Was ist ZTNA (Zero Trust Network Access)?

Wie Zero Trust Network Access (ZTNA) funktioniert

Im ZTNA-Modell wird der Zugriff erst genehmigt, wenn ein Benutzer vom ZTNA-Dienst authentifiziert wurde, der dann über einen sicheren, verschlüsselten Tunnel Zugriff auf eine bestimmte Anwendung gewährt. Der Dienst verhindert, dass Nutzer Anwendungen oder Daten sehen, auf die sie nicht zugriffen dürfen, und verhindert so seitliche Bewegungen durch Angreifer. Ohne diese Einschränkungen könnte ein Angreifer, der einen Endpunkt kompromittiert oder gültige Zugangsdaten erhält, diese nutzen, um auf andere Dienste oder Anwendungen umzuschalten.

Mit ZTNA werden geschützte Anwendungen auch vor der Erkennung verborgen, und der Zugriff auf sie wird über den ZTNA-Dienst (auch als Trust Broker bezeichnet) auf eine Reihe von vorab genehmigten Entitäten beschränkt. Ein Trust Broker gewährt nur dann Zugriff auf ein Unternehmen, wenn die folgenden Bedingungen erfüllt sind:

• Die Entität (ein Benutzer, ein Gerät oder ein Netzwerk) stellt dem Broker die richtigen Anmeldeinformationen zur Verfügung.
• Der Kontext, in dem der Zugriff angefordert wird, ist gültig.
• Alle anwendbaren Richtlinien für den Zugriff in diesem gegebenen Kontext wurden befolgt.

In ZTNA sind Zugriffsrichtlinien anpassbar und können je nach Systembedarf angepasst werden. Beispielsweise können Sie zusätzlich zu den oben genannten Anforderungen eine standort- oder gerätebasierte Zugriffskontrolle implementieren, die verhindert, dass verwundbare oder nicht genehmigte Geräte sich mit einem geschützten Netzwerk verbinden.

ZTNA vs. VPN vs. SDP

ZTNA und SDP (Software-Defined Perimeter) sind moderne, identitätsbasierte Sicherheitsframeworks, die auf der Gewährung sehr detaillierter, anwendungsbezogener Zugriffe basieren. Diese Sicherheitsmodelle stehen im direkten Gegensatz zu älteren Virtual Private Networks (VPNs), die nach der Authentifizierung einen breiten, netzwerkweiten Zugang gewähren. 

Legacy-VPNs wurden entwickelt, um eine andere Ära der Computertechnik zu bewältigen, als die meisten Netzwerkressourcen innerhalb eines einzigen Netzwerkbereichs gehostet wurden. Einfach ausgedrückt: Ein VPN gewährt einem Nutzer Zugang zum gesamten Netzwerk, sobald er authentifiziert ist. Der Hauptnachteil dieses breiten Zugriffsniveaus ist, dass ein erheblicher Explosionsradius entsteht, wenn die Zugangsdaten eines Nutzers kompromittiert werden. Wenn ein Angreifer beispielsweise eine Menge Zugangsdaten stiehlt, kann er sich mit minimalem Widerstand und Erkennung seitlich zwischen Servern und Datenspeichern bewegen.

ZTNA basiert auf einem grundlegend anderen Ansatz. Anstatt davon auszugehen, dass ein Benutzer allein wegen der erfolgreichen Authentifizierung vertrauenswürdig ist, überprüft ZTNA kontinuierlich Identität, Gerätezustand/-status und Kontext, bevor es Zugriff auf bestimmte Anwendungen gewährt. Aus Sicht eines Angreifers ist sonst nichts im Netzwerk sofort sichtbar oder zugänglich. Dadurch wird die Angriffsfläche drastisch reduziert, was unbefugte Nutzer von allem ausgeschlossen hält, was sie nicht ausdrücklich benötigen.

SDP ist die Basisarchitektur, die ZTNA möglich macht; stell es dir als den Motor unter der Haube vor. Es verwendet zentrale Controller, um Benutzer und Geräte zu authentifizieren, und erstellt dann verschlüsselte, eins-zu-eins-Verbindungen direkt zwischen dem Nutzer und der angeforderten Anwendung. Was die Sicherheitslage von SDP verstärkt, ist, dass Ihre Infrastruktur für jeden, der nicht verifiziert wurde, komplett dunkel bleibt.

