Regierungen und Unternehmen weltweit bei der Einführung von Zero-Trust-Architekturen unterstützen

Seit mehr als einem Jahrzehnt verfolgt Google bei der Entwicklung und dem Betrieb seiner Produkte weitestgehend einen Zero-Trust-Ansatz. Der Grundsatz von Zero Trust – dass implizites Vertrauen in einzelne Komponenten eines komplexen, vernetzten Systems zu ernsthaften Sicherheitsrisiken führen kann – ist maßgeblich für unsere Arbeitsweise und den Aufbau unserer Sicherheitsarchitektur.

Seit wir uns mit dem Thema Sicherheit beschäftigen, wissen wir, dass trotz aller Bemühungen von Zeit zu Zeit Zugangsdaten in die falschen Hände geraten. Deshalb haben wir das BeyondCorp-Framework entwickelt – als zusätzlichen Schutzmechanismus gegen unbefugten Zugriff, der die Produktivität der Nutzer*innen nicht beeinträchtigt. Zugleich wurde uns klar, dass Software mit Schnittstellen zur Außenwelt kein perimeterbasiertes Vertrauensmodell nutzen sollte. Diese Erkenntnisse führten zu dem mehrschichtigen Schutz unseres BeyondProd-Frameworks, das das Zero-Trust-Prinzip auch auf unsere Produktionsarbeitslasten überträgt.

Anfang dieses Jahres hat das United States Office of Management and Budget (OMB) seine bundesweite Strategie für die Umstellung von US-Regierungsbehörden auf eine Zero-Trust-Architektur veröffentlicht – ein wichtiger Schritt im Rahmen der Modernisierungsbemühungen der US-Regierung gemäß Executive Order 14028 zur Verbesserung der nationalen Internetsicherheit. Zugleich hat auch das britische National Cyber Security Center (NCSC) zur Einführung eines Zero-Trust-Sicherheitsansatzes aufgerufen und diesen 2021 in seinem Bericht Zero Trust Architecture Design Principles vorgestellt.

Die Einführung eines Zero-Trust-Ansatzes kann Unternehmen innerhalb wie außerhalb des öffentlichen Sektors dabei helfen, sowohl den gesetzlichen Vorschriften als auch Sicherheitsbedrohungen einen Schritt voraus zu sein. Dieser Ansatz muss aber sorgfältig geplant und umgesetzt werden. Unser Ziel ist deshalb, die Erfahrungen und das Wissen unserer Kunden wie auch unsere eigenen Erfahrungen mit der Implementierung von Zero Trust bei Google in Best Practices zusammenzufassen.

Wie Google Cloud Regierungsbehörden auf dem Weg zu Zero Trust unterstützen kann

Behörden können Google Zero-Trust-Funktionen für den Fernzugriff, die sichere Zusammenarbeit und die Grenzsicherheit nutzen. Um die Zero-Trust-Anforderungen unserer Kunden besser zu erfüllen, haben wir im Januar 2021 BeyondCorp Enterprise eingeführt; eine Lösung, die einen sicheren Zero-Trust-Zugang zu Ressourcen und Anwendungen in der Cloud und vor Ort bietet. BeyondCorp Enterprise liegen Jahre Google-eigener Innovationen aus der internen weltweiten Implementierung von Zero Trust  zugrunde. Die Lösung nutzt den Chrome-Browser und das globale Netzwerk von Google und bietet integrierten Bedrohungs- und Datenschutz in Echtzeit.

Hier sind fünf Möglichkeiten, wie Unternehmen BeyondCorp Enterprise nutzen können, um die im kürzlich veröffentlichten Memorandum M-22-09 des Weißen Hauses und in vergleichbaren Richtlinien anderer Länder formulierten Zero-Trust-Prinzipien für die Internetsicherheit umzusetzen.

1. Bereitstellung von Unternehmensanwendungen über das öffentliche Internet: Die Nutzung von VPNs ist umständlich für die Beschäftigten und stellt für IT- und Internetsicherheitsmanager eine ständige Herausforderung dar. BeyondCorp Enterprise bietet einen nahtlosen und sicheren Zugang zu Webanwendungen (einschließlich SaaS-Anwendungen und in der Cloud gehostete Apps) mit zentralen Kontroll- und Verwaltungsfunktionen sowie Bedrohungs- und Datenschutz direkt im Chrome-Browser. Über BeyondCorp Enterprise können Endnutzer*innen mühelos auf Anwendungen zugreifen und dabei von höchsten Sicherheitsstandards profitieren, ohne dass Produktivität und Nutzungserlebnis darunter leiden.

