Zero Trust Netzwerk: Anpassungen im Netzwerk

Eine Segmentierung des Netzwerkes erfolgt traditionell durch Router. Anstelle dieser Router kommt, sofern nicht bereits vorhanden, eine Next Generation Firewall.

Diese Firewall reglementiert den Traffic zwischen den verschiedenen Netzen anhand der vom Unternehmen vorgegebenen Policy.

• Security-Gateways:
  An den Übergängen und im Netz erfolgt eine Anwendung der Sicherheitsrichtlinien durch Security-Gateways.
  
  Security-Gateways bzw. Next Generation Firewalls verbinden die Netzwerke untereinander und ermöglichen so die Mikrosegmentierung.
  Zudem binden sie weitere interne und externe Netze und Cloud Services sicher an.
  Eine globale Policy gewährleistet ein zuverlässiges und sicheres Regelwerk.

• Identity Awareness
  Alle internen und externen User authentifizieren sich, basierend auf einer User-ID und per Multi-factor Authentifizierung.
  
  Die Erkennung von Usern, unabhängig von ihrer aktuell zugewiesenen IP-Adresse, ist ein entscheidender Vorteil: die User erhalten ihre immer gleichen Berechtigungen, egal in welchem IP-Netzwerk sie sich befinden. Der Zugriff von zu Hause wird demnach genauso reglementiert.
   

• Application Control
  Die Applikationen werden als solches erkannt, die Firewall erledigt diese Erkennung auch bei verschlüsselter Kommunikation.
  
  Durch den Zero Trust Ansatz gibt es keine implizierten Permit-Regeln. Jeder Zugriff auf die Applikationen muß explizit erlaubt werden.
  Es ist damit konsequent, die Applikationen nicht anhand ihrer IP-Adressen zu identifizieren, sondern anhand ihrer Traffic. So lassen sich Datenpakte, welche nicht zur Applikation gehören, erkennen und herausfiltern.
  Zudem haben bestimmte Informationen, wie bspw. Kreditkarten- oder Sozialversicherungsnummern, je nach Konfiguration nichts in den zu übertragenen Daten verloren und werden herausgefiltert.

Die Umsetzung von Zero Trust

​

Zero Trust Workloads: Erkennen und schützen der Applikationsumgebungen „Workloads“

Geschützte Applikationsumgebungen (Workloads), sei es innerhalb des Unternehmens oder in der Cloud wie Microsoft Azure, Amazon Web Services (AWS),  sind notwendig, um von diesen Services und Applikationen keine Gefahr für das Unternehmen ausgehen zu lassen.

Spezielle CloudGuards oder Cloud Firewalls sichern diese IT-Umgebung ab und interagieren tief mit der Public oder Private Cloud Infrastruktur.

​

Zur Separierung der Workloads voneinander und gegenüber anderen Komponenten kommt die Mikrosegmentierung zum Einsatz.

​

Zero Trust User: Erkennen und identifizieren der User

Gestohlene UserAccounts können das gesamte IT-Securitysystem aushebeln. Das zuverlässige Erkennen der User ist somit ein entscheidender Sicherheitsbaustein.

• SSO und MFA
  Single Sing-on und Multi-Faktor-Authentifizierung erkennen User zuverlässig und schützen die UserAccounts 

• Erweiterte Firewallregeln beziehen den User-Kontakt mit ein:
  Zu welcher Zeit, an welchem Ort und über welche Verbindung (z. Bsp. WAN, VPN, WLAN) kommt der User ins Netzwerk?

• Anomalieerkennung: Ungewöhnliche Parameter, wie eine unübliche Zeit oder ein vormals unbekanntes Endgerät, werden erkannt und die Anmeldung bei Bedarf verhindert.

​

Zero Trust Devices: Absichern der Endgeräte

In über circa 60% der Fälle erfolgen Angriffe auf IT-Geräte mit bekannten Schwachstellen.

Im Bereich IoT (Internet of Things) und Industrie 4.0 ist unserer Erfahrung nach die Anzahl der anfälligen Endgeräte als Angriffssprungbrett noch höher.

• Endgeräteschutz ist notwendig, um Advanced Attacks, Zero-Day Malware und die Installation von Malicious app abzuwenden

• IoT / I 4.0 / OT Security (Operational Technology). Spezielle Geräte, sei es in der Produktion, der Gebäudesteuerung oder andere Nicht-Office-PCs, gilt es zu separieren und den Traffic auf Unregelmäßigkeiten zu prüfen.

• Advanced Threat Prevention (ATP), Bedrohungsschutz
  Schützt die Endgeräte vor Bedrohungen, die aus dem Netzwerk kommen und umgekehrt, in  der Netzwerktrafik mit Hilfe bekannter Pattern geprüft wird.

Zero Data: Der Schutz der Daten

• Verschlüsselte Daten
  Das Verschlüsseln der Daten auf den Medien (Datenträger) und während der Übertragung (VPN) erschwert einen Missbrauch der Daten.

• Abgegrenzte Client-Umgebungen
  Gekapselte Anwendungsumgebungen für die User vermeiden einen unberechtigten Datenzugriff

• DLP
  Data Loss Prevention erkennt die Übertragung von sensiblen Daten und verhindert den Abfluss dieser Daten aus der Hoheit des Unternehmens.

Das große Ganze: Administration, Management und Kontrolle

Die oben genannten Elemente gilt es beim Zero Trust Ansatz zu steuern und zu regeln.

Zudem erfolgt die Auswertung aller anfallenden Logs und das Korrelieren der Daten, um jederzeit den Sicherheitszustand der IT-Infrastruktur zu kennen.

​

​