Mit Fortschritten in Zero-Trust-Lösungen stellen immer mehr Sicherheitsteams VPN-Systeme aus und ersetzen sie durch ZTNA-Lösungen, die auf der SDP-Architektur basieren. Diese Rahmenwerke verhindern seitliche Bewegungen und minimieren die Verbreitung von Malware und Ransomware. 

Vorteile von ZTNA

Die Einführung von Unternehmen hat ZTNA zum Industriestandard gemacht, der durch stärkere Sicherheit, optimierte Abläufe und niedrigere Kosten Mehrwert schafft. Im Folgenden finden Sie einige der Kernvorteile, die seine Position als Best Practice im Bereich Cybersicherheit festigen.

Verringerte Netzwerkexposition

Anwendungen können sich nur über die ZTNA-Architektur mit Ressourcen verbinden. Dies verringert die Anfälligkeit des Netzwerks gegenüber böswilligen Bedrohungen und kompromittierten Systemen. Die Eindämmung solcher Expositionen war nie so wichtig. Laut Forresters Total Economic Impact Study verzeichneten Unternehmen, die ZTNA implementieren, einen Rückgang der kostspieligen Datenpannen um 80 %.

Unsichtbare Infrastruktur

ZTNA-Modelle stellen nur ausgehende Verbindungen her. Dies trägt dazu bei, sicherzustellen, dass Netzwerk- und Anwendungsinfrastrukturen für unbefugte oder nicht genehmigte Nutzer unsichtbar sind. Angreifer können nicht zielen, was sie nicht sehen, und diese Unsichtbarkeit beseitigt eine der häufigsten Aufklärungstaktiken, die vor Beginn eines Durchbruchs eingesetzt werden.

Granulärer, eins-zu-eins-Zugriff

Wenn ein Benutzer authentifiziert wird, um auf eine Ressource zuzugreifen, wird der Anwendungszugriff ebenfalls eins zu eins bereitgestellt. Nutzer haben nur Zugriff auf Anwendungen, für die ihnen ausdrückliche Berechtigungen erteilt wurden. Dadurch wird die seitliche Bewegung innerhalb einer Umgebung eingeschränkt, da Angreifer typischerweise die Kosten für Breach nach dem Erhalt erhöhen.

Geringere Verwaltungskosten

Da ZTNA softwaredefiniert ist, können die Geräte- und Anwendungsverwaltungskosten erheblich reduziert werden. Unternehmen, die von hardwarezentrierten VPN-Konzentratorlösungen und Legacy-Access-Appliance-Lösungen umstellen, berichten von erheblichen finanziellen Einsparungen sowohl bei Hardware als auch bei Betriebsausgaben. Tatsächlich nannte Forrester einen Rückgang der Betriebsausgaben um 50 % im Zusammenhang mit Netzwerktechnologien und -management.

Die Auswirkungen auf das Gesamtergebnis

Diese Vorteile summieren sich schnell. Die IBM-Studie zu den Kosten einer Datenverletzung ergab, dass Organisationen, die keine Zero-Trust-Methoden implementierten, um 19 % höhere Sicherheitskosten hatten, also etwa 5,04 Millionen US-Dollar pro Datenpanne. Der Schutz von Umsatz durch die Implementierung von ZTNA bedeutet nicht nur, die Sicherheit zu verbessern; es geht darum, die fortgesetzte Rentabilität Ihres Unternehmens sicherzustellen.

Arten von ZTNA

Cybersicherheitsanbieter klassifizieren ZTNA im Allgemeinen in verschiedene Typen, je nachdem, wo die Durchsetzung von Richtlinien benötigt wird und welches Problem es lösen soll. Aus dieser Perspektive ist der logischste Ansatz, ZTNA in zwei nützliche Perspektiven zu unterteilen: Bereitstellungsarchitektur und funktionalen Fokus.

Bereitstellungsarchitekturtypen

Der greifbare Mechanismus, wie eine ZTNA-Lösung Nutzer mit Anwendungen verbindet, basiert auf zwei unterschiedlichen Architekturen, von denen jede für einen anderen Gerätetyp geeignet ist.

