Zero-Trust-Lösungen: 5 Lösungskategorien und Tipps zur Auswahl

Zero-Trust-Lösungen sind Sicherheitspakete, die Netzwerkzugriffskontrollen und Sicherheitsmaßnahmen zur Umsetzung des Zero-Trust-Prinzips enthalten, bei dem alle Benutzer und Entitäten als potenziell bösartig eingestuft werden, bis ihre Vertrauenswürdigkeit nachgewiesen ist. Zur Implementierung von Zero-Trust-Netzwerken müssen Unternehmen oft mehrere Tools und Prozesse kombinieren.

Zero-Trust-Sicherheitslösungen bieten zahlreiche Sicherheits- und Überwachungsfunktionen, die ein Netzwerk vor Sicherheitsverletzungen schützen. Beispielsweise kombiniert eine Zero-Trust-Sicherheitslösung mehrere Prozesse zur Benutzerauthentifizierung und bietet zusätzliche Sicherheitsmaßnahmen wie Management mehrerer Netzwerke, Segmentierung und Überwachung.

Zero Trust ist keine Technologie – es ist ein Sicherheitsparadigma. Das bedeutet, dass viele der bereits vorhandenen Technologien genutzt werden können, um eine Zero-Trust-Architektur zu implementieren. Zudem gibt es immer mehr neue Arten von Lösungen, die von Grund auf nach einem Zero-Trust-Sicherheitsmodell aufgebaut sind.

1. Mehrstufige Authentifizierung (MFA) und Single Sign-On (SSO)

Ein wesentlicher Aspekt einer Zero-Trust-Implementierung besteht in der Tatsache, dass das Vertrauensverhältnis nicht auf dem Netzwerksegment basiert, in dem der Benutzer arbeitet, sondern auf einer eindeutigen Identitätsprüfung. Außerdem können Benutzernamen und Passwörter leicht von Angreifern kompromittiert werden und reichen daher nicht mehr als einzige Form der Authentifizierung aus. Zur Umsetzung von Zero Trust können Sie Folgendes einsetzen:

• MFA—Kombiniert mehrere Formen der Authentifizierung, um eine zuverlässige Authentifizierung von Benutzeridentitäten sicherzustellen und die Folgen des Diebstahls von Anmeldedaten zu verringern.
• SSO—Erlaubt die Anmeldung mit einem einzigen Satz von Anmeldedaten und den Zugriff auf alle Unternehmensanwendungen entsprechend der Zugangsberechtigung für das jeweilige Konto. Dadurch sind nicht mehr verschiedene Passwörter erforderlich, die Benutzerkonten lassen sich zentral kontrollieren, und auch für Benutzer ist dies komfortabler.

2. IAM

Eine wichtige Voraussetzung für eine Zero-Trust-Architektur sind identitätsbezogene Sicherheitsmaßnahmen. Diese werden durch IAM-Systeme (Identity and Access Management) durchgesetzt, die in der Regel cloudbasiert arbeiten. Ein IAM-System stellt unter anderem folgende Funktionen bereit:

• Lebenszyklusverwaltung für interne und externe Benutzer
• Zentrale Identitätsverwaltung
• Privileged Access Management (PAM)
• Rollen- und attributbasierte Zugriffskontrollen (RBAC und ABAC)
• JIT-Zugriff (Just-in-Time), wodurch Mitarbeiter bei Bedarf, d. h. in Notfällen oder in Ausnahmefällen, auf die Systeme zugreifen können

Dank dieser Funktionen können Sie mit modernen IAM-Systemen unternehmensweit einen Least-Privilege-Zugriff durchsetzen. Zur Verringerung der Angriffsfläche können Sie auch zeit- und standortbezogene Berechtigungen für Benutzer erteilen. So wird sichergestellt, dass jeder Benutzer – ob interner Mitarbeiter, externer Auftragnehmer oder Kunde – nur auf die Systeme und Funktionen zugreifen kann, die er für seine Aufgaben tatsächlich benötigt.

3. Zero Trust Network Access (ZTNA)

ZTNA, früher bekannt als Software-Defined Perimeter (SDP), ist eine erweiterte Zugriffslösung, die es Benutzern nur dann gestattet, sich mit einer Anwendung zu verbinden, wenn sie diese zur Ausübung ihrer Rolle benötigen. Die Benutzerberechtigungen werden über Rollen definiert, die direkt den Rollen der Mitarbeiter im Unternehmen zugeordnet sind.

Eine ZTNA-Lösung authentifiziert einen Benutzer zunächst, verifiziert dann seine Identität und verknüpft ihn schließlich mit einer im Unternehmen definierten Rolle. Jeglicher Zugriff auf Systeme im internen Netzwerk erfolgt über das ZTNA-System. ZTNA lässt den Datenverkehr zu einem bestimmten System durch oder blockiert den Zugang, abhängig vom Ergebnis der Authentifizierung und den festgelegten Rollen des Benutzers.

Dabei ersetzen ZTNA-Lösungen die bisher häufig eingesetzten VPNs. VPNs ermöglichen zwar eine sichere Verbindung zu einem Netzwerk, gewähren den Benutzern aber Zugriff auf das gesamte Netzwerk und alle seine Ressourcen, was nicht dem Zero-Trust-Prinzip entspricht. ZTNA legt einen softwarebasierten Sicherheitsbereich fest, der genau definiert, auf welche Rechenzentren, Umgebungen und konkreten Anwendungen ein Benutzer Zugriff haben soll.

