Startseite > Security > Sichere Overlays

Open-Source-Projekt OpenZiti

Sichere Overlays

14. Oktober 2022, 7:00 Uhr | Philip Griffiths/wg

Fortsetzung des Artikels von Teil 1

Der Vorteil von Open Source

Vor etwas mehr als zehn Jahren liefen bei der Verwendung eines Browsers für den Zugriff auf Websites alle Daten über das unverschlüsselte HTTP. Dann kamen kostenlose, quelloffene Techniken wie HTTPS Everywhere und Let‘s Encrypt auf. HTTPS entpuppte sich als die bessere Idee und wurde so leicht zugänglich und weithin verfügbar, dass alle großen Browser es implementierten, was zum Ausscheiden von HTTPS Everywhere führte. Es ist heute erforderlich, den gleichen Prozess zu durchlaufen, um die Anwendungen zu sichern. Der Versuch der Absicherung des Netzwerks, die eigentlich unmöglich ist, muss der Vergangenheit angehören, genau wie ehedem HTTPS Everywhere. Stattdessen ist es notwendig, alle eingehenden Netzwerkverbindungen für alle Anwendungen und Systeme zu schließen, um die Aufklärungs- und Erstzugriffstaktiken (gemäß MITRE Att&ck Framework) zu unterbrechen und laterale Bewegungen der Angreifer im Netzwerk einzuschränken.

Das Schließen dieser Verbindungen kann helfen, Ransomware zu ersticken und die größten Risiken von Angriffen wie Log4Shell zu mindern. Die Einbettung von Zero-Trust-Konnektivität in Anwendungen und Systeme ermöglicht es Unternehmen, alle eingehenden Firewall-Ports und Link-Listener zu blockieren. So können sie den Zugriff auf alle Anwendungen, APIs, Server und Datenbankaufrufe auf autorisierte Sitzungen in einem Zero-Trust-Overlay-Netzwerk beschränken.

OpenZiti umfasst alle Bausteine, die für ein privates, vertrauensfreies (also Zero-Trust-) Overlay-Netzwerk notwendig sind. Mit Zero-Trust-Prinzipien in der Anwendung ist diese selbst dann geschützt, wenn Angreifer eine andere Applikation auf dem Betriebssystem kompromittiert haben. Die „zitifizierte“ Anwendung ist vor netzwerkbasierten Side-Channel-Angriffen geschützt, da sie keine lauschenden Ports besitzt und sich nur über OpenZiti ansprechen lässt. Dieses erzwingt die Autorisierung von Anwendungen vor der Verbindung mit dem Netzwerk. Die Anwendungen sind in Mikrosegmente unterteilt, die Kommunikation Ende-zu-Ende verschlüsselt, die Metadaten sind verschleiert und Posture-Checks ermöglichen eine kontinuierliche Autorisierung.