Zero Trust – Paradigmenwechsel für das Cloud Computing Vom IP-Denken zur Automatisierung

Anbieter zum Thema

Vogel IT-Akademie

OutSystems

Der Siegeszug omnipräsenter Cloud-Angebote hat viele Bereiche in der IT verändert. Sicherheit ist nur einer davon. In diesem Zusammenhang taucht der Begriff „Zero Trust“ immer wieder auf.

Zero Trust – Kein Vertrauen. Was bedeutet das? Was steckt dahinter? Geht das überhaupt – Sicherheit ohne jegliches Vertrauen? Dieser Artikel zeigt, dass es gleichzeitig leicht und schwer ist. Anders gesagt: Die Herausforderungen liegen nicht da, wo man sie vermutet.

Zero Trust ist ein Paradigmen-Wechsel. Für ein genaues Verständnis ist ein Rückblick unausweichlich. Wie funktionierte Sicherheit vor dem Zeitalter der Cloud? Die IT-Landschaften waren recht gut „abgeschirmt“.

Was bisher geschah

Da gab es zunächst physikalische Zugriffsbeschränkungen, beispielsweise Mauern, Zäune oder sogar Wachhunde. Dieser Schutz räumt schon mal eine ganze Reihe von Angriffsszenarien aus. Wer böse Absichten hat, muss auf die logischen Schichten ausweichen.

In der Fachsprache bedeutet dies ein Angriff auf IP-Ebene oder gar höher. Diese setzten voraus, dass die eben genannten Schutzmauern wohldefinierte Ein- und Ausgänge haben, die natürlich nicht ohne „Wächter“, also Firewalls auskommen. Deren Zugriffskontrolle basiert auf IP-Adressen. Kommt die Anfrage von der „richtigen“ Nummer, ist der Zutritt erlaubt.

In einer solchen, eher statischen Welt (vor der Cloud) waren diese Konzepte auch ausreichend. Das Rechenzentrum besaß man entweder selbst oder es war eine sehr 'vertraute' Firma. Genauer gesagt: Es gab sehr präzise Kenntnisse über die physikalischen Zustände und deren Schutz der IT-Landschaft.

Das trifft zu einem ausreichenden Teil sogar auf die Belegschaft zu. Wer hat Zugriff zu Rechnern, Datenträgern oder auch einfach zum Stromkabel? Außerdem war die IT an sich recht statisch. IP-Adressen waren sehr fest an bestimmte Systeme, Rechner oder Menschen gebunden. Diese 1:1-Zuordnung war normal, realistisch und ausreichend.

Die Cloud braucht neue Sicherheitskonzepte

In der Ära der großen Cloud-Anbieter hat sich das Szenario der physikalischen Sicherheit deutlich verändert. Die Cloud ist eine Form des hochgradig verteilten Computing, die in der Entwicklung und im Betrieb weitaus komplizierter ist als traditionelle Systeme, die um ein Rechenzentrum herum aufgebaut sind. Verteiltes Computing hat enorme Auswirkungen auf Rechenleistung, Netzwerke, Sicherheit, Verfügbarkeit, Performance und Ausfallsicherheit.

Eine weitere Komplikation der Cloud ist der Begriff der Elastizität, der es Unternehmen ermöglicht, flexibler zu sein, indem sie Instanzen bei Verkehrsspitzen hoch- und herunterfahren können. Dies beinhaltet eine ganze Reihe von Machine-to-Machine-, Human-to-Machine- und Human-to-Human-Transaktionen, Kommunikationen und Interaktionen.

Der Zugriff auf diese Systeme und Dienste erfolgt über Endpunkte. Damit sind Systeme und Netzwerke gemeint, die einerseits durch Zugriffs- und Autorisierungs-Tools überwacht und reguliert werden müssen, andererseits sowohl bereitgestellt als auch zuverlässig durchgesetzt werden müssen. Ein solches Maß an Komplexität und Umfang schafft nicht einfach nur mehr Lücken im Perimeter, durch die Daten abgegriffen werden können - es schafft ein Labyrinth, das es zu verwalten gilt.