Lesen Sie unseren Leitfaden zu ZTNA.

4. Secure Access Service Edge (SASE)

Secure Access Service Edge (SASE) ist ein cloudbasierter Service, der Wide Access Networking (WAN), Remotezugriff und Sicherheitsfunktionen bereitstellt. Mit SASE werden die Netzwerkfunktionen auf alle Standorte des Unternehmens ausgeweitet – auf das lokale Rechenzentrum und auf eine oder mehrere öffentliche Clouds.

Bei SASE handelt es sich um einen Service, der mehrere Technologielösungen vereint:

• ZTNA—wie oben beschrieben.
• SD-WAN—eine virtuelle WAN-Architektur, die die Flexibilität verbessert und die WAN-Kosten senkt, indem alle verfügbaren Datendienste wie MPLS, Breitband und WLAN genutzt werden.
• Firewall as a service (FWaaS)—bildet überall dort eine verwaltete Firewall, wo das Unternehmen Softwareservices ausführt.
• Secure web gateway (SWG)—verwaltet den Remotezugriff für Benutzer.
• Cloud access security broker (CASB)—setzt Sicherheitsrichtlinien für lokale Ressourcen oder Benutzer durch, die auf die Cloud zugreifen.

Weitere Informationen zu SASE

VPNs (Virtual Private Networks) ermöglichen Benutzern den Remotezugriff auf das Unternehmensnetzwerk. Die auf dem Gerät des Benutzers installierte Clientsoftware kommuniziert über einen verschlüsselten Kanal mit einem VPN-Server oder einer Appliance im Unternehmensnetzwerk.

Obwohl VPN die Kommunikation über einen sicheren Kanal ermöglicht, hat es den Nachteil, dass das Gerät des Benutzers als vertrauenswürdig eingestuft wird. Wenn der Benutzer korrekte Anmeldedaten eingibt, erhält er vollständigen Zugriff auf das Netzwerk. Sollte das Gerät oder das Benutzerkonto kompromittiert werden oder Angreifer eine VPN-Schwachstelle ausnutzen, können sie sich lateral durch das Unternehmensnetzwerk bewegen.

VPNs sind nicht mit einem Zero-Trust-Sicherheitsmodell kompatibel. Zur Umsetzung der Zero-Trust-Strategie ersetzt ZTNA das VPN und erlaubt so einen differenzierten Zugriff auf die Ressourcen des Netzwerks. Jedem Benutzer wird abhängig von seiner Rolle und dem aktuellen Sicherheitskontext, z. B. dem verwendeten Gerät und der Tageszeit, Zugriff gewährt. Bei jeder Zugriffsanfrage prüft die ZTNA-Funktion, ob die Benutzer überhaupt für die Netzwerkressourcen berechtigt sind.

Bei der Entscheidung, welche Zero-Trust-Lösung für Sie am besten geeignet ist, sollten Sie die folgenden Punkte bedenken:

• Anbieterunterstützung: Müssen Sie einen Endpunkt-Agent installieren und alle Betriebssysteme und mobilen Geräte unterstützen? Beobachten Sie das Verhalten des Agents im Zusammenspiel mit anderen Agents und informieren Sie sich, welche Geräte und Betriebssysteme der Anbieter unterstützt.
• Art der Zero-Trust-Technologie: z. B. ein ZTNA-Broker, der installiert und verwaltet werden muss, oder Zero Trust Network Access-as-a-Service (ZTNAaaS).
• Bewertung der Sicherheitslage: Bietet der Anbieter die Möglichkeit, die Sicherheitslage von verwalteten und nicht verwalteten Geräten zu bewerten, oder müssen Sie ein UEM-Tool (Unified Endpoint Management) verwenden?
• User and Entity Behaviour Analytics (UEBA): Umfasst die Lösung UEBA-Funktionen zur Erkennung verdächtiger Aktivitäten innerhalb des geschützten Netzwerks?
• Globale Verteilung: geografische Streuung der Einstiegs- und Ausstiegspunkte (d. h. Standorte am Netzwerkrand und POPs). Ermitteln Sie, welche Provider von Edge- bzw. physischen Infrastrukturen oder Colocation-Einrichtungen der Anbieter nutzt.
• Unterstützung älterer Anwendungen: Klären Sie, ob zusätzlich zu Webanwendungen auch die Sicherheit älterer Anwendungen gewährleistet ist.
• Einhaltung von Industriestandards: Bevorzugen Sie einen Anbieter, der hohe Sicherheitsstandards einhält. Ein Zero-Trust-Provider muss zumindest nach ISO 27001 zertifiziert sein und sollte idealerweise die SOC2-Sicherheitsanforderungen erfüllen.
• Lizenzierungsmodell: Achten Sie auf den Lizenztyp (d. h. nach Bandbreite oder pro Benutzer) und sehen Sie sich die Bestimmungen für eine Nutzungsüberschreitung während der Vertragslaufzeit an (d. h. ob es eine Toleranzfrist, die Forderung nach einer Ausgleichszahlung oder einen Verlust der Zugriffsrechte gibt).