2. Nutzung Phishing-resistenter MFA für den Zugriff auf sichere Ressourcen: Viele Cyberangriffe beginnen mit dem Versuch, Nutzerinnen und Nutzer durch Phishing-Nachrichten auf infizierte Websites zu locken und ihre Anmeldedaten zu stehlen. Phishing-resistente MFA, wie sie in M-22-09 empfohlen wird, kann Beschäftigte vor derlei Online-Angriffen schützen. BeyondCorp Enterprise unterstützt starke Phishing-resistente Authentifizierung, durch Faktoren wie Titan-Sicherheitsschlüssel, die als Attribute in Zugriffsrichtlinien auf Anwendungsebene verwendet werden können.

Unternehmen können entsprechend ihrer Bedürfnisse festlegen, wie sie Phishing-resistente MFA-Methoden für einzelne Anwendungen und Ressourcen in ihre Zugriffsrichtlinien einbinden. Mit Google Safe Browsing ist der Phishing-Schutz auch im Chrome-Browser eingebaut. Diese Funktion bietet noch mehr Schutz vor bösartigen Akteuren, indem sie den Zugriff auf unsichere Inhalte blockiert, Phishing-Websites erkennt, die Übertragung von Malware verhindert und Berichte zu Gefährdungen  erstellt.

3. Nutzung kontextsensitiver Autorisierung: Laut der US-Bundesstrategie soll eine Zero-Trust-Architektur granularer und dynamischer definierte Berechtigungen beinhalten: Die Zulässigkeit jeder Zugriffsanfrage soll überprüft werden. Mit kontextsensitiver Autorisierung können Unternehmen Zugriffsrichtlinien erstellen und dadurch beispielsweise Aufschluss über die Rolle und den Standort der Anfragenden und sogar die Tageszeit erhalten. Alle Interaktionen mit einer von BeyondCorp geschützten Ressource werden in Echtzeit anhand ihrer jeweiligen Zugriffsrichtlinie überprüft. Die kontinuierliche Autorisierung bei jeder Anfrage gewährleistet, dass die Nutzer*innen zu jedem Zeitpunkt während der Interaktion über die notwendigen  Berechtigungen verfügen.

4. Einbindung von Gerätesignalen in die Authentifizierung: Wir bei Google sind der Meinung, dass sowohl die Identität als auch das Gerät der Nutzer*innen bekannt sein muss, bevor Vertrauen gewährt werden kann. Es freut uns deshalb, dass auch das OMB eine Authentifizierung mit den Identitätsinformationen und zusätzlich mindestens einem Signal auf Geräteebene empfiehlt. BeyondCorp Enterprise unterstützt Attribute auf Geräteebene, ohne dass die Endanwender*innen zusätzliche Agenten installieren müssen – die Endpoint Verification-Erweiterung im Chrome-Browser sorgt dafür, dass, Administrationsteams Informationen zum Sicherheitsstatus abrufen und detaillierte Richtlinien für den Ressourcenzugriff erstellen und implementieren können. Die Möglichkeit, diese Informationen ohne Agent zu erfassen und zu nutzen, wird besonders von BeyondCorp Enterprise-Kunden mit BYOD-Richtlinien geschätzt, deren Beschäftigte ihre eigenen, nicht von der Organisation verwalteten Geräte nutzen.

5. Einbindung der erweiterten Belegschaft in die Zero-Trust-Strategie: Ein Zero-Trust-Konzept sollte den richtigen Personen zur rechten Zeit und für die richtigen Zwecke sicheren Zugang gewähren und kann deshalb nicht auf Vollzeitbeschäftigte beschränkt sein; es muss alle Nutzer*innen berücksichtigen. Regierungsbehörden etwa übertragen viele wichtige Aufgaben an externe Firmen und Partner. Leider ist dieser erweiterte Kreis an Mitarbeitenden häufig besonders anfällig für Angriffe, wenn zu umfangreiche Zugriffsberechtigungen erteilt oder Sicherheitspraktiken im Vorfeld nicht richtig untersucht werden. Zugleich können Administrationsteams in Bundesbehörden Geräte oder Software von Drittanbietern oft nicht direkt verwalten und haben es dann schwer, für einen sicheren Zugriff zu sorgen.

BeyondCorp Enterprise unterstützt so genannte geschützte Profile. Diese Funktion ist eine ideale Lösung für den Zero-Trust-Zugang externer Mitarbeitender. Mit ihrer Hilfe können auch Nutzer:innen mit nicht verwalteten Geräten sicher auf Ressourcen zugreifen und sind dabei ohne Installation von Agenten durch die für alle geltenden Sicherheitsfunktionen geschützt. Darüber hinaus erhält das Administrationsteam Einblick in sicherheitsrelevante Vorgänge, die von geschützten Profilen aus generiert werden.

