Zero Trust: Unterschied zwischen den Versionen

Aktuelle Version vom 18. Oktober 2024, 17:24 Uhr

Zero Trust - Zero Trust Security Model

Zero Trust Security Model

Ansatz für die Strategie, den Entwurf und die Implementierung von IT-Systemenen

Null-Vertrauen-Sicherheitsmodell
zero trust architecture
Null-Vertrauen-Architektur (ZTA)
perimeterlose Sicherheit

Hauptkonzept

"never trust, always verify"

was bedeutet, dass Benutzern und Geräten standardmäßig nicht vertraut werden sollte, selbst wenn sie mit einem zugelassenen Netzwerk wie einem unternehmenseigenen LAN verbunden sind und auch wenn sie zuvor überprüft wurden.
ZTA wird durch eine strenge Identitätsüberprüfung, die Überprüfung der Konformität von Geräten vor der Zugriffsgewährung und die Sicherstellung des Zugriffs mit geringsten Rechten auf nur ausdrücklich genehmigte Ressourcen umgesetzt.
Die meisten modernen Unternehmensnetze bestehen aus vielen miteinander verbundenen Zonen, Cloud Services und Infrastruktur, Verbindungen zu entfernten und mobilen Umgebungen und Verbindungen zu nicht konventioneller IT, wie IoT-Geräten.
Die Argumentation für Zero Trust ist, dass der traditionelle Ansatz - das Vertrauen in Nutzer und Geräte innerhalb eines fiktiven "Unternehmensperimeters" oder in Nutzer und Geräte, die über ein VPN verbunden sind - in der komplexen Umgebung eines Unternehmensnetzwerks nicht relevant ist.
Der Zero-Trust-Ansatz befürwortet die gegenseitige Authentifizierung, einschließlich der Überprüfung der Identität und Integrität von Nutzern und Geräten ohne Rücksicht auf den Standort, und die Gewährung des Zugangs zu Anwendungen und Diensten auf der Grundlage des Vertrauens in die Identität von Nutzern und Geräten und den Zustand der Geräte in Kombination mit der Authentifizierung der Nutzer.

Die Zero-Trust-Architektur wurde für den Einsatz in bestimmten Bereichen wie Lieferketten vorgeschlagen

Die Grundsätze des Null-Vertrauens können auf den Datenzugang und die Datenverwaltung angewandt werden

Dies führt zu einer Zero-Trust-Datensicherheit, bei der jede Anfrage zum Zugriff auf die Daten dynamisch authentifiziert werden muss und den Least Privileged Access auf Ressourcen gewährleistet.
Um festzustellen, ob der Zugriff gewährt werden kann, können Richtlinien auf der Grundlage der Attribute der Daten, der Person des Benutzers und der Art der Umgebung unter Verwendung der Attributbasierte Zugriffskontrolle (ABAC) angewandt werden.
Dieser Zero-Trust-Ansatz für die Datensicherheit kann den Zugriff auf die Daten schützen.

