Das Zero-Trust-Modell

Das Zero-Trust-Modell (engl. Zero-Trust-Networking/ZTN) wird für die IT-Sicherheit genutzt und beruht auf dem Reglement, dass keinem Gerät, Nutzer oder Dienst innerhalb und außerhalb eines Netzwerks vertraut werden darf. Dieses Modell wurde durch John Kindervag im Jahre 2010 erstmalig genutzt. Allerdings zunächst mehr auf der Anwendungsebene als auf der Netzwerkebene.

Von Redaktion am 13.07.2020

Bild-Quelle: Apple

Um dieses Modell zu nutzen, müssen umfangreiche Maßnahmen ergriffen werden. Dies beinhaltet vor allem eine Authentifizierung jeglicher Dienste und Nutzer. Außerdem muss der Netzwerkverkehr regelmäßig geprüft werden.

Wo wird das Zero-Trust-Networking-Modell genutzt und was spricht für oder gegen eine Nutzung?
Da das Ziel dieses Modells ist, besonders hohe Sicherheitsstandards zu gewährleisten, wird es vor allem in großen Firmennetzwerken genutzt. Im besten Falle sollte es eigentlich in jedem Netzwerk verwendet werden, um die Risiken zu minimieren.

Was für Vorteile bringt das Zero-Trust-Modell?
Der größte Vorteil des Modells ist, das Risiko für ein Firmennetzwerk zu minimieren. Dabei sollen nicht nur externen Gefahren, sondern auch interne Bedrohungen möglichst ausgeschlossen oder vorher identifiziert werden. Zero-Trust-Networking widerspricht also den allgemein verwendeten Konzepten, die nur externe Gefahren kennen und kontrollieren. Diese Sicherheitskonzepte nehmen an, dass interne Anwendungen frei von Gefahrenpotenzialen sind. Dies ist vor allem problematisch, wenn sich jemand oder eine Anwendung schon im Firmennetzwerk befindet. Dann gibt es meist wenige Vorkehrungen, die ein bedrohliches Verhalten noch aufhalten können.
Das Reglement niemanden zu vertrauen, führt hingegen dazu, dass jeder Datenverkehr verschlüsselt sein muss und jede Anwendung sowie jeder Anwender authentifiziert werden.

Was sind die Nachteile eines solchen Modells?
Um gewährleisten zu können, dass alles authentifiziert wird und geprüft wird, ist ein erheblicher Aufwand notwendig. Da alles, was mit der IT in Kontakt kommt, durch die Authentifizierung laufen muss, müssen viele Vorkehrungen getroffen und installiert werden. Dies gilt beispielsweise durch das Implementieren einiger VLANs. Sogenannte Virtual Local Area Networks sorgen dafür ein Netzwerk in kleinere Segmente zu unterteilen. Die VLANs sind logische Teilnetze eines größeren Netzwerks.

Warum wurde Zero-Trust-Networking eingeführt?
Das Modell wurde eingeführt, da mittlerweile die Grenzen zwischen „extern“ und „intern“ immer mehr miteinander verschmelzen. Es ist schwierig die Bereiche der IT-Systeme in einer der beiden Kategorien einzuordnen. Da sich Mitarbeiter einer Firma auch mal mit dem Gerät außerhalb des Firmennetzwerks befinden, kann es unsicher sein, wenn man sich nicht an das Zero-Trust-Modell wendet. Die Kontrolle der Mitarbeiter und ihrer Geräte ist zu schwierig und zu risikoreich, wenn man bedenkt, was alles auf dem Spiel steht.

Darüber hinaus greifen immer mehr Firmen auf Unmengen an APIs zurück, die es zudem erschweren den Mitarbeitern einen vertrauensvollen Umgang mit den Firmengeräten zuzutrauen.

Immer mehr Sicherheitsexperten beschäftigen sich nun mit dieser Methode. Da die Sicherheitslage der IT immer komplizierter wird, erscheint es auch als sehr ratsam. Geschützt werden sensible und kritische Daten, indem alle Anwender, Anwendungen und Geräte mit der gleichen Sorgsamkeit und Vorsicht behandelt werden.

Wie kann das Modell umgesetzt werden?
Um die Zero-Trust-Methode in einer Firma einzubauen, müssen viele Schritte gemacht werden. Dazu sollte erstens herausgefunden, werden was und weshalb etwas geschützt werden soll. Zudem muss klar sein, wo sich die Informationen befinden. Danach müssen alle Informationen überprüft werden, damit potentielle Gefahren sofort ermittelt werden können.
Nun müssen die Daten noch verschlüsselt werden. Es können zudem folgende Werkzeuge eingesetzt werden: Device Control, Application Control mit Whitelisting und Identity & Access Management.

Löst das Zero-Trust-Networking-Modell das Konzept des VPN ab?
Das virtuelle private Netzwerk, kurz VPN, entstand schon viel früher. Damals konnten die Grenzen zwischen „extern“ und „intern“ noch viel klarer gezogen werden. So konnte dann davon ausgegangen werden, dass alle externen Anwender nicht vertrauenswürdig sind, alle internen jedoch vertrauensvoll.

Ein VPN ist ein in sich geschlossenes Kommunikationsnetzwerk, welches als Transportmedium genutzt wird. Es wird demnach verwendet um aus einem bestehenden Kommunikationsnetz an ein anderes Netz anknüpfen zu können.

In der Arbeitswelt wird ein VPN dann benutzt, wenn Mitarbeiter von zu Hause aus arbeiten. so entsteht eine Art Verlängerungskabel mit dem der Computer aus dem Heim mit dem Firmennetzwerk verbindet. Der Computer ist in dem Moment der sogenannte VPN-Partner und das Netzwerk das VPN-Gateway. Hier wird erklärt, was ein VPN ist.

Mittlerweile stellt das Konzept des VPN eine Problematik dar, die es nun nicht mehr zu einer guten Lösung macht. Das Sicherheitsbedürfnis der Firmen wächst und ein VPN könnte zu einem Risiko werden. Um diese Risiken zu meiden, wurde eine Zero-Trust-Network-Access, abgekürzt mit ZTNA, Technologie entworfen. Sie stellt die neue Alternative zum klassischen VPN dar. Es funktioniert so, dass der ZTNA-Service jede Anwendung identifiziert. Eine vorher definierte Sicherheitslinie des Unternehmens kann dann entsprechend angewendet werden. Diese entscheidet über einen Zugriff.

Tags: Serie