Zero Trust: Warum die Zeit gerade jetzt dafür reif ist

Laut einer aktuellen Studie befassen sich bereits 78 Prozent der befragten Unternehmen damit

[datensicherheit.de, 25.11.2019] Die Idee von Zero Trust beginnt ihren Siegeszug durch die Unternehmen weltweit anzutreten, wie eine aktuelle Studie von Cyber Security Insiders verdeutlicht. Bereits 78 Prozent der befragten Unternehmen befassen sich mit dem Thema. Von diesen haben 15 Prozent der Entscheidungsträger bereits erste Initiativen umgesetzt. Das Konzept ist jedoch nicht mehr ganz so jung, wie es derzeit scheint, denn es wurde bereits vor 10 Jahren erstmals in Umlauf gebracht. Warum springen Unternehmen erst jetzt auf diesen Zug auf? Im Gespräch mit Nathan Howe, Strategic Transformation Director EMEA bei Zscaler, gehet unser Herausgeber Carsten J. Pinnow für datensicherheit.de (ds) der steigenden Popularität auf den Grund.

Bild: Zscaler

Nathan Howe, Strategic Transformation Director EMEA bei Zscaler

ds: Gibt es einen Grund, warum der Zero Trust-Ansatz gerade jetzt für Unternehmen interessant zu werden beginnt?

Wir sehen, dass Applikationen das Unternehmensnetz verlassen und in der Cloud vorgehalten werden. Dabei setzen Unternehmen nicht mehr nur auf eine einzige Cloud, sondern je nach Einsatzzweck auf Multi-Cloud-Umgebungen. Zeitgleich verlassen auch die Anwender das Netzwerk. Anwendungen und User sind also überall zuhause und damit einhergehend erkennen Unternehmen, dass ihre herkömmlichen Infrastrukturkonzepte nicht mehr aufgehen. Denn wie kann der Zugriff auf diese neuen Umgebungen sicher zur Verfügung gestellt werden? Die Idee für Zero Trust wurde zwar bereits vor Jahren geboren, aber der Druck zur Umsetzung war damals noch nicht vorhanden, genauso wenig wie die nötigen Technologien. Durch die geänderten Voraussetzungen wird das Konzept jetzt interessant.

ds: Welche Anforderungen müssen Unternehmen heute lösen?

Eine Reihe von Faktoren treffen aufeinander und begünstigen die Entwicklung. Die Generation Y drängt in den Arbeitsmarkt. Unternehmen müssen heute ein attraktives Arbeitsplatzmodell anbieten, bei dem die Flexibilität eine große Rolle spielt. Der feste Schreibtisch im Büro gehört der Vergangenheit an. Heute arbeitet nicht mehr nur das Management, sondern die gesamte Belegschaft von überall aus, sei es aus dem Home-Office, vom Flughafen oder aus dem Hotelzimmer. Und das wird ihnen wiederum dadurch ermöglicht, dass die Cloud die nötige Agilität für die Bereitstellung der benötigten Anwendungen an jedem Ort bietet. Die Leichtigkeit, mit der Anwendungen in die Cloud verlagert werden können, trägt ebenfalls dazu bei. Anwendungen werden heute an unterschiedlichsten Orten vorgehalten, wie SaaS, IaaS und auch On-Premise im Rechenzentrum. Die Bereitstellung des performanten und gleichzeitig sicheren Zugriffs setzt Unternehmen allerdings unter Druck. In einem solchen Szenario greifen die traditionellen Konzepte für die Netzwerksicherheit zu kurz.

ds: Leistet die Cloud dem Zero Trust-Konzept also Vorschub?

