Zero-Trust-Architektur: eine Einführung
Cloud-Anwendungen, smarte Geräte und das Internet of Things (IoT) ermöglichen es, dass man von überall auf seine Daten und Geräte zugreifen kann. Das nutzen auch Unternehmen und Industrie. Neben großen Vorteilen bringt das auch enorme Risiken mit sich und erfordert deshalb, dass Unternehmen ihre Sicherheitskonzepte überdenken müssen. Hier kommt die Zero-Trust-Architektur (ZTA) ins Spiel.
Was ist die Zero-Trust-Architektur?
Bei Zero Trust handelt es sich um ein grundlegendes Architekturprinzip, das Unternehmen, Organisationen und Behörden zur Sicherung ihrer Netzwerkarchitektur implementieren. Die Zero-Trust-Architektur leitet somit einen Paradigmenwechsel in der Netzwerksicherheit ein. Sie basiert auf dem „Least Privileges“-Prinzip für alle Nutzer im Netzwerk, d.h. jeder Client, egal ob Mensch, Maschine oder Systeme, erhält nur die nötigsten Rechte, um seine Aufgaben auszuführen.
Mit der ZTA wird grundsätzlich niemandem vertraut, egal ob inner- oder außerhalb des eigenen Netzwerks. Jeder Client, der Zugriff auf das Netzwerk, Anwendungen oder Daten haben möchte, muss sich verlässlich authentisieren und autorisiert werden, damit Vertrauen aufgebaut und Zugriff gewährt werden kann.
Vom Perimeterschutz zu Zero Trust
Ältere Sicherheitskonzepte beruhten auf dem Prinzip „innen hui, außen pfui“: Also alles was innerhalb des eigenen Netzes vorhanden ist, ist vertrauenswürdig, alles außerhalb ist potenziell schädlich und erhält keinen Zugriff. Der Netzwerkperimeter wird durch Hardware, z.B. Firewalls, geschützt. Doch dieses implizierte Vertrauen hat auch seine Schattenseiten: Haben sich Angreifer erst einmal in das interne Netzwerk eingeschlichen, können sie sich – oft unbemerkt – fortbewegen und Daten abgreifen (z.B. durch Lateral Movement).
Auch die stetig wachsende globale Vernetzung und die ebenso steigende Anzahl an mobilen Arbeitsplätzen bringt diese Sicherheitskonzepte an ihre Grenzen. Denn die Schutzmauer, die um das interne Netzwerk gezogen wird, fällt durch den Einsatz von Cloud-Computing weg. Vieles ist von überall erreichbar und das Unternehmen hat keinen Einfluss auf die Sicherheit der Cloud-Anwendungen, da diese von den externen Anbietern betreut und verwaltet werden.
Mit der ZTA wandert der Fokus vom Schutz der eigenen Netzwerke und -segmente zum Schutz der einzelnen Ressource (z.B. Daten, Anwendungen, Systeme, etc.).
Whitepaper
»Sichere Maschinenidentitäten für IoT und OT«
Public-Key-Infrastrukturen (PKI) leisten einen entscheidenden Beitrag für die Sicherheit von Non-Human Identities, indem sie eine Zertifikatsverwaltung zur Authentifizierung und Verschlüsselung der Kommunikation zwischen Maschinen, Anwendungen und Diensten bereitstellen.
In unserem Whitepaper erfahren Sie alles über automatisierte Zertifikatsverwaltung, Schlüsselspeicherung und Schnittstellen für die IoT- & OT-Kompatibilität.
Die Grundsätze von Zero Trust
Die Zero-Trust-Architektur wurde bisher nicht durch Standards definiert. Allerdings gibt es einige Grundsätze und Prinzipien, die bei der Einführung einer ZTA eingehalten und beachtet werden sollten:
- Konstante Validierung und Überwachung sowohl von Zugriffen als auch von Netzwerkverkehr
- Minimale Rechtevergabe
- Alle Daten und jede Kommunikation müssen verschlüsselt werden.
Diese Grundsätze stehen im Einklang mit den Schutzzielen in der IT.
Weitere Artikel
Lesen Sie weitere spannende Artikel über Cybersecurity, Maschinenidentitäten und PKI .
Zero Trust und die Schutzziele der IT
Bei den Schutzzielen der IT handelt es sich um allgemein gültige Ziele, zum Schutz von Informationen, Daten und Systemen. Sie umfassen Vertraulichkeit, Integrität, Verfügbarkeit, Authentizität, Zurechenbarkeit und Verbindlichkeit.
Eine Zero-Trust-Architektur integriert diese Schutzziele in ein erfolgreiches Sicherheitskonzept.
Authentizität
Das Ziel Authentizität besagt, dass jeder zum Handeln berechtigte Client anhand einer eindeutig zugewiesenen Identität überprüfbar sein muss. Die Authentizität von Daten und Informationen gilt erst als sichergestellt, wenn der Client, von dem sie stammen, zweifelsfrei authentifiziert ist.