Entwicklung

Jahr	Ereignis
1994	Im April 1994 wurde der Begriff "Zero Trust" von Stephen Paul Marsh in seiner Doktorarbeit über Computersicherheit an der University of Stirling geprägt. Marshs Arbeit untersuchte Vertrauen als etwas Endliches, das mathematisch beschrieben werden kann, und behauptete, dass das Konzept des Vertrauens über menschliche Faktoren wie Moral, Ethik, Rechtmäßigkeit, Gerechtigkeit und Urteilsvermögen hinausgeht. Die Probleme des Smartie oder M&M-Modells des Netzwerks wurden von einem Ingenieur von Sun Microsystems in einem Network World-Artikel im Mai 1994 beschrieben, der den Schutz durch Brandmauern als eine harte Schale um einen weichen Kern beschrieb, "wie ein Cadbury Egg".
2001	Im Jahr 2001 wurde die erste Version des OSSTMM (Open Source Security Testing Methodology Manual) veröffentlicht, die sich mit dem Thema Vertrauen befasste. Version 3, die um 2007 herauskam, enthält ein ganzes Kapitel über Vertrauen, in dem es heißt: "Vertrauen ist eine Schwachstelle", und in dem es darum geht, wie die 10 OSSTMM-Kontrollen auf der Grundlage von Vertrauensstufen anzuwenden sind.
2003	Im Jahr 2003 wurde auf dem Jericho Forum die Herausforderung der Definition des Perimeters für die IT-Systeme eines Unternehmens hervorgehoben, wobei der Trend der sogenannten "De-Perimeterisation" diskutiert wurde.
2009	Im Jahr 2009 führte Google eine Zero-Trust-Architektur ein, die als BeyondCorp bezeichnet wird.
2010	Im Jahr 2010 verwendete der Analyst John Kindervag von Forrester Research den Begriff "Zero-Trust-Modell", um strengere Cybersicherheitsprogramme und Zugangskontrollen in Unternehmen zu bezeichnen. Es sollte jedoch fast ein Jahrzehnt dauern, bis sich Zero-Trust-Architekturen durchsetzten, was zum Teil auf die zunehmende Verbreitung von Mobil- und Cloud-Diensten zurückzuführen ist.
2018	Im Jahr 2018 führten die Arbeiten von Cybersicherheitsforschern des NIST und des NCCoE in den Vereinigten Staaten zur Veröffentlichung von SP 800-207, Zero Trust Architecture. Die Publikation definiert Zero Trust (ZT) als eine Sammlung von Konzepten und Ideen, die darauf abzielen, die Ungewissheit bei der Erzwingung präziser Zugriffsentscheidungen pro Anfrage in Informationssystemen und -diensten angesichts eines als gefährdet angesehenen Netzwerks zu verringern. Eine Zero-Trust-Architektur (ZTA) ist der Cybersicherheitsplan eines Unternehmens, der Zero-Trust-Konzepte verwendet und Komponentenbeziehungen, Workflow-Planung und Zugriffsrichtlinien umfasst. Ein Zero-Trust-Unternehmen ist also die Netzwerkinfrastruktur (physisch und virtuell) und die Betriebsrichtlinien, die für ein Unternehmen als Produkt eines Zero-Trust-Architekturplans vorhanden sind. Es gibt mehrere Möglichkeiten, alle Grundsätze von ZT zu implementieren; eine vollständige ZTA-Lösung umfasst Elemente aller drei: Verwendung einer erweiterten Identitätsverwaltung und richtlinienbasierter Zugriffskontrollen. Verwendung von Mikro-Segmentierung Verwendung von Overlay-Netzwerken und softwaredefinierten Perimetern
2019	Im Jahr 2019 empfahl das britische National Cyber Security Centre (NCSC), dass Netzwerkarchitekten bei neuen IT-Implementierungen einen Zero-Trust-Ansatz in Betracht ziehen sollten, insbesondere wenn eine umfangreiche Nutzung von Cloud-Diensten geplant ist.

Einen alternativen, aber konsistenten Ansatz verfolgt das NCSC, indem es die Schlüsselprinzipien hinter Zero-Trust-Architekturen aufzeigt

Eine einzige starke Quelle für die Benutzeridentität
Benutzerauthentifizierung
Maschinenauthentifizierung
Zusätzlicher Kontext, wie die Einhaltung von Richtlinien und der Zustand des Geräts
Autorisierungsrichtlinien für den Zugriff auf eine Anwendung
Zugriffskontrollrichtlinien innerhalb einer Anwendung

