Zero-Trust-Netzwerke
Sicherheit für das Cloud-Zeitalter
Fortsetzung des Artikels von Teil 1
Das SDP-Konzept
Um möglichst wenig Angriffsfläche zu bieten, setzt das SDP-Konzept auf zusätzliche Sicherheitsmechanismen: die Kombination von Netzwerk-Virtualisierung, Segmentierung und Ende-zu-Ende-Verschlüsselung. Da ein Software-Defined Perimeter weitestgehend unabhängig von der zugrunde liegenden IP-basierten Infrastruktur agiert, bietet das Konzept eine effektive Architektur für die Einführung einer Zero-Trust-Strategie. Die im SDP implementierten Sicherheitsmechanismen greifen noch vor der Transport- und Session-Schicht in die TCP/IP-Netzwerkschicht ein. Dies ist ein wichtiger Aspekt, da die Transportschicht die Host-zu-Host-Kommunikationsdienste für Anwendungen bereitstellt und der Session-Layer für das Session-Handling von Verbindungen zwischen Endbenutzer-Anwendungsprozessen verantwortlich ist.
Viele Unternehmen setzen heute noch auf rein IP-basierte Kontrollfunktionen, um auf den Schichten 1 bis 4 des OSI-Stacks ein Trust-Modell zu etablieren. Dieser Ansatz stellt aber ein grundsätzliches Problem dar, denn IP-Adressen fehlt jede Information über einen Nutzer oder über die Integrität eines IT-Geräts. IP-Adressen liefern lediglich Verbindungsdaten, geben aber keinen Hinweis auf die Vertrauenswürdigkeit eines Endpunkts oder eines Benutzers. Ein Beispiel dafür ist das bidirektional arbeitende Protokoll TCP. Es arbeitet auf Schicht 4 des OSI-Netzwerk-Stacks und ermöglicht es internen vertrauenswürdigen Hosts, mit externen nicht vertrauenswürdigen Hosts zu kommunizieren. Dabei können auch potenziell gefährliche oder veränderte Datenpakete in ein internes Netz gelangen. Jede Änderung an einer einzelnen IP-Adresse kann zudem einen hohen Konfigurationsaufwand mit sich bringen, wodurch sich leicht Fehler in Netzwerk-Sicherheitsgruppen und Access-Listen einschleichen können. Schlecht konfigurierte interne Hosts bieten Hackern einen leichten Einstiegspunkt, indem sie Standardantworten auf veraltete Protokolle wie ICMP versenden. Die allgemeine Transparenz von IP-Netzwerkverbindungen ist eines der Hauptprobleme der IP-basierten Netzwerksicherheit und stellt eine Hürde für die Implementierung von erweiterten IT-Sicherheitslösungen dar.
Individuelle Anwendungen mit zusätzlichen Sicherheitsmechanismen auszustatten ist eine komplexe, zeit- und kostenintensive Herausforderung. Die Nachrüstung von Sicherheitsfunktionen in Anwendungs- und Containerplattformen erfordert die Integration von Access Control, Identitäts-Management, Token- und Firewall-Management sowie eine übergreifende Orchestrierung. Dieser Aufwand erweist sich für die meisten IT-Organisationen jedoch als kaum zu meistern. Deshalb erfolgt die Implementierung zusätzlicher Security-Kontrollmechanismen heute meist durch das zentralisierte Erfassen von Verlaufsdaten auf Protokollebene. Diese Informationen erreichen dann ein zentrales SIEM- oder SOAR-System (Security-Information- und Event-Management; Security Orchestration, Automation, and Response) zur Analyse.
- Sicherheit für das Cloud-Zeitalter
- Das SDP-Konzept
- Network Access Control
Lesen Sie mehr zum Thema