Standardmäßig sind bei einer ZTA alle Anwendungen, Daten und Systeme nicht ohne weiteres zugänglich. Jeder Client muss sich kontinuierlich authentifizieren und autorisieren lassen. Nur bei einer erfolgreichen Validierung wird der Zugriff gewährt. Zugriffssessions sind zeitlich begrenzt.
Der Netzverkehr und das Nutzungsverhalten müssen kontinuierlich überwacht und analysiert werden, um ungewöhnliches Verhalten schneller erfassen und eindämmen zu können. Auch hier ist eine stetige Authentisierung der Verbindungen unabdingbar.
Vertraulichkeit
Das Schutzziel Vertraulichkeit fordert, dass Daten vertraulich bleiben und daher verschlüsselt werden müssen. Außerdem dürfen sie nur von einem Client gesendet oder abgerufen werden, der hierzu auch als berechtigt definiert wurde.
Nach einer erfolgreichen Authentisierung und Autorisierung erhält ein Client Zugriff. Dabei sind die Zugriffsrechte so weit einzuschränken, dass der Client nur die für ihn notwendigen Rechte erhält und trotzdem seine Aufgaben erledigen kann. Granulare Zugriffsrichtlinien helfen bei der Implementierung.
Das „Least Privileges“-Prinzip schränkt die Möglichkeiten für Angreifer ein, sich auf andere Bereiche Zugriff zu verschaffen.
Integrität
Mit dem Ziel Integrität werden Daten geschützt, damit kein Client sie unbemerkt oder unerkannt verändert. Darum ist es wichtig, dass Daten und Kommunikation verschlüsselt und zusätzlich auch signiert werden, denn auch verschlüsselte Daten können manipuliert werden.
Zertifikate als vertrauenswürdige Identität für Mensch und Maschine
Um diese Ziele und die Grundsätze für Zero Trust zu gewährleisten, eignen sich am besten Zertifikate. Sie dienen als digitale Identität für Mensch und Maschine.
Eine vertrauenswürdige Identität ist notwendig, damit die Clients authentisiert und autorisiert werden, um Zugriff auf die benötigten Daten, Anwendungen und Systeme zu erhalten.
Zertifikate erfüllen in der digitalen Welt Funktionen analog zum Personalausweis in der realen Welt. Doch anders als in der realen Welt, wo nur natürliche Personen einen Ausweis besitzen, ist es in der realen Welt irrelevant, ob ein Mensch, eine Maschine, ein Gerät oder ein Dienst ein Zertifikat besitzt. Daher spricht man in dem Fall auch von Maschinenidentitäten oder Non-Human Identities.
Zertifikate sind von einer übergeordneten Zertifizierungsstelle (CA, Certificate Authority) signiert und verknüpfen die Identität mit einem Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Der private Schlüssel bleibt beim Besitzer und darf nicht publik werden. Der öffentliche Schlüssel wird mit dem Zertifikat an die Kommunikationspartner geschickt. Dieser kann anhand der Signierung der CA verifizieren, dass der Sender des Zertifikats auch im Besitz des privaten Schlüssels ist. So wird Vertrauen zwischen zwei unbekannten Kommunikationspartnern aufgebaut, wenn beide der ausstellenden CA vertrauen.
Maschinenidentitäten und Zertifikate haben eine begrenzte Gültigkeit. Nach Ablauf werden die Zertifikate ungültig und eine Authentisierung schlägt fehl. Außerdem müssen Zertifikate ausgestellt, verteilt, verlängert oder möglicherweise frühzeitig zurückgezogen werden, falls der private Schlüssel öffentlich wurde oder ein Gerät defekt ist. Dies nennt man Zertifikat-Lifecycle.
Zertifikatmanagement mit der ECOS TrustManagementAppliance
Durch das Internet of Things und die verschiedensten Anwendungen steigt die Zahl der Geräte, die über das Internet kommunizieren können, immer weiter an.
Um auch der Vielzahl der Zertifikate Herr werden zu können, benötigt es ein zuverlässiges Zertifikatmanagement, das beim Zertifikat-Lifecycle-Management und dem automatischen Ausrollen von Zertifikaten unterstützt. Ablaufende Zertifikate werden rechtzeitig erkannt und es wird verhindert, dass sie somit zu einem Sicherheitsrisiko werden.
Die ECOS TrustManagementAppliance® ist eine plattformunabhängige PKI- und Key-Management-Lösung für ein sicheres Zertifikatmanagement. Neben dem Lifecycle-Management bietet die Trust Management Appliance (TMA) verschiedene Schnellstellen zur Automatisierung des Zertifikat- und Schlüsselmanagements.
Fazit
Eine erfolgreiche Zero-Trust-Architektur ist ein kontinuierlicher Prozess, der die Sicherheit in Unternehmen erhöht. Außerdem helfen die Zero-Trust-Architektur und sichere Maschinenidentitäten Unternehmen auch die Voraussetzungen für NIS-2 und den CRA zu erfüllen.
Neugierig geworden?
Vereinbaren Sie ein kostenloses Beratungsgespräch mit uns oder abonnieren Sie unseren IT-Security-Newsletter.