Anhang

Siehe auch

Zero Trust

Links

Projekt

Weblinks

@@ Zeile 1: / Zeile 1: @@
-'''topic''' - Kurzbeschreibung
+'''Zero Trust''' - Zero Trust Security Model
-== Beschreibung ==
-<noinclude>
+== Zero Trust Security Model ==
-== Anhang ==
+; Ansatz für die Strategie, den Entwurf und die Implementierung von [[IT-Systemen]]en
-=== Siehe auch ===
+* Null-Vertrauen-Sicherheitsmodell
-{{Special:PrefixIndex/{{BASEPAGENAME}}}}
+* '''zero trust architecture'''
-==== Dokumentation ====
+* Null-Vertrauen-Architektur ('''ZTA''')
-==== Links ====
+*'''perimeterlose Sicherheit'''
-===== Projekt =====
-===== Weblinks =====
-= TMP =
+== Hauptkonzept ==
-; Systems Sicherheitsmodell
+; [[trust but verify|"never trust, always verify"]]
-Das '''Null-Vertrauens-Sicherheitsmodell''', auch bekannt als '''Null-Vertrauens-Architektur''' ('''ZTA''') und manchmal auch als '''perimeterlose Sicherheit''', beschreibt einen Ansatz für die Strategie, den Entwurf und die Implementierung von [[IT-Systemen]]en.
+* was bedeutet, dass Benutzern und Geräten standardmäßig nicht vertraut werden sollte, selbst wenn sie mit einem zugelassenen Netzwerk wie einem unternehmenseigenen [[Local Area Network|LAN]] verbunden sind und auch wenn sie zuvor überprüft wurden.
-* Das Hauptkonzept hinter dem Zero-Trust-Sicherheitsmodell ist [[trust but verify|"never trust, always verify,"]], was bedeutet, dass Benutzern und Geräten standardmäßig nicht vertraut werden sollte, selbst wenn sie mit einem zugelassenen Netzwerk wie einem unternehmenseigenen [[Local Area Network|LAN]] verbunden sind und selbst wenn sie zuvor überprüft wurden.
 * ZTA wird durch eine strenge Identitätsüberprüfung, die Überprüfung der Konformität von Geräten vor der Zugriffsgewährung und die Sicherstellung des Zugriffs mit geringsten Rechten auf nur ausdrücklich genehmigte Ressourcen umgesetzt.
 * Die meisten modernen Unternehmensnetze bestehen aus vielen miteinander verbundenen Zonen, [[Cloud Computing|Cloud Services]] und Infrastruktur, Verbindungen zu entfernten und mobilen Umgebungen und Verbindungen zu nicht konventioneller IT, wie [[Internet der Dinge|IoT]]-Geräten.
@@ Zeile 20: / Zeile 16: @@
 * Der Zero-Trust-Ansatz befürwortet die [[gegenseitige Authentifizierung]], einschließlich der Überprüfung der Identität und Integrität von Nutzern und Geräten ohne Rücksicht auf den Standort, und die Gewährung des Zugangs zu Anwendungen und Diensten auf der Grundlage des Vertrauens in die Identität von Nutzern und Geräten und den Zustand der Geräte in Kombination mit der [[Authentifizierung]] der Nutzer.
-Die Zero-Trust-Architektur wurde für den Einsatz in bestimmten Bereichen wie Lieferketten vorgeschlagen.
+; Die Zero-Trust-Architektur wurde für den Einsatz in bestimmten Bereichen wie Lieferketten vorgeschlagen
-Die Grundsätze des Null-Vertrauens können auf den Datenzugang und die Datenverwaltung angewendet werden.
+; Die Grundsätze des Null-Vertrauens können auf den Datenzugang und die Datenverwaltung angewandt werden
 * Dies führt zu einer Zero-Trust-[[Datensicherheit]], bei der jede Anfrage zum Zugriff auf die Daten dynamisch authentifiziert werden muss und den [[Grundsatz des geringsten Privilegs|Least Privileged Access]] auf Ressourcen gewährleistet.
-* Um festzustellen, ob der Zugriff gewährt werden kann, können Richtlinien auf der Grundlage der Attribute der Daten, der Person des Benutzers und der Art der Umgebung unter Verwendung der [[Attributbasierte Zugriffskontrolle|Attributbasierte Zugriffskontrolle (ABAC)]] angewendet werden.
+* Um festzustellen, ob der Zugriff gewährt werden kann, können Richtlinien auf der Grundlage der Attribute der Daten, der Person des Benutzers und der Art der Umgebung unter Verwendung der [[Attributbasierte Zugriffskontrolle|Attributbasierte Zugriffskontrolle (ABAC)]] angewandt werden.