Unternehmen drängen in die Cloud. Sie haben aber auch erkannt, dass sie nicht alleine die Applikationen verschieben können. Wenn Anwender sicher und zeitgleich performant auf multiple Anwendungsumgebungen Zugriff benötigen, greift herkömmliche Netzwerk-Konnektivität zu kurz. Wenn sich weder Anwendungen noch Anwender im Unternehmensnetz bewegen, warum sollte dann eine Anbindung ans Netzwerk für den Zugriff erforderlich sein? Und genau hier kommt der Zero Trust Network Access ins Spiel. Während der traditionelle VPN-Zugriff darauf basiert, dass der Anwender ins Netzwerk geschickt wird, geht ein Zero-Trust-Ansatz einen anderen Weg. Anstelle zuerst eine Anbindung ins Netzwerk herzustellen, und den Anwender danach zu authentifizieren, erlaubt ein Zero Trust-Modell aus Sicherheitsüberlegungen ein solches Vorgehen nicht mehr.

ds: Wie gewährleistet ein Zero Trust-Ansatz ein höheres Sicherheitsniveau?

Bei dem Zero Trust Network Access steht die Überlegung im Mittelpunkt, dass ein autorisierter Anwender mit seiner dedizierten Applikation verbunden wird. Der Anwendungszugriff wird von der Identität des Benutzers gesteuert und kontrolliert. Wenn der Benutzer keine Zugriffsberechtigung hat, kann er nicht einmal sehen, welche Anwendungen vorhanden sind. Der traditionelle Netzwerkzugriff wird also durch ein Zugriffsmodell auf Ebene der einzelnen Applikation abgelöst. Das Unternehmen erstellt dafür für jeden Anwender ein Regelwerk, indem festgelegt wird, wer auf welche Anwendung zugreifen darf. Die Autorisierung für den Zugriff ist die erste Komponente für den Zero Trust Network Access. Die zweite Komponente ist der sichere Verbindungspfad zu dem Ort, an dem die Anwendung vorgehalten wird. Und hier kommt der maßgebliche Unterschied zu RAS-VPN-Modellen zum Tragen: es wird ein sicherer Tunnel von der Anwendung zu einem Anwender aufgebaut, unabhängig davon, wo sich beide Parteien befinden.

ds: Welche Ansätze zur Umsetzung eines solchen Zero Trust Ansatzes gibt es heute?

Die Erlaubnis für den Zugriff auf eine Anwendung kann im Zero-Trust-Access-Modell durch unterschiedliche Vorgehensweisen geregelt werden. Gartners Ansatz unterscheidet zwischen dem vom Anwender und dem vom Service initiierten Pfad. Geht der Weg vom Anwender aus, erzeugt der Nutzer eine Anfrage für die Zugriffsberechtigung auf eine Anwendung über seinen Web-Browser. Wird der Zugriff autorisiert, erfolgt die Verbindung zur Applikation über das existierende Netzwerk und einen Internet-Link. Die sicherere Vorgehensweise ist allerdings die Verbindung zur gewünschten Anwendung über einen zwischengeschalteten Service als Broker. Diese Vermittlungsinstanz verbindet einen Outbound-Tunnel von der Anwendung mit einem Tunnel, der vom Anwender ausgeht. Die granulare Kontrollfunktion zur Weiterleitung des Datenverkehrs zwischen Anwender und Applikation übernimmt ein App-Connector. Bei diesem Ansatz wird die Verbindung nicht über das öffentliche Internet hergestellt, sondern über eine private Infrastruktur und erfolgt somit in höherer Isolation. Hier gilt das Sicherheitsmotto: Was im Internet nicht sichtbar ist, kann auch nicht angegriffen werden. Ein solcher Ansatz entspricht nicht nur den Sicherheitsanforderungen der Unternehmen, sondern trägt auch der Anwenderfreundlichkeit Rechnung. Denn der Anwender merkt nicht einmal mehr, wo eine Anwendung vorgehalten wird auf die er zugreift.

Weitere Informationen zum Thema:

datensicherheit.de, 15.08.2019
Firmennetzwerke bedroht: Nathan Howe empfiehlt Zero Trust Network Access

datensicherheit.de, 02.05.2019
Moderne Authentifizierung: Vom Password zu Zero Trust