem Zero-Trust-Modell für Campus- oder Niederlassungsumgebungen erschwert

• Der Ersatz alter Sicherheitslösungen: Ohne die Möglichkeit, den Inline-Netzwerkverkehr vor Ort zu sehen, können Zero-Trust-Lösungen alte Sicherheitssysteme nicht vollständig ersetzen

Anforderungen an eine universelle Zero-Trust-Strategie

Trotz dieser vielfältigen Herausforderungen sollten sich IT- und Sicherheitsverantwortliche nicht entmutigen lassen, denn grundsätzlich ist es möglich, eine ganzheitliche Zero-Trust-Strategie umsetzen. Hierzu müssen jedoch folgende Voraussetzungen erfüllt sein.

• Der ZTNA muss auf sämtliche Benutzer ausgeweitet werden und zudem auch OT- und IoT-Geräte abdecken. Zudem muss ein breites Spektrum von Onsite-Anwendungsfällen, einschließlich ZTNA für nicht verwaltete Geräte, BYOD, Auftragnehmer und Zugriffsszenarien von Drittanbietern unterstützt werden.

• Um eine akzeptable User-to-Application-Performance bieten zu können, ist es unerlässlich, dass ZTNA inline im Netzwerk bereitgestellt wird.

• Es sollte ein Support für Client- und Client-lose Zugangsanforderungen sichergestellt werden.

• Integrationen mit Identitäts- und Zugriffsmanagement-Lösungen (IAM), einschließlich Active Directory, sowie von AI/ML-basierter Verhaltensanalyse und Anomalie-Erkennung für Benutzer und Geräte sind nötig, um die Sicherheit zu erhöhen.

• Sämtliche ZTNA-Richtlinien müssen über ein einziges Fenster und ein einziges Richtlinien-Repository verwaltet werden.

• Wird ZTNA in breitere SSE- (für Internet-/SaaS-Sicherheit) und SASE-Plattformen (für WAN-Edge-Optimierung) unter einer einzigen Oberfläche integriert, optimiert dies die Benutzerfreundlichkeit und Sicherheit.

Fazit

ZTNA ist nicht nur für die Absicherung von Remote-Work ideal, sondern eignet sich grundsätzlich für alle hybriden Umgebungen, bei denen Anwendungen über die Cloud bereitgestellt werden, sofern die Infrastrukturen die entsprechenden Voraussetzungen erfüllen.

Über den Autor

Pantelis Astenburg ist Vice President DACH bei Versa Networks. https://versa-networks.com/de/

(ID:49532071)