Was ist Zero Trust?
Zero Trust ist eine Sicherheitsstrategie. Es handelt sich nicht um ein Produkt oder eine Dienstleistung, sondern um einen Ansatz beim Entwerfen und Implementieren der folgenden Sicherheitsprinzipien:
- Explizit verifizieren
- Verwenden von Zugriff mit den niedrigsten Rechten
- Von einer Sicherheitsverletzung ausgehen
Grundprinzipien von Zero Trust
| Explizit verifizieren | Verwenden von Zugriff mit den niedrigsten Rechten | Von einer Sicherheitsverletzung ausgehen |
|---|---|---|
| Ziehen Sie zur Authentifizierung und Autorisierung immer alle verfügbaren Datenpunkte heran. | Beschränken Sie den Benutzerzugriff mit Just-In-Time- und Just-Enough-Access (JIT/JEA), risikobasierten adaptiven Richtlinien und Datenschutz. | Minimieren Sie Auswirkungsgrad und Segmentzugriff. Überprüfen Sie die End-to-End-Verschlüsselung, und verwenden Sie Analysen, um für Transparenz zu sorgen, die Bedrohungserkennung voranzutreiben und die Abwehr zu verbessern. |
Das ist der Kern von Zero Trust. Anstatt zu glauben, dass alles hinter der Unternehmensfirewall sicher ist, wird beim Zero Trust-Modell standardmäßig von einer Sicherheitsverletzung ausgegangen, und jede Anforderung wird so überprüft, als stamme sie von einem nicht kontrollierten Netzwerk. Unabhängig vom Ursprung der Anforderung oder der Ressource, auf die zugegriffen wird, lehrt uns das Zero Trust-Modell: nie vertrauen, immer prüfen.
Es wurde entwickelt, um sich an die Komplexität der modernen Umgebung anzupassen, die mobile Mitarbeiter einbezieht und Personen, Geräte, Anwendungen und Daten überall schützt, wo sie sich befinden.
Das Zero Trust-Konzept muss alle digitalen Ressourcen abdecken und als integrierte Sicherheitsphilosophie und End-to-End-Strategie fungieren. Zu diesem Zweck werden Zero Trust-Kontrollen und -Technologien in sechs grundlegenden Elementen implementiert. Jedes dieser Elemente ist eine Signalquelle, eine Steuerungsebene für die Erzwingung und eine kritische Ressource, die es zu schützen gilt.
Die Planung der Implementierung eines Zero Trust-Sicherheitsmodells hängt von verschiedenen organisatorischen Anforderungen sowie von vorhandenen Technologieimplementierungen und Sicherheitsstufen ab. Auf der Grundlage unserer Erfahrung mit dem Schutz von Kundenorganisationen sowie mit der Implementierung unseres eigenen Zero Trust-Modells haben wir den folgenden Leitfaden entwickelt, um Ihre Bereitschaft zu bewerten und einen Plan für die Einführung des Zero Trust-Modells auszuarbeiten.
Sie können Ihren Ansatz für Zero Trust rund um diese wichtigen Technologie-Säulen organisieren:
|
|
Schützen der Identität mit Zero Trust Identitäten können Personen, Dienste oder IoT-Geräte darstellen und definieren die Zero Trust-Steuerungsebene. Wenn eine Identität versucht, auf eine Ressource zuzugreifen, überprüfen Sie diese Identität mit einer strengen Authentifizierung, und vergewissern Sie sich, dass der Zugriff für diese Identität konform und typisch ist. Wenden Sie die Prinzipien der geringstmöglichen Zugriffsberechtigungen an. |
|
|
Schützen von Endpunkten mit Zero Trust Nachdem einer Identität Zugriff auf eine Ressource gewährt wurde, können Daten an eine Vielzahl verschiedener Endpunkte fließen – von IoT-Geräten über Smartphones und eigene oder partnerseitig verwaltete Geräte bis hin zu lokalen Workloads und in der Cloud gehosteten Servern. Durch diese Vielfalt ergibt sich eine riesige Angriffsfläche. Überwachen und erzwingen Sie die Integrität und Konformität von Geräten, um einen sicheren Zugriff zu gewährleisten. |
|
|
Absichern von Anwendungen mit Zero Trust Anwendungen und APIs bilden die Schnittstelle, über die Daten genutzt werden. Das können Legacylösungen in der lokalen Umgebung, per Lift & Shift zu Cloudworkloads migrierte Lösungen oder moderne SaaS-Anwendungen sein. Wenden Sie Kontrollen und Technologien an, um Schatten-IT zu erkennen, geeignete Berechtigungen in Apps zu gewährleisten, den Zugriff auf der Grundlage von Echtzeitanalysen einzuschränken, eine Überwachung auf nicht normales Verhalten durchzuführen, Benutzeraktionen zu kontrollieren und die Sicherheit von Konfigurationsoptionen zu überprüfen. |
|
|