 * Dieser Zero-Trust-Ansatz für die Datensicherheit kann den Zugriff auf die Daten schützen.
-== Geschichte ==
+== Entwicklung ==
-Im April 1994 wurde der Begriff "Zero Trust" von Stephen Paul Marsh in seiner Doktorarbeit über Computersicherheit an der [[University of Stirling]] geprägt.
+{| class="wikitable sortable options"
+|-
+! Jahr !! Ereignis
+|-
+| 1994 || Im April 1994 wurde der Begriff "Zero Trust" von Stephen Paul Marsh in seiner Doktorarbeit über Computersicherheit an der [[University of Stirling]] geprägt.
 * Marshs Arbeit untersuchte Vertrauen als etwas Endliches, das mathematisch beschrieben werden kann, und behauptete, dass das Konzept des Vertrauens über menschliche Faktoren wie [[Moral]], [[Ethik]], [[Rechtmäßigkeit]], [[Gerechtigkeit]] und [[Urteilsvermögen]] hinausgeht.
 Die Probleme des ''[[Smarties|Smartie]]'' oder ''[[M&M's|M&M]]''-Modells des Netzwerks wurden von einem Ingenieur von [[Sun Microsystems]] in einem [[Network World]]-Artikel im Mai 1994 beschrieben, der den Schutz durch Brandmauern als eine harte Schale um einen weichen Kern beschrieb, "wie ein [[Cadbury Creme Egg|Cadbury Egg]]".
+|-
-Im Jahr 2001 wurde die erste Version des OSSTMM (Open Source Security Testing Methodology Manual) veröffentlicht, die sich mit dem Thema Vertrauen befasste.
+| 2001 || Im Jahr 2001 wurde die erste Version des OSSTMM (Open Source Security Testing Methodology Manual) veröffentlicht, die sich mit dem Thema Vertrauen befasste.
 * Version 3, die um 2007 herauskam, enthält ein ganzes Kapitel über Vertrauen, in dem es heißt: "Vertrauen ist eine Schwachstelle", und in dem es darum geht, wie die 10 OSSTMM-Kontrollen auf der Grundlage von Vertrauensstufen anzuwenden sind.
+|-
-Im Jahr 2003 wurde auf dem [[Jericho Forum]] die Herausforderung der Definition des Perimeters für die IT-Systeme eines Unternehmens hervorgehoben, wobei der Trend der sogenannten "[[De-Perimeterisation]]" diskutiert wurde.
+| 2003 || Im Jahr 2003 wurde auf dem [[Jericho Forum]] die Herausforderung der Definition des Perimeters für die IT-Systeme eines Unternehmens hervorgehoben, wobei der Trend der sogenannten "[[De-Perimeterisation]]" diskutiert wurde.
+|-
-Im Jahr 2009 führte [[Google]] eine Zero-Trust-Architektur ein, die als [[BeyondCorp]] bezeichnet wird.
+| 2009 || Im Jahr 2009 führte [[Google]] eine Zero-Trust-Architektur ein, die als [[BeyondCorp]] bezeichnet wird.
+|-
-Im Jahr 2010 verwendete der Analyst John Kindervag von [[Forrester Research]] den Begriff "Zero-Trust-Modell", um strengere Cybersicherheitsprogramme und Zugangskontrollen in Unternehmen zu bezeichnen.
+| 2010 || Im Jahr 2010 verwendete der Analyst John Kindervag von [[Forrester Research]] den Begriff "Zero-Trust-Modell", um strengere Cybersicherheitsprogramme und Zugangskontrollen in Unternehmen zu bezeichnen.
 Es sollte jedoch fast ein Jahrzehnt dauern, bis sich Zero-Trust-Architekturen durchsetzten, was zum Teil auf die zunehmende Verbreitung von Mobil- und Cloud-Diensten zurückzuführen ist.
+|-
-Im Jahr 2018 führten die Arbeiten von Cybersicherheitsforschern des [[NIST]] und des [[National Cybersecurity Center of Excellence|NCCoE]] in den [[Vereinigten Staaten]] zur Veröffentlichung von ''SP 800-207, Zero Trust Architecture''.
+| 2018 || Im Jahr 2018 führten die Arbeiten von Cybersicherheitsforschern des [[NIST]] und des [[National Cybersecurity Center of Excellence|NCCoE]] in den [[Vereinigten Staaten]] zur Veröffentlichung von ''SP 800-207, Zero Trust Architecture''.
 Die Publikation definiert Zero Trust (ZT) als eine Sammlung von Konzepten und Ideen, die darauf abzielen, die Ungewissheit bei der Erzwingung präziser Zugriffsentscheidungen pro Anfrage in Informationssystemen und -diensten angesichts eines als gefährdet angesehenen Netzwerks zu verringern.
@@ Zeile 54: / Zeile 54: @@
 * Verwendung von Mikro-Segmentierung
 * Verwendung von Overlay-Netzwerken und softwaredefinierten Perimetern
