Zero-Trust vs Perimeterschutz

Zero-Trust erfordert maximale Aufmerksamkeit. Zonierung reduziert Komplexität.

Zero-Trust ist ein aktueller Security Trend.

Konsequent umgesetzt erhöht sich der Aufwand für Security und die Komplexität der Security Governance allerdings enorm. Es muss jedes Artefakt und seine Kommunikation überwacht werden – ein neuer Layer und mehr Komplexität on top.

Richtig am Zero Trust Konzept – und bitter bestätigt durch den Emotet Schaden beim Landgericht Berlin – ist die Einsicht, dass der blosse Schutz der Aussengrenzen (Perimeter) nicht genügt. Defense in depth und Zonierung nach der IEC 62443 sind einfachere und effektive Massnahmen für eine wirksame Security-Architektur.

Das Gute innen, das Böse aussen

Die übliche Vorgehensweise zum Schutz von IT und von Information besteht darin, mit Checklisten IT-Systeme und Massnahmen zu prüfen. Die eigene Organisation wird dabei als zu schützendes Gut verstanden, das von bösen äusseren Einflüssen geschützt werden soll.

Das Gute innen, das Böse aussen: Wie bei einem mittelalterlichen Schloss wird der wertvolle Kern durch Mauern und Abgrenzungen aussen herum geschützt. Die Zugbrücken als Firewalls, die nur kontrollierte Personen und Waren durchlassen, Kanonen (Logging-Systeme) hinter Schussscharten (Ports), et cetera.

Das Problem dabei: Der Feind könnte schon in der Burg sein. Wie ein trojanisches Pferd wartet er im ungeschützten Innersten und schlägt zu, ohne jede Einschränkung. Er schöpft sein böses Tun aus dem Vollen.

Emotet funktioniert so: Einmal als Mailanhang im IT-System inneren aktiviert, kann der Trojaner gnadenlos zuschlagen, weil im Systeminneren alles ungeschützt und im Freien Zugriff offen liegt.

Zero-Trust als neuer Ansatz

Zero Trust steht dafür, dass es auch für Artefakte und Kommunikationswege im inneren, gesicherten Bereich, keinen Vertrauensvorschuss gibt. Statt dessen werden diese laufend überwacht und kontrolliert und können «auffällige» einzelne Objekte im Verdachtsfall gezielt isoliert werden.

Der Aufwand dafür ist recht hoch, muss doch ein alerter Sicherheitslevel on top installiert werden. Zudem ist die Überwachung nicht einfach, müssen doch in Echtzeit akzeptierte von verdächtigen Kommunikationsmustern unterschieden werden. Dabei kommt rasch Künstliche Intelligenz ins Spiel, also die Automatisierung dieser Mustererkennung. Dadurch wird nochmal eine zusätzliche Komplexität hinzugefügt, die eigene Governance erfordert.

Das neue Sicherheitslevel erfordert also auf einer technischen Ebene einen beträchtlichen administrativen Mehraufwand und führt zu einer erhöhten Eigenkomplexität.

Praktische Umsetzung von Zero-Trust

In der Praxis wird Zero Trust am Besten in Kombination mit zonierten Konzepten eingeführt, wie sie beispielsweise die IEC 62443 vorsieht. Dabei werden wie bei Schiffen mit «Schotts» einzelen Bereiche geschaffen, die definierten Sicherheitsregimes unterliegen. Im «Brandfall» können die jeweiligen Schotts geschlossen werden, so dass die destruktive Auswirkung lokal eingeschränkt und kontrolliert werden kann.

Genau das entspricht dem «defense in depth»-Konzept der IEC 62443. Demnach werden konzertiert Schutzzonen geschaffen, im Inneren der Burg werden also weitere abgegrenzte und kontrollierte Bereiche eingerichtet.

Fehlt eine solche innere Sicherheitsarchitektur, kann ein Angreifer überraschend einfach den gesamten Datenbestand exfiltieren und manipulieren und Schäden anrichten, die nur mehr mit einem «Neuaufbau der gesamten IT-Infrastruktur» behoben werden können.

Zerotrust ist weit mehr als nur Technologie und erfordert ein Gesamtkonzept

Die Beschränkung von Zerotrust auf die rein technische Sichtweise erzeugt mehr Probleme als sie lösen kann. Zerotrust erfordert ein entsprechendes unternehmensweites Sicherheitskonzept, das organisatorische und awareness-bezogene Massnahmen als selbstverständlich mit einbezieht. Die Schwerpunkte dabei müssen beim Aufbau einer sicheren Softwareproduktion, bei der Sicherstellung eines sicheren Supply-Chain-Management und beim sicheren Betrieb, insbesondere beim raschen Patchmanagement liegen.

Resümee

Blosser Perimeterschutz, also Schutz der Aussengrenzen, ist nicht mehr zeitgemäss. Zero Trust Lösungen deuten in eine vielversprechende Zukunft. Rein technische Lösungen greifen aber zu kurz.

Eine zonierte Sicherheitsarchitektur nach dem Defense in Depth Prinzip ist die empfohlene und zeitgemässe pragmatische Sicherheitslösung, in Kombination mit weiteren Schutzkonzepten, die sich in der IEC 62443 finden und die notwendige Sicherheit von Operativen Systemen gewährleisten können. Auf einer solchen Basis können Zero Trust Konzepte weiter verfolgt und schrittweise über alle relevanten Wertschöpfungsprozesse hinweg eingeführt werden.