• Service-initiiert (agentenbasiert): Ein Agent muss im Rahmen dieser dienstinitiierten Methode auf den Computer eines Benutzers geladen werden. Der Agent kommuniziert mit dem Cloud-Broker, der die Identität des Benutzers authentifiziert und die Geräteposition des Nutzers überprüft, bevor er einen verschlüsselten Tunnel zur angeforderten Anwendung erstellt. Die dienstinitiierte Methode ist ideal, wenn Ihr Unternehmen die Endpunkte kontrolliert und die Geräte verwaltet.
• Netzwerkinitiiert (agentenlos): Diese Methode erfordert keinen Softwareagenten. Ein sicheres Browserportal wird genutzt, damit Nutzer sich anmelden können, und dann erstellt ein Gateway eine Proxy-Sitzung vom Nutzer zur internen Anwendung im Backend. Die agentenlose, netzwerkinitiierte Methode ist am besten für Auftragnehmer-, Partner- und/oder BYOD-Geräte, wo es unpraktisch wäre, einen Agenten zu laden.

Funktionale Fokustypen

Über die Einsatzmechaniken hinaus kann ZTNA auch danach kategorisiert werden, was es schützen will. 

• Zugriffsverwaltung ZTNA: Dieser Ansatz konzentriert sich hauptsächlich auf die Authentifizierung der Identität eines Nutzers und dessen Gerätehaltung, sodass er Zugriff auf eine bestimmte Anwendung haben kann. Im Wesentlichen ersetzt es die allgemeine Netzwerksicherheit und das Vertrauen durch hochdetaillierte, anwendungsspezifische Berechtigungen.
• Ressourcenschutz ZTNA: Diese Methode hebt das Konzept der Zero-Trust-Sicherheit auf die nächste Stufe. Es definiert Richtlinien bezüglich der Kommunikation zwischen Arbeitslasten und segmentiert diese innerhalb von Rechenzentren und Multi-Cloud-Umgebungen, um zu verhindern, dass Angreifer sich seitlich bewegen, sobald sie Zugang erhalten haben.

ZTNA-Anwendungsfälle

Hier sind einige beliebte Anwendungsfälle, die die Leistungsfähigkeit von ZTNA-Sicherheitsmodellen veranschaulichen.

VPN ersetzen

VPNs sind langsam, relativ unsicher und können schwer zu verwalten sein. ZTNA wird schnell zum bevorzugten Modell für die Bereitstellung von Fernzugriffen auf zentrale Netzwerke.

Reduzierte Risiken von Drittanbietern und Anbietern

Zugriffsberechtigungen und Datenübertragungen an oder von Dritten oder externen Anbietern sind eine inhärente Sicherheitslücke für Ihre IT-Infrastruktur. ZTNA reduziert diese Risiken, indem es jeden externen Benutzer vor der Verbindung überprüft und sie dann auf die spezifischen Anwendungen oder Datenbanken beschränkt, für die sie zugelassen sind.

Wie man ZTNA in 7 Schritten implementiert

Die Einführung von ZTNA erfordert einen strategischen, methodischen Ansatz, der viel Zeit und Überlegung erfordert. Mit Erkenntnissen aus Gartners Forschung finden Sie im Folgenden sieben Implementierungsschritte bei der Einführung von ZTNA, wobei ein kontinuierlicher Lebenszyklusansatz statt einer einmaligen Einführung betont wird.

1. Definieren Sie das Ziel und den Umfang gemeinsam mit Stakeholdern und Geschäftsführern

Beginnen Sie damit, sich mit wichtigen Stakeholdern und Geschäftsführungskräften abzustimmen, bevor Sie Ihren Technologie-Stack aufbauen. Scopen Sie eine Kerngruppe von Anwendungen, Benutzern und Geräten, beginnend mit einem einfachen Anwendungsfall wie entfernten Wissensarbeitern, und kartieren Sie dann Ihre komplexesten Benutzer.

2. Geschäftsziele mit Zero-Trust-Strategien in Einklang bringen

Ein Zero-Trust-Modell basiert darauf, implizites Vertrauen durch kontinuierlich validiertes explizites Vertrauen zu ersetzen. Entwickeln Sie Ihre Zero-Trust-Strategie anhand dieser drei wichtigsten Leitprinzipien: Gehen Sie von einer Verletzung aus, verwenden Sie Identität und Kontext für alle Zugriffsentscheidungen und bieten Sie den Nutzern nur das notwendige Maß an Zugriff, um ihre zugewiesenen Aufgaben zu erfüllen.

3. Fokus auf Identität und angemessenen Zugang

Tappen Sie nicht in die Falle, denselben Zugriffsgrad bereitzustellen, den Sie unter Ihrer vorherigen VPN-Implementierung hätten. Stattdessen erstellen Sie Zugriffsregeln basierend auf definierten Anwendungs-Anwendungs-Anwendungs-Anwendungsfällen und etablieren Sie geeignete Prozesse zur Identitätsverwaltung und Zugriffsverwaltung.

4. Kartenanwendung vor Beginn der ZTNA-Implementierung

Dokumentieren und kartieren Sie die Beziehung zwischen Benutzern und Anwendungen vor der Bereitstellung. Man kann alles auf einmal aus technischer Sicht dokumentieren und sehr detailorientiert sein oder einen taktischen Ansatz verfolgen und eine begrenzte Anzahl von Anwendungen oder Benutzerbeziehungen implementieren und diese im Laufe der Zeit erweitern.

5. Bereinigen des Zugangs zu Anwendungen

Die Dokumentation und die Kartierung im vorherigen Schritt bieten die Möglichkeit, unnötige Zugriffsrechte zu entfernen, die mit ehemaligen Mitarbeitern, Auftragnehmern, der das Arbeitsverhältnis verlassen hat, oder jedem Benutzer, dessen Rolle sich seit der letzten Zugangsgewährung geändert hat, verbunden sind.

6. Bereiten Sie sich auf operativen Overhead und Komplexität vor

Betrachten Sie Ihre ZTNA-Bereitstellung als fortlaufenden Prozess, nicht als etwas, das einmal festgelegt und vergessen werden kann. Da ständig neue Anwendungen hinzugefügt werden, dynamische Datensätze erstellt werden und sich auch die Art des Geschäfts eines Unternehmens ändern kann, müssen die ZTNA-Richtlinien regelmäßig angepasst werden. Aus diesen Gründen sollten Sie einen formalisierten Prozess für Ausnahmeanfragen entwickeln, damit Ihre Supportteams diese Anfragen bearbeiten können.

7. Validierung von Zugriffskontrollen und Ressourcenisolation

Auch wenn das extrem klingt, vertrauen Sie niemals implizit Ihren eigenen Sicherheitskontrollen; führen Sie regelmäßig eine Art Assurance-Bewertung durch (intern oder extern), um sicherzustellen, dass Ressourcen voneinander isoliert bleiben. Ebenso sollte sichergestellt werden, dass Nutzer weiterhin die richtigen Zugriffsniveaus und die Zugriffsrechte haben, die mit den Richtlinienanpassungen übereinstimmen.

Weitere Überlegungen beim Einsatz von ZTNA

Sie können ZTNA in Ihrem Unternehmen wie folgt bereitstellen:

• Über die Gateway-Integration, bei der jeder Datenverkehr, der versucht, eine Netzwerkgrenze zu überqueren, von Ihrem Gateway gefiltert wird.
• Über ein sicheres softwaredefiniertes WAN, das den Netzwerkzugriff mithilfe eines integrierten Sicherheitsstacks in jedem Netzwerkgerät optimieren und automatisieren kann.
• Über Secure Access Service Edge (SASE), der softwaredefinierte WAN-Sicherheit über eine virtuelle Cloud-Appliance bietet.

ZTNA gilt als Best Practice für Cybersicherheit. Einer der Hauptvorteile ist, dass die Bereitstellung keine umfassende Neugestaltung Ihres bestehenden Netzwerks erfordert. Da jedoch jedes IT-Vorhaben das Einarbeiten von Personen und Geräten, die Neudefinition von Richtlinien und die Sicherstellung der Akzeptanz der Stakeholder erfordert, müssen Entscheidungsträger Folgendes berücksichtigen, bevor sie mit einem ZTNA-Lösungsanbieter zusammenarbeiten:

• Hilft Ihnen die Lösung, Daten und Anwendungen mit Mikroperimetern zu sichern?
• Können Sie Daten während der Übertragung schützen?
• Verfügt es über eine Standard-Deny-Segmentierung sowie granulares Richtliniendesign und -tests?
• Kann es unabhängig von Ihrer bestehenden Infrastruktur eingesetzt werden?
• Bietet es Warnungen bei Verstößen?
• Welche Art von Sicherheitsvorkehrungen für Workloads gibt es?
• Bietet die Lösung benutzerbasierte Segmentierung, Fernzugriffskontrolle und Verhinderung von Lateral-Movement?
• Gibt es eine Segmentierung auf Geräteebene, die Erkennung unbekannter Geräte und eine Gerätequarantäne?
• Gibt es eine standardmäßige Eindämmung, noch bevor Bedrohungen identifiziert werden?
• Welche Arten von Transparenz haben Benutzer, und welche Arten von Audits sind verfügbar?
• Welche Arten von Integrationen sind enthalten? 

Betrachten Sie Folgendes:

• Orchestrierung mit Chef, Puppet oder Ansible
• Orchestrierung von Container-Plattformen mit Red Hat OpenShift, Kubernetes oder Docker
• Sicherheitsanalysen mit Splunk und IBM QRadar
• Schwachstellenmanagement-Tools wie Qualys, Tenable oder Rapid7
• Öffentliche Cloud-Tools wie AWS CloudFormation, AWS GuardDuty und Azure

• Wie schnell kann ich meine Netzwerkumgebungen segmentieren?
• Wie können meine vorhandenen Investitionen wie Host-Firewalls, Switches und Load Balancer genutzt werden, um die Segmentierung über Legacy- und Hybridsysteme hinweg durchzusetzen?
• Welche Arten von REST-API-Integrationen werden unterstützt? Wichtige Werkzeuge, auf die man achten sollte, sind OneOps, Chef, Puppet, Jenkins, Docker und OpenStack Heat/Murano.

ZTNA-Herausforderungen und Einschränkungen

ZTNA ist eine Lösung, die große Sicherheitsprobleme löst, aber es ist kein Allheilmittel für alle Cyberangriffe. Das Verständnis seiner Grenzen hilft Ihnen, ZTNA strategisch einzusetzen, anstatt blind die Herausforderungen und Einschränkungen zu ignorieren, die es mit sich bringt.

• Kompromittierte Zugangsdaten: Da ZTNA zum Zeitpunkt der Verbindung stark auf die Identitätsvalidierung angewiesen ist, kann ein Angreifer, der legitime Zugangsdaten für eine Person erhält, als diese Person auftreten und Zugriff auf dieselben autorisierten Ressourcen erhalten.
• Begrenzte Überwachung nach der Verbindung: Während sich die meisten Standard-ZTNA-Lösungen darauf konzentrieren, zu kontrollieren, wer nach der Verbindung Zugang zu was erhält, überwachen sie in dieser Zeit keine bösartigen Aktivitäten. Bedrohungen wie Ransomware können wiederum frei operieren, ohne vom Sicherheitsteam der Organisation entdeckt zu werden.
• Netzwerk- und DNS-Reibung: Organisationen, die stark auf IP-Adressen angewiesen sind, häufig IP-Wechsel nutzen, hohe Mengen an DNS-Anfragen/-antworten haben oder dynamisches Proxy-Routing nutzen, können feststellen, dass Alt-IP-Dienste (z. B. SMTP), Lastvergleicher und SMB-Verkehr durch diese Netzwerk- und DNS-Anforderungen gestört werden.
• Inkompatibilität von Altsystemen: Damit ältere On-Premises-Anwendungen dynamische und kontextbewusste Richtlinien berücksichtigen können, müssen sie entweder stark angepasst werden oder benötigen Frontend-Proxy-Server, die als Vermittler für diese Anpassungen fungieren.
• On-Premises- und OT-Einschränkungen: Die Mehrheit der ZTNA-Lösungen richtet sich an Remote-Nutzer, die auf cloudbasierte Anwendungen zugreifen. Daher haben sie typischerweise Schwierigkeiten mit internem Büroverkehr und/oder mit industriellen Steuerungssystemen (ICS)/Betriebstechnologien (OT)-Umgebungen, in denen es Verbote gibt, den Datenverkehr über einen externen Cloud-Router zu senden.
• Datenschutzlücken: Während Standard-ZTNA-Implementierungen Mikrosegmentierung auf Netzwerkebene bieten, fehlen ihnen in der Regel eine umfassende Datenverlustprävention (DLP) oder eine vollständige Inspektion von Endpunkt-Inhalten.
• Hohe Kosten und Komplexität: Der Übergang zu ZTNA erfordert Anfangskapital und eine umfassende Überarbeitung der Netzwerkarchitektur, die in der Regel spezialisiertes Sicherheitspersonal erfordert, um effektiv zu verwalten.
• Nutzererfahrungsreibung: Übermäßige Neuerkennung oder schlecht konfigurierte Richtlinien können legitime Arbeitsabläufe blockieren und Mitarbeiter frustrieren.
• Vendor Lock-in: Sobald Organisationen proprietäre Agenten und Gateways für ihre ZTNA-Implementierungen installieren, sind sie darauf beschränkt, ausschließlich diesen Anbieter zu nutzen, was Multi-Cloud/Multi-Vendor-Integrationen erschweren kann.

