Palo Alto Networks hat das sogenannte Zero Trust Network Access (ZTNA) 2.0, das den Fokus von ZTNA vom Netzwerk auf die Anwendungsebene verlagert.
Die Umsetzung von Zero Trust steht bei Sicherheitsexperten seit einigen Jahren ganz oben auf der Agenda. Vor der Pandemie gewann das Thema an Bedeutung, doch das Interesse daran explodierte, als die Arbeit von zu Hause aus zunahm, Anwendungen in die Cloud verlagert wurden und die IT-Umgebung komplexer wurde. In vielen Fällen wurden Netzwerke zu kompliziert, um sie mit herkömmlichen Tools abzusichern.
ZTNA birgt zwar großes Potenzial, doch in der Realität wurde es für eine völlig andere Umgebung entwickelt, weshalb aktuelle Lösungen durchaus Einschränkungen aufweisen.
Das größte Problem besteht darin, dass die meisten ZTNA-1.0-Lösungen gegen das Prinzip der geringstmöglichen Berechtigungen verstoßen. Das Internet wurde nach dem Prinzip entwickelt, dass alles mit allem kommunizieren kann, weshalb es so schnell ist. Der Nachteil: Wird ein Netzwerk kompromittiert, hat der Angreifer Zugriff auf die gesamte Umgebung. ZTNA kehrt dieses Prinzip um und besagt, dass nichts mit irgendetwas anderem kommunizieren darf, sofern dies nicht ausdrücklich erlaubt wurde – genau das ist das Prinzip der geringstmöglichen Berechtigungen.
Siehe auch: Secure Access Service Edge: Große Vorteile, große Herausforderungen
Netzwerkzentriertes Zero Trust und Bedrohungen auf Anwendungsebene
Das Problem bei den meisten aktuellen ZTNA-Lösungen besteht darin, dass sie Netzwerkkonstrukte wie IP-Adressen und Portnummern verwenden. Das kann funktionieren, wenn Systeme statisch adressiert werden, doch die meisten modernen Anwendungen nutzen dynamische Adressen und Ports. Daher müssen die Richtlinien den Zugriff auf einen großen Bereich von IP-Adressen und Ports erlauben, wodurch eine weitaus größere Angriffsfläche offengelegt wird als nötig.
Außerdem wird der Zugriff typischerweise auf Anwendungsebene beschränkt, nicht auf der Ebene von Unteranwendungen oder App-Funktionen, wodurch ebenfalls mehr offengelegt wird als erforderlich. Jede Malware, die dieselben Adressen und Ports verwendet, kann in die Umgebung eindringen und sich anschließend lateral ausbreiten.
Durch den Betrieb auf der Anwendungsebene lässt sich das Prinzip der geringstmöglichen Berechtigungen umsetzen, da dies eine präzise Zugriffskontrolle auf Anwendungs- und sogar Unteranwendungsebene unabhängig vom Netzwerk ermöglicht. Das kann in hochdynamischen Umgebungen besonders nützlich sein, in denen Benutzer und Anwendungen ständig ihren Standort wechseln, da keine Richtlinien neu geschrieben oder angepasst werden müssen.
ZTNA 2.0 validiert Vertrauen kontinuierlich
Ein weiteres Problem beim herkömmlichen ZTNA besteht darin, dass die Verbindung, sobald der Zugriff auf eine Anwendung gewährt wurde, dauerhaft implizit als vertrauenswürdig gilt. Die Annahme lautet, dass sich Benutzer und App vertrauenswürdig verhalten werden, was nicht immer der Fall ist.