+|-
+| 2019 || Im Jahr 2019 empfahl das britische [[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre (NCSC)]], dass Netzwerkarchitekten bei neuen IT-Implementierungen einen Zero-Trust-Ansatz in Betracht ziehen sollten, insbesondere wenn eine umfangreiche Nutzung von Cloud-Diensten geplant ist.
+|}
-Im Jahr 2019 empfahl das britische [[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre (NCSC)]], dass Netzwerkarchitekten bei neuen IT-Implementierungen einen Zero-Trust-Ansatz in Betracht ziehen sollten, insbesondere wenn eine umfangreiche Nutzung von Cloud-Diensten geplant ist.
+; Einen alternativen, aber konsistenten Ansatz verfolgt das [[National Cyber Security Centre (United Kingdom)|NCSC]], indem es die Schlüsselprinzipien hinter Zero-Trust-Architekturen aufzeigt:
-Einen alternativen, aber konsistenten Ansatz verfolgt das [[National Cyber Security Centre (United Kingdom)|NCSC]], indem es die Schlüsselprinzipien hinter Zero-Trust-Architekturen aufzeigt:
 * Eine einzige starke Quelle für die Benutzeridentität
 * Benutzerauthentifizierung
@@ Zeile 65: / Zeile 66: @@
 * Zugriffskontrollrichtlinien innerhalb einer Anwendung
-== Siehe auch ==
+<noinclude>
-* [[Vertraue, aber überprüfe]] ''(Russisches Sprichwort)''
+== Anhang ==
-* [[Blastradius#Verwendung in der Softwaresicherheit|Blastradius]]
+=== Siehe auch ===
-* [[Passwortmüdigkeit]]
+{{Special:PrefixIndex/{{BASEPAGENAME}}}}
-* [[Sichere Zugangsdienstkante]]
+==== Links ====
+===== Projekt =====
-[[Kategorie:Informationssicherheit:Modelle]]
+===== Weblinks =====
-= TMP =
-; Systems security model
-The '''zero trust security model''', also known as '''zero trust architecture''' ('''ZTA'''), and sometimes known as '''perimeterless security''', describes an approach to the strategy, design and implementation of [[IT system]]s.
-* The main concept behind the zero trust security model is [[trust but verify|"never trust, always verify,”]] which means that users and devices should not be trusted by default, even if they are connected to a permissioned network such as a corporate [[Local area network|LAN]] and even if they were previously verified.
-* ZTA is implemented by establishing strong identity verification, validating device compliance prior to granting access, and ensuring least privilege access to only explicitly authorized resources.
-* Most modern corporate networks consist of many interconnected zones, [[Cloud computing|cloud services]] and infrastructure, connections to remote and mobile environments, and connections to non-conventional IT, such as [[Internet of things|IoT]] devices.
-* The reasoning for zero trust is that the traditional approach — trusting users and devices within a notional "corporate perimeter", or users and devices connected via a [[Virtual private network|VPN]] — is not relevant in the complex environment of a corporate network.
-* The zero trust approach advocates [[mutual authentication]], including checking the identity and integrity of users and devices without respect to location, and providing access to applications and services based on the confidence of user and device identity and device health in combination with user [[authentication]].
-The zero trust architecture has been proposed for use in specific areas such as supply chains.
-The principles of zero trust can be applied to data access, and to the management of data.
-* This brings about zero trust [[data security]] where every request to access the data needs to be authenticated dynamically and ensure [[Principle of least privilege|least privileged access]] to resources.
-* In order to determine if access can be granted, policies can be applied based on the attributes of the data, who the user is, and the type of environment using [[Attribute-based access control|Attribute-Based Access Control (ABAC)]].
