Zero Trust: 3 Fragen an ... Genua

Der Anwendungsfall bestimmt die Sicherheit

23. November 2021, 16:54 Uhr | Andrea Gillhuber

Auch Zero Trust-Konzepte unterscheiden sich. Welches das passende ist, entscheidet die Anwendung. IT-Sicherheitsforscher Steffen Ullrich von Genua warnt aber davor, ohne konkrete Ziele in die Umsetzung zu gehen.

Steffen Ullrich ist IT-Sicherheitsforscher und Technology Fellow beim Münchner Security-Spezialisten Genua.

Welche Konsequenzen hat der Zero Trust-Ansatz für die Architektur und Organisation von Netzwerksicherheit?

Ullrich: Der traditionelle netzbasierte Sicherheitsansatz vertraut auf eine ausreichende Grundsicherheit durch die Kontrolle aller im eigenen Netzwerk vorhandenen Geräte, kombiniert mit starken Kontrollen und Restriktionen am Netzperimeter (Netzwerkgrenze). Die zunehmende Komplexität und Vernetzung sowie das Fremdmanagement von Infrastruktur, Geräten und Software führen jedoch beim Betreiber zu einem zunehmenden Kontrollverlust über das eigene Netzwerk, bei gleichzeitig steigenden Anforderungen an die Verfügbarkeit, Zuverlässigkeit und Sicherheit der Systeme.

Der dienstzentrierte Ansatz des Zero Trust Networking fokussiert hingegen auf die für den jeweiligen Dienst nötigen Sicherheitsaspekte, d.h. die Kontrolle darüber, wer von welchen Geräten und aus welchen Umgebungen auf einen Dienst zugreifen darf, sowie die Absicherung der Kommunikation zum Dienst. Dies erlaubt die proaktive Reduzierung der Angriffsfläche bei hoher Granularität. Damit einher geht die Ausrichtung an Geschäftsprozessen (Diensten) und organisatorischen Strukturen (Identitäten), die eine einfachere, verständlichere und flexiblere Harmonisierung von Betriebsanforderungen und Sicherheit bietet.

Welche besonderen Herausforderungen bringt Zero Trust speziell für OT-Umgebungen mit sich?

Ullrich: OT-Umgebungen sind im Allgemeinen deutlich betriebskritischer als IT-Umgebungen. Entsprechend groß ist die Vorsicht bei Änderungen. Dies spiegelt sich in einer geringen Änderungsrate und damit auch im Alter der eingesetzten Geräte und Software wider. Die Software stammt dadurch oft aus einer Zeit, als Cyber-Sicherheit nur einen geringen Stellenwert in der Entwicklung einnahm. Entsprechend hoch ist die Angriffsfläche.

Im Zuge der Digitalisierung ist jedoch auch eine Vernetzung älterer Systeme gewünscht. Durch die große Angriffsfläche stellt ein einfacher Anschluss dieser Systeme an ein vorhandenes Netz eine Gefahr sowohl für die Systeme selbst als auch für das ganze Netz dar. Zero Trust Networking erlaubt eine feingranulare und restriktive Einbindung und bietet damit eine hilfreiche Mitigation für den geringen Eigenschutz der Systeme. Zum Beispiel ist es über unsere Fernwartungslösung genubox möglich, ein einzelnes System oder einzelne Dienste granular für einen authentisierten Fernwarter erreichbar zu machen, ohne einen Übergriff auf andere Systeme im Netz zu riskieren.

Neben solch einer dedizierten Anbindung einzelner Systeme an die Außenwelt ist häufig eine sichere Einbindung von Geräten in lokale Netze gewünscht. Das Konzept der Zero-Trust-basierten Mikrosegmentierung bietet die hierfür notwendige granulare Kontrolle. Es erlaubt sogar eine transparente Härtung bereits vorhandener Netze. Lassen Sie mich dies am Beispiel unseres cognitix Threat Defenders beschreiben. Dieser wird in ein vorhandenes Netz eingefügt, ohne Änderung an den Endgeräten vornehmen zu müssen. Initial analysiert der Threat Defender die Kommunikationspfade innerhalb des Netzes und aus dem Netz heraus. Im nächsten Schritt lassen sich diese Pfade proaktiv auf die erwünschte Kommunikation einschränken. Diese verbleibende erlaubte Kommunikation kann dann zusätzlich auf bekannte Angriffsmuster überwacht werden und ggf. verdächtige Systeme lassen sich automatisch isolieren bzw. in ihrer Kommunikation einschränken.

Was sollten Unternehmen bei der operativen Durchführung einer Zero Trust-Architektur beachten?

Ullrich: Wie bei allen größeren Änderungen ist es notwendig, zunächst die aktuelle Situation ausreichend zu verstehen und konkrete Ziele für Verbesserungen abzuleiten. Welches konkrete Zero-Trust-Konzept anschließend genutzt wird, hängt von den konkreten Use Cases und den Anforderungen an Skalierbarkeit, Transparenz und das Zusammenspiel mit Legacy-Anwendungen ab.

Das Konzept des Software Defined Perimeter eignet sich für den dedizierten Zugang zu einem internen System bzw. Dienst von extern, z.B. bei der Fernwartung. Es eignet sich auch für den Zugriff interner Geräte auf Cloud-Dienste, wobei im Falle von web-basierten Zugriffen Zero-Trust-Konzepte wie BeyondCorp beziehungsweise BeyondProd potenziell einfacher und skalierbarer sind. Die Mikrosegmentierung wiederum eignet sich gut für die nachträgliche transparente Härtung vorhandener Netze. Es ist möglich, Zero Trust schrittweise in ein Netz einzuführen. Und abhängig vom Anwendungsfall lassen sich auch mehrere Umsetzungskonzepte mischen. Dies kann auch genutzt werden, um durch Überlagerung mehrerer Sicherheitsschichten eine sogenannte Defense In Depth, also eine Verteidigung in der Tiefe, zu erreichen.

Genua auf der SPS 2021: Halle 6, Stand 151