Rechnen mit Unbekannten

Es steht außer Frage, dass die Rechenzentren großer Cloud-Anbieter über moderne und hochaktuelle Sicherheitssysteme verfügen. Aber wir kennen die Details nicht ausreichend. Ganz zu schweigen von der Belegschaft, die Zugriff auf die Hardware und untere Schichten des Technologie-Stapels hat.

Es ist unklar, was passiert, wenn der Fall der Fälle eintritt. Eine Art Rechtsstreit mit den Cloud-Giganten scheint kein vielversprechender Weg zu sein. Dazu muss es aber gar nicht kommen - nicht mal ansatzweise.

Lässt sich wenigstens das Konzept der IP-Adressen retten? Nicht wirklich. Dynamik und Skalierbarkeit sind nur zwei der oft genannten Vorteile der Cloud. Rechner, Systeme, Anwendungen sind schnelllebig und damit auch die verbundenen IP-Adressen. Dieselbe Nummer kann heute einer vertrauenswürdigen Instanz gehören und schon innerhalb von Stunden in den Händen von böswilligen Angreifern sein.

Die 1:1-Zuordnung von weiter oben im Text ist hinfällig. Klar, ohne Authentisierung geht es nicht. Es braucht also neue Ansätze. Das Lösungswort lautet: Zero Trust. Eine einfache Übersetzung aus dem Englischen kann irreführend sein. Es geht nämlich weniger darum, Vertrauen an sich zu kündigen. Das Ziel ist vielmehr, neue Vertrauensverhältnisse aufzubauen.

Zero Trust als neuer Standard

Was ist die Basis des neuen Ansatzes? Die Bezeichnung Zero Trust impliziert zunächst, dass man nichts und niemandem vertraut. Das ist auch – wenn auch sehr grob – richtig, allerdings nur der Anfang des Gedankengangs.

Die Wahrheit ist: Jeder muss sich authentifizieren und alles muss verschlüsselt sein. Es gibt also doch noch Vertrauen. Es ist nur anders. Es geht nicht mehr darum, ob etwas vor oder hinter der Firewall liegt. Und auch die IP-Adresse reicht nicht mehr als Passierschein. Das Vertrauen liegt nun bei sicheren Mechanismen zur Verschlüsselung und zur Authentisierung auf granularer Ebene. Dabei lautet das Schlüsselwort 'Identität'.

Die Notwendigkeit neuer Werkzeuge und Prozesse liegt quasi auf der Hand. Aber auch das ist nicht die ganze Wahrheit – dazu später mehr. Die IT-Welt in der Cloud ist hochgradig dynamisch. Dieser Wechselfrequenz ist der Mensch nicht gewachsen. Die Standard-Antwort darauf lautet Automatisierung.

Maschinen und Software können mit der hohen Frequenz der Änderungen mithalten oder diese sogar überbieten. Aber auch Automatisierung muss hier auf einer höheren Eben stattfinden. Dabei führt der Weg von der einzelnen Komponente, der Instanz, dem Server hin zum Komplettdienst für den Anwender, zu Richtlinien und einem eher ganzheitlichen Ansatz.

In einem Modell, das die Cloud operationalisiert, bedeutet Zero Trust die Kodifizierung von Richtlinien und Verfahren. Infrastruktur ist Code in der Cloud, daher ist es sinnvoll, diese Infrastruktur mit kodifizierten Richtlinien zu verwalten und zu betreiben. Sie müssen Regeln für die Autorisierung, den Zugriff, den Datenverkehr und die Netzwerkkonfigurationen über Ihre Laufzeiten und Anbieter hinweg kodifizieren.