Wie Illumio ZTNA unterstützt

ZTNA kontrolliert, wer zur Tür hereinkommt. Illumios Zero Trust Segmentation (ZTS) steuert, was passiert, sobald jemand drinnen ist. Illumio kartiert jede Workload-Verbindung in Echtzeit in deiner hybriden Umgebung und setzt dann granulare Richtlinien durch, die laterale Bewegungen stoppen, falls ein Datenbruch auftritt.

Illumio arbeitet zudem direkt mit ZTNA-Anbietern wie Netskope zusammen und integriert Anwendungs-zu-Anwendungs-Transparenz mit Benutzer-zu-Anwendungs-Zugriffskontrollen für ein einheitliches Zero-Trust-Framework. Gemeinsam schließen ZTNA und ZTS sowohl Eintrittspunkte als auch interne Pfade, auf die Angreifer zur Verbreitung angewiesen sind.

ZTNA FAQs

Was ist der Zweck von ZTNA?

ZTNA (Zero Trust Network Access) ersetzt implizite Vertrauensform, also Vertrauen, das Standard ist. Es überprüft kontinuierlich die Identität jedes Nutzers und ermöglicht es diesem Nutzer, sich nur mit den Anwendungen zu verbinden, auf die er Zugriff hat, wodurch alle anderen Teile Ihres Netzwerks von außen verborgen sind.

Ersetzt ZTNA die Firewall?

Nein. Firewalls werden weiterhin Regeln zur Steuerung des Verkehrs auf der Perimeter- und Netzwerkschicht durchsetzen, während ZTNA steuert, welche Nutzer/Geräte auf der Anwendungsschicht Zugriff auf Anwendungen erhalten. Viele Organisationen nutzen sowohl ZTNA als auch traditionelle Firewalls in Kombination als Teil ihrer gesamten Zero-Trust-Architektur.

Was sind die Nachteile von Zero Trust?

Die Umsetzung eines Zero-Trust-Modells erfordert erhebliche Vorabinvestitionen, spezialisierte Fachkräfte und kontinuierliche Anstrengungen, um die Richtlinien an die Geschäftsbedürfnisse anzupassen. Kontinuierliche Verifizierung kann Nutzer auch frustrieren, indem sie Hürden für ihre Arbeit schafft und die legitime Produktivität verlangsamt.

Warum scheitert Zero Trust?

Meistens hält Zero Trust sein Versprechen nicht, weil Organisationen versuchen, es umzusetzen, als wäre es einfach ein neuer Produktkauf (oder eine Technologielösung) und nicht eine Reihe von Phasen durch eine vollständige architektonische Transformation. Dazu gehören schwache Führungskräfte-Unterstützung, Reibungen in Altsystemen und die Unterschätzung der Komplexität, die für eine erfolgreiche Umsetzung von Zero Trust erforderlich ist.

Kann ZTNA NAC ersetzen?

Nicht ganz. ZTNA und NAC erfüllen komplementäre Aufgaben; NAC übernimmt die Sichtbarkeit und das Onboarding auf Netzwerkebene, während ZTNA den granularen Anwendungszugriff steuert, sodass die meisten Umgebungen weiterhin beides benötigen.

‍