Vertrauen ist die Königsdisziplin unter den Gefühlen. Um dieses kleine Wörtchen mit großer Tragweite ranken sich sehr viele Zitate namhafter Aphoristiker und ganz pathetisch gesagt, ist es sogar ein Eckpfeiler unserer Gesellschaft. Und ähnlich, wie wir bei bestimmten Menschen nach einer gewissen Zeit und bestimmten (ggf. immer wiederkehrenden) Verhaltensweisen irgendwann in den Modus Operandi übergehen und diesen vertrauen, so praktizieren wir dies auch (leider) in der IT. Wir vertrauen bestimmten Lokationen oder bestimmten Geräten oft blind, ohne weitere Verifikation, statt auf ein Zero-Trust Modell zu setzen. Ein fataler Fehler.
Mahatma Gandhi sagt einst: “Misstrauen ist ein Zeichen von Schwäche.” Gut, dass er sich niemals mit dem Thema IT Sicherheit auseinandersetzen musste. Ich finde, gerade in der IT Sicherheit, sollte Misstrauen die Basis sein. Es ist in vielen Netzwerken in Deutschland leider immer noch guter alter Brauch, dem Computer oder dem Smartphone im eigenen Unternehmensnetzwerk zu vertrauen. Das machen Unternehmen oftmals selbst dann noch, wenn dieser Computer über eine (veraltete) VPN Verbindung aus dem Homeoffice heraus aufs Netzwerk zugreift.
Dem gegenüber steht dann eben das Zero-Trust-Modell. Dieses Modell ist ein Sicherheitskonzept, das auf dem Grundsatz basiert, keinem Gerät, Nutzer oder Dienst innerhalb oder außerhalb des eigenen Netzwerks zu vertrauen.
Es wird kein Unterschied zwischen Diensten, Anwendern und Geräten innerhalb oder außerhalb des eigenen Netzwerks gemacht. Sämtlicher Datenverkehr muss geprüft werden und alle Anwender oder Dienste und Applikationen müssen sich authentifizieren.
Merkmale und Grundsätze des Zero-Trust-Modells
Die wichtigste Bedingung des Zero-Trust-Modells ist es, niemandem innerhalb oder außerhalb des eigenen Netzwerks zu vertrauen. Resultat dessen ist, dass sich sämtliche Anwender und Anwendungen authentifizieren müssen und dass der Datenverkehr grundsätzlich zu verschlüsseln ist. Sowohl bei der Speicherung und Übertragung der Daten auf Netzwerk- und Anwendungsebene sollte eine Verschlüsselung existent sein. Alle Computer-Objekte des Unternehmens sind (über ein Device Management Tool) zu inventarisieren und benötigte Zugriffsrechte auf Anwendungen oder Geräte genau zu definieren. Darüber hinaus sollte auch überprüft werden, wie lange jemand Zugriffsrechte auf Anwendungen oder Geräte benötigt. Zusätzlich sollte sichergestellt werden, dass innerhalb des eigenen Netzwerks sowie an den Grenzen entsprechende Tools den Datenverkehr analysieren, zulassen oder verbieten. Die entsprechenden Aktionen sollten dann schlussendlich auch noch in einem Audit-Log aufgezeichnet werden.
Abgrenzung zwischen dem Zero-Trust-Modell und herkömmlichen Sicherheitskonzepten
Wie eingangs bereits geschrieben, ist es bei gewöhnlichen Sicherheitskonzepten so, dass alle Dienste, Anwender und Geräte innerhalb des eigenen Netzwerks als vertrauenswürdig angesehen werden. Lediglich der Netzwerktraffic und jene Zugriffe, die von außen erfolgen, werden als potentiell gefährlich eingestuft und müssen analysiert und möglicherweise eingeschränkt werden. Diese Konzepte haben aber eben immer den Nachteil, dass sobald jemand bereits hinter der Firewall ist, kaum noch Sicherheitsvorkehrungen vorhanden sind, um gefährliche Aktionen und Zugriffe zu unterbinden. Zudem ist es leider auch Tatsache, dass ein erhebliches Risiko von den eigenen Mitarbeitern ausgeht. Eine Mail mit einem verseuchten Anhang reicht bereits aus, der oder die Angestellte klickt drauf und schon ist das Unheil perfekt und die Hacker können damit beginnen, das Unternehmen zu infiltrieren und ggd. zu verschlüsseln.
Am Anfang muss die Strategie stehen.
Was ich hier in ein paar Zeilen niedergeschrieben habe, lässt sich aber nicht “mal eben so” umsetzen, auch wenn es gerne immer wieder schwarze Schafe gibt, die dies behaupten und leider auch Unternehmen, die dies dann auch noch glauben. Dem ist aber in der Regel nur auf der sogenannten “Grünen Wiese” so. Die Einführung muss von Anfang an strategisch geplant werden. Andernfalls wird der Betrieb chaotisch, die Usability verschwindet und das IT-Risiko steigt, da eine schwache Komponente die gesamte Infrastruktur angreifbar macht.
Wie Microsoft die Bereiche Identität, Endpunkte, Applikationen, Daten, Infrastruktur und Netzwerk im Rahmen eines Zero-Trust Modells sichern kann, werde ich in meiner kleinen Blog-Serie beleuchten.
- 10.01.2022: Identität (Teil 1)
- 17.01.2022: Endpunkt (Teil 2)
- 24.01.2022: Apps (Teil 3)