Für jeden, der schon länger in der Cybersicherheits- oder Tech-Branche tätig ist, können sich ein oder zwei Jahre wie eine Ewigkeit anfühlen, und ein Jahrzehnt hinterlässt in der Regel genug Techno-Fossilien, um unzählige Lagerhäuser zu füllen. Es ist daher kaum zu glauben, dass die Diskussion um Zero Trust nun schon seit fast 30 Jahren geführt wird. Ziel dieser Blogserie ist es, einen kurzen Überblick darüber zu geben, wie sich die Zero-Trust-Architektur dorthin entwickelt hat, wo sie heute steht, einige spezifische technologische und branchenspezifische Stimmungsänderungen auf dem Weg dorthin hervorzuheben und schließlich eine Parallele zwischen der viel jüngeren Entwicklung des Attack Surface Management und den Herausforderungen der Zero-Trust-Einführung zu ziehen.
Der Beginn des Nullvertrauens
Wie bei vielen praktischen Anwendungen von Technologie begann Zero Trust als ein konzeptionelles Modell, das der Akademiker Stephen Paul Marsh 1994 in seiner Doktorarbeit vorschlug. Zu diesem Zeitpunkt herrschte technologisch gesehen die Firewall vor, und die Sicherheitsphilosophie für Unternehmen lautete, dass sich alles, was von Wert ist, hinter der Firewall befindet - und dass dies der einzige erforderliche Schutz ist. Um es umgangssprachlich auszudrücken, könnte man Unternehmen zu dieser Zeit mit einem Haus vergleichen, in dem es keine Türen gibt, die verschiedene Räume voneinander trennen. Sobald jemand das Haus betrat, hatte er Zugang zu allem und war absolut vertrauenswürdig.
Im Laufe des nächsten Jahrzehnts gewann das konzeptionelle Modell für Nullvertrauen so viel Zugkraft, dass es 2003 in das Jericho-Forum aufgenommen wurde. Zu diesem Zeitpunkt hatte die Technologie begonnen, Fernarbeit wie nie zuvor zu ermöglichen. Die immer größer werdende Notwendigkeit, diese Remote-Arbeitskräfte unterzubringen, führte zu Veränderungen in den Unternehmensarchitekturen und damit zu einer weiteren Abkehr vom traditionellen Perimeter-Modell. Das Jericho Forum erkannte diese Trends schon früh, aber erst als Google im Jahr 2009 einen schwerwiegenden und sehr öffentlichen Sicherheitsverstoß erlitt, begann sich das Zero-Trust-Modell mit der Gründung von BeyondCorp weiter zu entwickeln.
Verwirrung darüber, was "Zero Trust" ist - und was nicht
Im Prinzip ist Zero Trust ganz einfach und genau das, wonach es klingt: Don't. Vertrauen. Irgendetwas. Es wurde jedoch schnell klar, dass die praktische Umsetzung in den 2010er Jahren zu großer Verwirrung führte.
Unternehmen und Marketingteams griffen den Begriff auf und versahen ihr Produktmarketing und ihre Werbung mit "Zero Trust". In Ermangelung eines offiziellen Rahmens oder einer Autorität begann das "Buzzword-Bingo" den Markt mit Werbung für Produkte zu verunreinigen, die nicht wirklich vertrauenswürdig waren, und niemand konnte wirklich etwas anderes behaupten. Dies führte zu einer Vermischung von Ideen und Technologien, die die Kunden und den Markt als Ganzes verwirrte - keine einzelne Person oder Technologie hatte eine Ecke auf dem Markt und sowohl das Problem als auch die Lösung wurden schlecht verstanden. Die Kategorie wurde so verwirrend, dass das Modell in Unterkategorien wie Workforce (Benutzer), Workplace (Netzwerke) und Workloads (Anwendungen) aufgeteilt werden musste.
Um die immer komplexer werdende Herausforderung noch zu vergrößern, haben Apple und andere Unternehmen zur gleichen Zeit mit der Einführung ihrer verschiedenen App-Stores das Spiel komplett verändert UND die Einführung der Cloud hat sich so schnell durchgesetzt, dass viele sagen würden, wir befänden uns derzeit in der "Late Adopters"-Phase ihrer Nutzung. Plötzlich wurde der Umfang der Sicherheit exponentiell komplexer, da Hunderte bis Tausende von Anwendungen und Rechenressourcen das traditionelle Konzept eines Perimeters völlig über den Haufen warfen. Mehr Werkzeuge wurden notwendig und verfügbar, und Dutzende von Unternehmen entstanden, um den Bedarf zu decken, was die Landschaft für Verbraucher und Hersteller gleichermaßen noch verwirrender machte.
Die NIST Zero Trust Architektur
Glücklicherweise führte der Höhepunkt dieser Bewegung im Jahr 2018 zur Veröffentlichung der NIST SP800-207 Zero Trust Architecture. In diesem Rahmen wurden die Zero-Trust-Prinzipien in drei Hauptkomponenten formalisiert:
- Verbesserte Identitätsverwaltung und richtlinienbasierte Zugriffskontrollen
- Mikro-Segmentierung
- Overlay-Netze und softwaredefinierte Perimeter
Referenz: Zero Trust Security Model, zusammengefasst aus NIST SP800-207
Jetzt fragen Sie sich sicher, was das mit Attack Surface Management zu tun hat. Bleiben Sie dran - das kommt in der nächsten Folge.