Die meisten Sicherheitsverletzungen erfolgen im Rahmen erlaubter Aktivitäten, weshalb das „Erlauben und Ignorieren“-Modell von ZTNA-1.0-Lösungen ein erhebliches Risiko darstellt. Der ZTNA-2.0-Ansatz von Palo Alto Networks bewertet das Vertrauen kontinuierlich anhand von Veränderungen am Sicherheitsstatus des Geräts sowie am Verhalten von Benutzern und Anwendungen. Deaktiviert ein Benutzer beispielsweise eine Sicherheitsfunktion oder greift von einem unerwarteten Standort aus auf Anwendungen zu, wird der Zugriff in Echtzeit entzogen.
Der Wechsel auf die Anwendungsebene ermöglicht eine kontinuierliche Sicherheitsprüfung. In vielerlei Hinsicht wurden aktuelle ZTNA-Lösungen als Zugriffskontrollmechanismus konzipiert, als intelligentere und bessere VPN. Die Integration einer kontinuierlichen Sicherheitsprüfung ermöglicht es, Malware oder laterale Bewegungen über Verbindungen zu erkennen oder zu verhindern, sobald der Zugriff gewährt wurde.
Die Lösung von Palo Alto bietet eine umfassende und kontinuierliche Prüfung des gesamten Datenverkehrs, auch bei erlaubten Verbindungen. Das schützt vor Zero-Day-Angriffen und anderen Bedrohungen. Das ist in Szenarien wichtig, in denen legitime Benutzeranmeldedaten gestohlen und für böswillige Zwecke verwendet werden.
Siehe auch: Der erfolgreiche CISO: So gewinnt man das Vertrauen der Stakeholder
Cloud-native Apps erfordern eine modernisierte Sicherheit
Zuletzt schützt ZTNA 2.0 alle Anwendungen. ZTNA der ersten Generation kann nur private Apps absichern, die statische IP-Adressen und Ports verwenden. Dadurch bleiben mikroservicebasierte, cloudnative Anwendungen, die dynamische Ports verwenden, Angriffen schutzlos ausgeliefert.
Sprach- und Video-Apps sind hervorragende Beispiele dafür; ihre Nutzung nahm während der Pandemie explosionsartig zu. Außerdem sind die meisten ZTNA-Lösungen gegenüber SaaS-Apps blind und erfordern die zusätzliche Bereitstellung eines CASB. Angesichts der zunehmenden Verlagerung von Anwendungen in SaaS ist dies eine immer größere Einschränkung von ZTNA der ersten Generation. Da ZTNA 2.0 auf der Anwendungsebene arbeitet, erkennt es jede App – ob aus der Cloud oder eine Legacy-Anwendung.
Zusätzlich zur Bereitstellung von ZTNA 2.0 hat Palo Alto Networks die folgenden neuen Funktionen für Prisma Access:
- ZTNA Connector vereinfacht das Onboarding cloudnativer und herkömmlicher Anwendungen in den Dienst und damit die Bereitstellung.
- Einheitliche SASE-Lösung ermöglicht Kunden ein einheitliches Richtlinien-Framework und Datenmodell für alle SASE-Funktionen.
- Autonomes Management der digitalen Nutzererfahrung im Self-Service benachrichtigt Administratoren proaktiv über Probleme, die sofortige Aufmerksamkeit erfordern, und gibt anschließend Empfehlungen zu deren Behebung.
Die Welt erholt sich langsam von den Auswirkungen der Pandemie, und das bringt mehrere Veränderungen in unserer heutigen Lebensweise mit sich. Einer der größten Unterschiede besteht darin, dass hybrides Arbeiten auf absehbare Zeit bleiben wird. Das erfordert ein völlig neues Denken darüber, wie sicherer Zugriff auf Anwendungen bereitgestellt werden kann.
Zero Trust ist der richtige Weg in die Zukunft, doch nicht alle Lösungen sind gleich. Sicherheitsexperten sollten nach einer Lösung suchen, die auf der Anwendungsebene arbeitet. Sie bietet deutlich mehr Sicherheit, Agilität und Automatisierung als Produkte der ersten Generation.
Siehe auch: NTT beantwortet die Fragen nach dem Warum und Wann von privatem 5G