-* This zero-trust data security approach can protect access to the data.
-== History ==
-In April 1994, the term "zero trust" was coined by Stephen Paul Marsh in his doctoral thesis on computer security at the [[University of Stirling]].
-* Marsh's work studied trust as something finite that can be described mathematically, asserting that the concept of trust transcends human factors such as [[morality]], [[ethics]], [[lawful]]ness, [[justice]], and [[judgement]].
-The problems of the '[[Smarties|Smartie]]' or '[[M&M's|M&M]]' model of the network was described by a [[Sun Microsystems]] engineer in a [[Network World]] article in May 1994, who described fire walls perimeter defence, as a hard shell around a soft centre, "like a [[Cadbury Creme Egg|Cadbury Egg]]”.
-In 2001 the first version of the OSSTMM (Open Source Security Testing Methodology Manual) was released and this had some focus on trust.
-* Version 3 which came out around 2007 has a whole chapter on Trust which says "Trust is a Vulnerability" and talks about how to apply the OSSTMM 10 controls based on Trust levels.
-In 2003 the challenges of defining the perimeter to an organisation's IT systems was highlighted by the [[Jericho Forum]] of this year, discussing the trend of what was then coined "[[de-perimeterisation]]".
-In 2009, [[Google]] implemented a zero trust architecture referred to as [[BeyondCorp]].
-In 2010 the term zero trust model was used by analyst John Kindervag of [[Forrester Research]] to denote stricter cybersecurity programs and access control within corporations.
-However, it would take almost a decade for zero trust architectures to become prevalent, driven in part by increased adoption of mobile and cloud services.
-In 2018, work undertaken in the [[United States]] by cybersecurity researchers at [[NIST]] and [[National Cybersecurity Center of Excellence|NCCoE]] led to the publication of ''SP 800-207, Zero Trust Architecture''.
-The publication defines zero trust (ZT) as a collection of concepts and ideas designed to reduce the uncertainty in enforcing accurate, per-request access decisions in information systems and services in the face of a network viewed as compromised.
-* A zero trust architecture (ZTA) is an enterprise's cyber security plan that utilizes zero trust concepts and encompasses component relationships, workflow planning, and access policies.
-* Therefore, a zero trust enterprise is the network infrastructure (physical and virtual) and operational policies that are in place for an enterprise as a product of a zero trust architecture plan.
-There are several ways to implement all the tenets of ZT; a full ZTA solution will include elements of all three:
-* Using enhanced identity governance and policy-based access controls.
-* Using micro-segmentation
-* Using overlay networks and software-defined perimeters
-In 2019 the United Kingdom [[National Cyber Security Centre (United Kingdom)|National Cyber Security Centre (NCSC)]] recommended that network architects consider a zero trust approach for new IT deployments, particularly where significant use of cloud services is planned.
-An alternative but consistent approach is taken by [[National Cyber Security Centre (United Kingdom)|NCSC]], in identifying the key principles behind zero trust architectures:
-* Single strong source of user identity
-* User authentication
-* Machine authentication
-* Additional context, such as policy compliance and device health
-* Authorization policies to access an application
-* Access control policies within an application
-== See also ==
 * [[Trust, but verify]] ''(Russian proverb)''
 * [[Blast radius#Use in software security|Blast radius]]
@@ Zeile 133: / Zeile 78: @@
 * [[Secure access service edge]]
-[[Kategorie:Informationssicherheit:Modelle]]
+[[Kategorie:ISMS/Modelle]]
 </noinclude>