Anwendung der NCSC Zero-Trust-Grundsätze auf Google Cloud

Im vergangenen Jahr hat das NCSC der britischen Regierung die Zero Trust Architecture Design Principles herausgegeben, um Unternehmen bei der sicheren Einführung einer Zero-Trust-Architektur zu unterstützen. Das Google Cybersecurity Action Team (GCAT) beschrieb daraufhin  in einem detaillierten Forschungsbericht, wie private und öffentliche Unternehmen in Großbritannien diesen Prinzipien mithilfe der Google Cloud-Technologien und -Dienste entsprechen können. Dieser technische Leitfaden richtet sich an Unternehmen und Sicherheitsarchitekten, die eine Zero-Trust-Strategie gemäß den NCSC-Grundsätzen entwickeln und umsetzen möchten und adressiert die folgenden Punkte:

• Machen Sie sich mit Ihrer Architektur sowie ihren Nutzer*innen, Geräten, Diensten und Daten vertraut – Google Cloud Professional Services Organisation (PSO) unterstützt Sie bei der Konzeption, Planung und Risikominderung.

• Kennen Sie Ihre Nutzer-, Dienst- und Geräte-IDs – einschließlich der Referenzarchitekturen für Cloud Identity.

• Untersuchen Sie das Nutzerverhalten sowie den Zustand von Geräten und Diensten – hierbei helfen die integrierten Berichte von Google Cloud und Chronicle.

• Nutzen Sie Richtlinien für die Autorisierung von Anfragen – mit richtlinienbasierter Autorisierung von BeyondCorp Enterprise.

• Authentifizieren und autorisieren Sie überall – die BeyondCorp- und BeyondProd-Frameworks sorgen zusammen für Authentifizierung und Autorisierung zu jedem Zeitpunkt.

• Konzentrieren Sie sich auf die Überwachung von Nutzer*innen, Geräten und Diensten – mit Gerätemanagement und cloudnativen Monitoringfunktionen.

• Trauen Sie keinem Netzwerk, auch nicht dem eigenen – informieren Sie sich über die Secure-by-Design-Infrastruktur von Google.

• Nutzen Sie für Zero Trust konzipierte Dienste – informieren Sie sich, wie Sie moderne und ältere Anwendungen mit BeyondCorp schützen können.

Wenn Sie mehr über unsere Unterstützung der britischen NCSC wissen möchten, finden Sie in unserem jüngsten Forschungsbericht einen Überblick über die dort angewandten Prinzipien, die Secure-by-Design-Grundsätze von Google und das richtige Verhalten bei Sicherheitsvorfällen.

Zero Trust Untersuchungs- und Planungsdienste für Unternehmen

Unternehmen, die komplexe Umgebungen verwalten und Zero Trust einführen möchten, können von der Unterstützung und Anleitung eines erfahrenen Partners nur profitieren. Das Google Cybersecurity Action Team (GCAT) hilft Kunden mit speziellen Beratungsangeboten und Workshops für den öffentlichen Sektor, den Zero Trust Sicherheits- und Compliance-Anforderungen in der Cloud gerecht zu werden. Lesen Sie mehr darüber, wie Google Cloud-Lösungen Kunden aus der US-Bundesregierung helfen, die immer zahlreicher werdenden Verordnungen und präsidialen Anordnungen zum Thema Internetsicherheit umzusetzen.

Das GCAT hilft Unternehmen zudem in einem mehrwöchigen Zero Trust Foundations-Projekt  beim Aufbau einer Strategie zur Einführung eines Zero Trust-Sicherheitsmodells. Zero Trust Foundations wird gemeinsam vom Google Cloud Office of the CISO und unserer Professional Services Organization für den öffentlichen Sektor angeboten. In diesem Projekt gibt das GCAT Erfahrungen aus der Google BeyondCorp-Initiative und unserer globalen Implementierung der Defense-in-Depth Best Practices weiter, die Kunden helfen können, ihre eigene Zero-Trust-Initiative zu fokussieren und zu beschleunigen. Fragen Sie uns gern nach weiteren Informationen.

Wenn Sie mehr darüber erfahren möchten, wie Google Cloud Unternehmen auf ihrem Weg zu Zero Trust unterstützen kann, besuchen Sie unseren zweiten jährlichen Google Cloud Security Summit am 17. Mai. Hier berichten Kunden, wie sie mit unseren Zero-Trust-Lösungen die Sicherheitsziele ihres Unternehmens umgesetzt haben.

^{Über die Autoren:}

^{Jeanette Manfra ist die ehemalige stellvertretende Direktorin der Abteilung für Internet- und Infrastruktursicherheit im US-Ministerium für Heimatschutz. Dan Prieto ist der ehemalige Direktor des Defense Industrial Base Cybersecurity-Programms im US-Verteidigungsministerium. Beide waren außerdem im Stab des Direktoriums für Internetsicherheit des Nationalen Sicherheitsrats im Weißen Haus tätig.}