Schützen von Daten mit Zero Trust Letztendlich werden Daten durch Sicherheitsteams geschützt. Daten sollten nach Möglichkeit auch dann noch sicher sein, wenn sie die von der Organisation kontrollierten Geräte, Apps, Infrastrukturen oder Netzwerke verlassen. Klassifizieren, kennzeichnen und verschlüsseln Sie Daten, und schränken Sie den Zugriff auf der Grundlage dieser Attribute ein. |
|
|
Schützen der Infrastruktur mit Zero Trust Infrastruktur stellt einen kritischen Angriffsvektor dar. Das gilt sowohl für lokale Server als auch für cloudbasierte virtuelle Computer, Container und Microservices. Bewerten Sie die Version, die Konfiguration und den JIT-Zugriff, um den Schutz zu optimieren. Nutzen Sie Telemetriedaten, um Angriffe und Anomalien zu erkennen, riskantes Verhalten automatisch zu blockieren und zu markieren sowie Schutzmaßnahmen zu ergreifen. |
|
|
Schützen von Netzwerken mit Zero Trust Der Zugriff auf alle Daten erfolgt letztendlich über die Netzwerkinfrastruktur. Netzwerkkontrollen können die Transparenz entscheidend verbessern sowie dazu beitragen, laterale Bewegungen von Angreifern im Netzwerk zu verhindern. Segmentieren Sie Netzwerke (mit einer tiefergehenden netzwerkinternen Mikrosegmentierung), und stellen Sie Bedrohungsschutz in Echtzeit, End-to-End-Verschlüsselung, Überwachung und Analysen bereit. |
|
|
Transparenz, Automatisierung und Orchestrierung mit Zero Trust In unseren Zero Trust-Leitfäden definieren wir den Ansatz zur Implementierung einer umfassenden Zero Trust-Methodik, die sowohl Identitäten, Endpunkte und Geräte als auch Daten, Apps, die Infrastruktur und das Netzwerk umfasst. Diese Aktivitäten erhöhen die Transparenz, sodass Sie über eine bessere Datengrundlage für Vertrauensentscheidungen verfügen. Da durch jeden dieser Bereiche eigene relevante Warnungen generiert werden, benötigen wir eine integrierte Funktion für die Verwaltung des resultierenden Datenaufkommens, um den Schutz vor Bedrohungen zu verbessern und die Vertrauenswürdigkeit von Transaktionen besser überprüfen zu können. |
Bei Zero Trust ist Vertrauen nicht die Regel, sondern die Ausnahme. Eine integrierte Funktion zur automatischen Verwaltung dieser Ausnahmen und Warnungen ist wichtig, damit Sie Bedrohungen leichter finden und erkennen, darauf reagieren und unerwünschte Ereignisse in der gesamten Organisation verhindern oder blockieren können.
Zero Trust und die US Executive Order 14028 über Cybersicherheit
Der US-Exekutivbefehl 14028, Improving the Nation's Cyber Security, leitet Bundesbehörden an, Sicherheitsmaßnahmen voranzutreiben, die das Risiko erfolgreicher Cyberangriffe auf die digitale Infrastruktur der Bundesregierung drastisch reduzieren. Am 26. Januar 2022 wurde vom Office of Management and Budget (OMB) zur Unterstützung der Präsidentenverfügung EO 14028 das Memorandum 22-09 zur bundesweiten Zero Trust-Strategie veröffentlicht.
Zero Trust für Microsoft 365
In Microsoft 365 sind absichtlich zahlreiche Sicherheits- und Informationsschutzfunktionen enthalten, mit deren Hilfe Sie Zero Trust in Ihre Umgebung integrieren können. Viele der Funktionen können erweitert werden, um den Zugriff auf andere in Ihrer Organisation verwendete SaaS-Apps sowie die Daten in diesen Apps zu schützen.
Sehen Sie sich die folgenden wichtigen Ressourcen an, um zu beginnen:
- Zero-Trust-Bereitstellungsplan mit Microsoft 365
- Einrichtungshandbuch zum Microsoft Zero Trust-Sicherheitsmodell
- Erweiterter Bereitstellungsleitfaden für Zero Trust mit Microsoft 365 (Anmeldung erforderlich) im Microsoft 365 Admin Center
Zero Trust für Microsoft Azure
Diese Artikel helfen Ihnen, die Prinzipien der Zero Trust auf Ihre Workloads und Dienste in Microsoft Azure anzuwenden, basierend auf einem multidisziplinären Ansatz zur Anwendung der Zero Trust Prinzipien.
- Azure IaaS
- Azure Virtual Desktop
- Azure Virtual WAN
- IaaS-Anwendungen in Amazon Web Services
- Microsoft Sentinel und Microsoft 365 Defender
Verwandte Links
Zero Trust Übersicht: Dieses Video enthält Informationen zu:
- Zero Trust Definition
- Zero Trust-Prinzipien
- Zero Trust Kernkonzepte
- Schnellmodernisierungsplan (RaMP) gewinnt schnell
Zero Trust – Die offene Gruppe: Dieses Video bietet eine Perspektive auf Zero Trust aus einer Standard-organization.
Nächste Schritte
Auf dieser Website finden Sie Folgendes: