Viele würden Zero-Trust-Definitionen wie „Niemandem und nichts vertrauen“ oder „Nie vertrauen, immer prüfen“ vereinfachen, aber diese sind etwas begrenzt. Stattdessen besteht das Kernstück des Zero-Trust darin, dass das Vertrauen in jemanden oder etwas – auch die zugrunde liegenden Komponenten – in einem miteinander verbundenen System ein erhebliches Sicherheitsrisiko darstellt. Vertrauen muss aufgebaut und kontinuierlich mithilfe dynamischer, kontextabhängiger Sicherheitsrichtlinien und verschiedener Technologiemechanismen bestätigt werden. 

Bei diesem Ansatz wird mithilfe detaillierter Richtlinienkontrollen die Mikrosegmentierung genutzt, um das Netzwerk in kleinere Segmente und isolierte Arbeitslasten aufzuteilen. Die Richtlinien sind kontextbasiert und beruhen auf Identität, Standort, Gerät, Inhalt, auf den zugegriffen wird, und App. Da die Richtlinien dynamisch sind, werden sie regelmäßig neu bewertet und an den sich ändernden Kontext angepasst.

Daten und Ressourcen sind standardmäßig nicht zugänglich und Verbindungen werden erst dann streng kontrolliert, nachdem sie authentifiziert und autorisiert wurden. Dieser Vorgang wird auf jeden Nutzer oder verbundenen Endpunkt angewendet und die Identität wird kontinuierlich authentifiziert. Darüber hinaus wird der gesamte Netzwerkverkehr protokolliert, überwacht und genau auf Anzeichen für eine Kompromittierung analysiert. 

Hier ist ein einfacherer Ansatz: Stellen Sie sich Ihr Netzwerk und Ihre Infrastruktur als streng geheime staatliche Einrichtung vor und Zero-Trust ist das Sicherheitssystem. Es kann Standard-Perimetersicherheit sowie Alarme und Sensoren zum Erkennen nicht autorisierter Zugriffe enthalten. 

Zero-Trust erhöht die Sicherheit für alle Zugangspunkte innerhalb des Perimeters. Alle Flügel und Räume des Gebäudes sind außerdem jederzeit verriegelt und die Türen werden mithilfe eines biometrischen Zugangssystems gesteuert. Auch wenn Sie die Sicherheitskontrolle an der Vordereingang passieren, müssen Sie an jeder Tür Ihren Fingerabdruck scannen, um Ihre Identität zu bestätigen. Sie dürfen die Tür nur passieren, wenn Sie die entsprechende Sicherheitsfreigabe haben. Sie dürfen nur Gebiete betreten, die Sie besuchen müssen, und so lange bleiben, wie es für die Fertigstellung Ihres Unternehmens erforderlich ist. 

Das Zero-Trust-Modell umfasst heute mehrere Implementierungen, darunter Zero-Trust-Netzwerkzugriff (ZTNA), Zero-Trust-Architektur (ZTA) und Zero-Trust-Edge (ZTE). Dennoch basieren sie alle auf denselben Kernkonzepten. 

Dies sind die drei Zero-Trust-Prinzipien, auf denen das Modell basiert: 

1. Angenommen, der gesamte Netzwerkverkehr ist zu jeder Zeit eine Bedrohung. Bei Zero-Trust geht es darum, dass alle Nutzer feindselig sind und Bedrohungen allgegenwärtig sind – sowohl innerhalb als auch außerhalb des Netzwerks. Daher wird jedem Traffic, dem keine explizite Berechtigung zugewiesen ist, automatisch der Zugriff verweigert. Bei der fortlaufenden Zugriffsanfrage werden alle Geräte-, Nutzer- und Netzwerkabläufe authentifiziert, autorisiert und validiert.
2. Zugriff mit den geringsten Berechtigungen erzwingen: Zero-Trust-Sicherheitsansätze gewähren Zugriff auf die geringsten Berechtigungen, die geringsten Rechte und den Zugriff auf die erforderlichen Ressourcen, wenn sie benötigt werden, ohne die Fähigkeit, eine Aufgabe auszuführen. Der Zugriff mit den geringsten Berechtigungen verhindert, dass Angreifer sich seitwärts auf kritischere Ressourcen ausbreiten können, wenn ein Konto oder Gerät gehackt wurde. 
3. Achten Sie immer darauf. Das Zero-Trust-Modell ermöglicht eine kontinuierliche Überwachung sowie die kontinuierliche Analyse und Verwaltung von Netzwerkaktivitäten. So erhalten Sie in Echtzeit einen Überblick darüber, welche Entitäten versuchen, auf Ressourcen zuzugreifen, und können potenzielle Bedrohungen, aktive Vorfälle und Anomalien, die untersucht werden sollten, leichter identifizieren. 

Diese Zero-Trust-Prinzipien, die ursprünglich von Forrester beschrieben wurden, stimmen auch mit den Zero-Trust-Framework, entwickelt vom US-amerikanischen National Institute of Standards and Technology (NIST), überein. Wir empfehlen Ihnen dringend, das Framework von NIST zu lesen. Es enthält eine Anleitung zu den praktischen Schritten, die für die Implementierung eines Zero-Trust-Modells in Ihrem eigenen Unternehmen erforderlich sind. 

Die gravierendsten Datenpannen der heutigen Zeit gehen nicht nur auf den Netzwerkperimeter zurück, wenn Angreifer einen Weg gefunden haben. Mit dem Aufkommen von Cloud-Computing und Remote-Mitarbeitern haben viele Unternehmen Schwierigkeiten, zunehmend verteilte Umgebungen und einen durchlässigen Perimeter zu schützen. Daten werden heute für verschiedene Dienste, Geräte, Anwendungen und Personen generiert, gespeichert und geteilt, sodass sie von überall auf der Welt abgerufen werden können.

Viele Angreifer haben festgestellt, dass es lukrativ ist, Schwachstellen und Lücken in der Netzabdeckung in Hybrid-Cloud-Umgebungen auszunutzen. Schwere Datenpannen sind zunehmend die Folge von gehackten Konten durch Social Engineering und andere ausgefeilte Techniken, versehentliche oder vorsätzliche Insiderbedrohungen und schwächere Sicherheitspraktiken von Drittanbietern. 

Sicherheitsteams erkennen inzwischen, dass Bedrohungen, die innerhalb eines Netzwerks kommen, genauso wahrscheinlich sind wie von außerhalb. 

Unternehmen haben versucht, gestaffelte, gestaffelte Sicherheitsmaßnahmen einzuführen, mit denen Redundanzen und Backup-Sicherheit für den Fall angeboten werden sollen, dass eine der Maßnahmen fehlschlägt. Dieser Ansatz ist jedoch häufig kostspielig und komplex in seiner Implementierung, Verwaltung und Wartung – insbesondere mit der Notwendigkeit, alles kontinuierlich anzupassen und zu ändern, wenn neue Systeme, Personen, Dienste und Geräte eingeführt werden.  

Zero-Trust umfasst gestaffelte Defense-Strategien. Ziel ist es aber, die Angriffsfläche zu minimieren und Umgebungen zu schaffen, die inhärent sicher sind, ohne jede einzelne potenzielle Bedrohung identifizieren und eindämmen zu müssen. Ziel ist es, den Zugriff auf geschäftskritische Assets zu unterbinden und zu verhindern, dass sich Angreifer in Echtzeit seitlich durch das Netzwerk bewegen. Zero-Trust bietet einen einheitlichen Sicherheitsansatz, der einen umfassenden, anpassungsfähigen Schutz verteilter Umgebungen bietet und gleichzeitig sicheren Zugriff ermöglicht.  

Im Folgenden sind einige der größten Herausforderungen bei Zero-Trust aufgeführt: 

• Konsistenz. Bei richtiger Anwendung kann Zero-Trust, wie angekündigt, eine überlegene Sicherheit bieten. Es erfordert aber auch dass die Organisationen mit der Strategie im Einklang stehen müssen. Die meisten Organisationen müssen Änderungen in Phasen vornehmen, während sie sich von herkömmlichen Sicherheitslösungen wegbewegen. Außerdem müssen sie sicherstellen, dass sich dabei keine Lücken entwickeln.
• beeinträchtige Produktivität. Zero-Trust ergänzt die meisten Workflows um zusätzliche Sicherheitsmaßnahmen und kann bei falscher Implementierung die Produktivität beeinträchtigen. Entscheidend ist, das richtige Gleichgewicht zwischen der Unterstützung von Arbeit und dem Erreichen eines starken Sicherheitsstatus zu finden. Wenn Prozesse zu störend werden, können Einzelpersonen versuchen, sie zu umgehen. 
• Bekämpfen von Insiderbedrohungen. Zwar kann Zero-Trust zwar dazu beitragen, Insiderbedrohungen durch den Zugriff auf die geringste Berechtigung abzuschwächen, ist aber keine Patentlösung. Angreifer finden oft Wege, sich Zugriff zu verschaffen, indem sie Anmeldedaten wie Phishing oder Scareware gestohlen werden, um vertrauliche Daten preiszugeben. Im schlimmsten Fall haben Sie es aber auch mit einer böswilligen Partei zu tun, die ihre Berechtigungen missbraucht. Damit Zero-Trust effektiv gegen Insider-Bedrohungen eingesetzt wird, müssen Sie in der Lage sein, Musterabweichungen im gesamten Unternehmen zu überwachen und zu erkennen.
• Richtlinien und Architektur verwalten: Ihr Unternehmen wächst und entwickelt sich ständig weiter, was bedeutet, dass Zero-Trust-Richtlinien und Berechtigungsstrukturen ebenfalls ständig aktualisiert werden müssen. Zero-Trust-Modelle beruhen auf genau definierten Richtlinien und einer effektiven Richtlinienverwaltung, die auch proaktiv gepflegt und konfiguriert werden müssen, um Verstöße zu verhindern.