零到英雄:零信任安全如何拯救你的网络

Laurent Bouchoucha

Dezember 06, 2021

零信任是企业和组织的最佳解决方案, um die Sicherheit ihrer IT-Hardware und der angeschlossenen Geräte zu gewährleisten und die Mitarbeiter zu schützen.

Zero Trust ist kein neues Konzept. Die Pandemie und der Wandel hin zu einer stärker digitalisierten Gesellschaft werfen jedoch Probleme und Fragen auf, die bisher nicht im Blickfeld waren, 并将零信任安全置于中心地位.

Heute sind mehr vernetzte Internet-of-Things-Geräte (IoT) im Einsatz als je zuvor. 这些设备被设计为提供单一的服务。, 不幸的是，设备的安全性并不是最重要的。. Der Mangel an integrierten Sicherheitsvorkehrungen macht IoT-Geräte anfällig für Angriffe, eröffnet Angreifern aber auch einen potenziellen Zugang zum gesamten Unternehmensnetzwerk.

Unternehmen, 正在数字化转型之路上, müssen unbedingt darauf achten, 他们的网络基础设施是安全的. Die Netzwerksegmentierung, 零信任安全原则, ermöglicht es, Angriffe zu verhindern. 一旦宣布妥协, 可以减少潜在的攻击风险. 网络中的横向移动可能受到限制。, 为了不影响其他连接的系统.

Zero Trust auf einen Blick

Im Business Computing und in Unternehmensumgebungen gibt es zwei Ansätze für die Netzwerksegmentierung, 取决于现有的信任水平. 传统上，信任的界限是有形的和隐性的。, 这样计算机网络就有防火墙保护. 简单地说，这意味着内在的东西受到外部世界的保护。. 然而，这种方法需要进一步发展。, 因为威胁的风险增加了.

In der Welt von Zero Trust ist das Vertrauen dynamisch und veränderbar und wird nicht einmal mehr innerhalb des Netzwerks vorausgesetzt. 它的座右铭是“永远不要相信，永远不要检查”。. h. 结构的行为就像系统中已经存在攻击者一样. In Anlehnung an diesen Grundgedanken ist der erste Schritte die Netzzugriffskontrolle (NAC) – die Identifizierung von Objekten und die Authentifizierung der vernetzten Nutzer. Auf der Grundlage dieser Faktoren wird eine Makro-Segmentierung mithilfe von Firewalls eingerichtet, um den Datenverkehr zwischen verschiedenen Klassen von Objekten und Nutzern zu filtern. Sie könnten zum Beispiel Überwachungskameras und Sensoren der Gebäudeverwaltung isolieren. Auf der Grundlage der Identifizierung ermöglicht eine zweite Filterstufe innerhalb eines Segments eine Verfeinerung und Mikro-Segmentierung. 第二步的目的是防止, dass die Überwachungskameras innerhalb desselben Netzwerksegments miteinander kommunizieren.

为什么零信任在今天如此重要

在过去的18个月里，网络攻击激增, 企业的成本是巨大的. Hinzu kommt, dass Hacker immer raffiniertere und bösartigere Angriffe durchführen. Da Zero Trust die Identifizierung und Authentifizierung jedes Geräts und jedes Nutzers erfordert, 在获准进入网络之前, 可以阻止甚至防止许多攻击. 这是由于网络分割, 限制攻击的范围和传播.

Durch die intelligente Kombination aus Makro- und Mikro-Segmentierung bietet der Zero-Trust-Ansatz einen begrenzten und mobilen Sicherheitsbereich um jeden Nutzer und jedes Objekt herum. Unternehmen verwalten die Zugangskontrollen zum Netzwerk, definieren Berechtigungen (z. B. 进入任务区域)，并且能够, 封锁和遏制威胁, 因为网络不断地寻找不适当或可疑的行为.

新的网络功能允许零信任, was den Grad der Abwehr erweiterter und ausgefeilter Cyberangriffe proportional erhöht.

实现零信任网络的五个步骤

Es ist zwar relativ einfach, ein sicheres Zero-Trust-Netzwerk von Grund auf neu aufzubauen (beispielsweise neue Räumlichkeiten und neue Strukturen), 但大多数公司已经有了自己的网络。. 因此，他们面临的挑战是, die Ansätze so in Einklang zu bringen, dass sie den Bedürfnissen des Unternehmens gerecht werden und es gleichzeitig vor Angriffen schützen. 以下是实现零信任战略的五个步骤:

1. Überwachen: Identifizieren Sie alle Geräte, Peripheriegeräte, 连接的设备和身份验证所有人, die Zugang zum Netzwerk haben. 自动创建和维护对象库存记录.

2. Validieren: Kontrollieren Sie alle angeschlossenen Geräte und legen Sie diejenigen als ungültig fest, 没有资格参加这项活动. 这增加了攻击的可能性。. 应用最低权利原则, bei dem nur die für die Ausführung einer Aufgabe erforderlichen Berechtigungen erteilt werden. 如果网络检测到不符合规定的设备, 必须实施恢复或修复计划.

3. Planen: 使用用户的所有设备, 信任他们的工作流程和产生的数据流量, 将这些数据转换为安全策略, die auf intelligente Weise Makro-Segmentierung (Input/Output-Kontrolle) und Mikro-Segmentierung (fein abgestufte Sicherheitsregeln) kombiniert.

4. Simulieren: 同时旋转身份验证, Authentifizierung und Sicherheitsrichtlinie im „fail open“-Modus an: Alle Geräte werden autorisiert und das Netzwerkverhalten wird protokolliert und indiziert, um Autorisierungsschemas und eine angepasste Sicherheitsrichtlinie für das Netzwerk zu erstellen. Dieser entscheidende Schritt dient der Optimierung der Sicherheitsrichtlinien und stellt gleichzeitig sicher, 确保正常活动不受干扰.

5. Durchsetzen: Im letzten Schritt wird aus dem „fail open“ ein „fail close“: Authentifizierungsfehler werden nicht mehr toleriert, 所有未被引用的用户或设备将被拒绝, 停止所有不允许的操作. 对网络的即时监控, um zu überprüfen, 是否已识别所有设备并对用户进行身份验证, um im Netzwerk zugelassen zu werden, 或者他们是否应该被隔离, 在安全测试期间.

Kurz und bündig

零信任方法允许识别数据流量, 在库存中自动存储对象, die Erstellung geplanter Regeln für das Netzwerk und die Freigabe von Benutzer- und IoT-Profilen gemäß den Regeln. Er ermöglicht zudem die Ermittlung der DoS-Angriffe über das zentrale IDS oder Switches und optional das Verhängen einer Quarantäne für verdächtige Abläufe in einem begrenzten und dynamischen Perimeter.

Zero Trust bietet eine Authentifizierungsstrategie und eine einheitliche Sicherheitsrichtlinie für die gesamte Infrastruktur des Netzwerks, die entsprechend den Bedürfnissen der Nutzer und der angeschlossenen Technologien umgesetzt wird. Die intelligente Kombination aus Makro- und Mikro-Segmentierung – mit einer Quarantäne bei Verletzung von Sicherheitsregeln – gewährleistet ein Höchstmaß an Sicherheit für Ihre Netzwerkinfrastruktur. In einer zunehmend von Volatilität, Ungewissheit, Komplexität und Mehrdeutigkeit geprägten Welt ist der Zero-Trust-Ansatz die beste Lösung, um die Sicherheit von Computernetzwerken und Unternehmensressourcen zu gewährleisten.