Das bedeutet Automatisierung

Die Automatisierung bedeutet, dass diese kodifizierten Richtlinien für Bereiche wie Zugriff und Autorisierung in einer sich schnell ändernden und fließenden Cloud-Umgebung angewendet und durchgesetzt werden können. Außerdem können Sie damit Sicherheitsressourcen wie Token, Benutzernamen und Passwörter verwalten und managen.

Durch Automatisierung kann eine skalierbare Zero-Trust-Richtlinie bereitgestellt werden. Es ist möglich, Autorisierungs- und Traffic-Regeln innerhalb des verschlüsselten Traffics zu kodifizieren und gleichzeitig den identitätsbasierten Zugriff zu automatisieren. Die Automatisierung von Richtlinien bedeutet, dass sie effizient betrieben werden, ohne dass menschliche Interaktion erforderlich ist.

Unternehmen, die automatisierte Sicherheitstechnologien einsetzen, können laut Umfragen mehr als 1,5 Mio. US-Dollar an Gesamtkosten für eine Sicherheitsverletzung einsparen – verglichen mit Unternehmen, die ihre Sicherheit nicht automatisiert haben.

Bekannter Wein in unbekannten Schläuchen

Vor Zero Trust basierte Authentisierung auf IP-Adressen. Die Überprüfung erfolgt durch Firewalls. Deren Konfiguration, aber auch jedwede Problemverfolgung, erfolgte in ausreichend großen Umgebungen über eine zentrale Verwaltungsstelle. Anders und doch analog funktioniert es bei Zero Trust. Identitäten ersetzen die IP-Adressen.

Automatisierung kompensiert die viel größere Menge an Daten und deren Verteilung. Die zentrale Verwaltung existiert auch - aber die Granularität ist ein andere. Anstelle von Einzelelementen wie IP-Adressen finden sich hier nun größere Konstrukte wie Richtlinien, Regeln und Beschreibungen.

Die Analyse von Problemen findet ebenfalls hier statt. Erfahrene IT-Experten ahnen, dass auch hier ein gewisses Maß an Automatisierung nötig ist. Ein solcher Paradigmenwechsel lässt sich nicht einfach durch neue Software und Werkzeuge bewältigen.

Nicht weniger als ein Kulturwandel

Der Ansatz von Zero Trust erfordert ein echtes Umdenken in der IT-Organisation: einerseits eine viel tiefere und stärker verteilte Sicht, gleichzeitig aber eine Perspektive, die deutlich weiter und umfassender ist. Dieser Wandel in den Köpfen ist nicht unbedingt einfach. Ein bewährtes Rezept ist es zunächst, sich gedanklich vom IP-Adresse-basierten Konzept zu lösen. Danach ist eine erhebliches Maß an Automatisierung erforderlich.

Das öffnet die Tür für eine neue Sichtweise. Die IT-Landschaft besteht nicht mehr aus harten Dingen wie Hardware oder Nummern. Nein, alles ist irgendwie durch Software realisierbar oder darstellbar. Infrastructure as a Code ist nur eine Variante dieser Sichtweise. „Authorisation as a Code“ oder „Access as a Code“ trifft es noch besser.

Fachleute sprechen von einem Kulturwandel in der IT und insbesondere der Computer-Sicherheit. Gelingt dies, ist der schwierigste Teil geschafft. Den Rest erledigen Automatisierung und der Einsatz moderner Software.

Über den Autor

Lance Haig ist Regional Manager of Solutions Engineering bei Hashicorp mit Sitz in DACH. Er verfügt über 26 Jahre Erfahrung in den Bereichen Unternehmensführung sowie Operations- und Infrastruktur-Management.

Haig arbeitet mit einem starken Team von Solutions-Engineers. Gemeinsam unterstützen sie Kunden dabei, die Hashicorp-Tools „Terraform“, „Vault“, „Consul“ und „Nomad“ effizient in den Unternehmen einzusetzen, um in dieser sich schnell verändernden digitalen Welt Wertschöpfung und Sicherheit zu gewährleisten.

(ID:47409236)