Operationalisierung der Cybersecurity Executive Order der Biden-Administration mit Zero Trust

Letzte Woche hat die Biden-Administration eine klare Haltung zu den Verbesserungen der Cybersicherheit eingenommen, die auf Bundesebene und wirklich in allen Organisationen erforderlich sind. Neben anderen Empfehlungen wurde die Notwendigkeit einer Zero-Trust-Strategie nachdrücklich anerkannt.

Zero Trust ist ein koordinierter Cybersicherheitsansatz, ein Sicherheits-Framework und eine Architektur, die implizites Vertrauen eliminiert, indem sie den automatischen Zugriff für jede Quelle – intern oder extern – verhindert und davon ausgeht, dass der interne Netzwerkverkehr ohne vorherige Genehmigung und kontinuierliche Überprüfung auf der Grundlage von Echtzeitinformationen aus mehreren Quellen nicht vertrauenswürdig ist. Zero Trust beseitigt die Vorstellung von übermäßiger Vertrauenswürdigkeit über Netzwerke, Geräte, Benutzer oder Workloads hinweg und ermöglicht eine granulare Zugriffskontrolle auf der Grundlage der geringsten Rechte, wodurch die Angriffsfläche erheblich reduziert wird, indem der Umfang und die Bewegung innerhalb des Netzwerks für Angreifer eingeschränkt werden.

Andrew Rubin und ich haben Illumio mit denselben Prinzipien im Hinterkopf gegründet, um Unternehmen jeder Größe dabei zu helfen, ihre Sicherheit zu verbessern, indem wir es einfacher machen, diese Denkweise anzunehmen.

Lassen Sie mich einige dieser Prinzipien nennen, indem ich sie in der EO zitiere.

Von einer Sicherheitsverletzung ausgehen

Lassen Sie uns das Konzept der angenommenen Sicherheitsverletzung besprechen. "Das Sicherheitsmodell der Zero-Trust-Architektur geht davon aus, dass eine Sicherheitsverletzung unvermeidlich ist oder wahrscheinlich bereits stattgefunden hat." Dies ist eine etwas unangenehme Haltung, indem davon ausgegangen wird, dass sich ein Angreifer wahrscheinlich bereits in Ihrem Perimeter befindet, und daher sollten Unternehmen Sicherheitskontrollen einrichten, um zu verhindern, dass solche Infiltrationen zu großen, katastrophalen Ereignissen werden. In erster Linie müssen Unternehmen ihre Denkweise ändern und Sicherheitskontrollen einführen, die Sie überall zu Modellen der geringsten Privilegien führen.

Zulassungslisten

In der EO heißt es auch: "Im Wesentlichen ermöglicht eine Zero-Trust-Architektur den Benutzern vollen Zugriff, aber nur auf das absolute Minimum, das sie für die Ausführung ihrer Aufgaben benötigen." Darin heißt es: "Dieses datenzentrierte Sicherheitsmodell ermöglicht die Anwendung des Konzepts des Zugriffs mit den geringsten Rechten auf jede Zugriffsentscheidung." Die Unterstützung unserer Kunden bei der Erstellung und Wartung von Modellen mit den geringsten Rechten steht im Mittelpunkt unserer Arbeit bei Illumio und der Art und Weise, wie unsere Produkte entwickelt und konzipiert werden. Und es ist nicht einfach. Es gibt viele, die Zero-Trust-Modelle anpreisen und Ihnen dann erlauben, Verweigerungslisten zu erstellen, um potenzielle schlimme Dinge zu verhindern. Das ist nicht Zero Trust.

Die Einführung von Zero Trust bedeutet, eine minimale Zulassungsliste zu erstellen. Es bedeutet, zu verstehen, worauf die Menschen zugreifen müssen, um ihre Arbeit zu erledigen, und keinen zusätzlichen Zugang zu gewähren. "Das Zero-Trust-Sicherheitsmodell eliminiert implizites Vertrauen in ein Element, einen Knoten oder einen Dienst." Es erfordert, jedes bisschen implizites Vertrauen auf allen Ebenen aus Ihrem Netzwerk und Ihrer Umgebung zu entfernen. "Das Zero-Trust-Sicherheitsmodell eliminiert implizites Vertrauen in ein Element, einen Knoten oder einen Dienst." Das bedeutet, dass Sie Ihre Umgebung ganzheitlich betrachten müssen.

Einheitliche Transparenz

Wie in der EO angegeben, "bettet die Zero-Trust-Architektur eine umfassende Sicherheitsüberwachung ein; granulare risikobasierte Zugriffskontrollen; und die Automatisierung der Systemsicherheit in koordinierter Weise über alle Aspekte der Infrastruktur hinweg, um sich auf den Schutz von Daten in Echtzeit in einer dynamischen Bedrohungsumgebung zu konzentrieren." Unternehmen benötigen eine einheitliche Transparenz, um die Kommunikation zwischen Endpunkten, Benutzern und Workloads in heterogenen On-Premise- und Multi-Cloud-Umgebungen mit einem besseren Kontext zu sehen und zu verstehen.

Der Weg zu Zero Trust

Oft beginnen Menschen eine Zero-Trust-Reise mit einer Zero Trust Network Access (ZTNA)-Lösung, um einige der Prinzipien zwischen Endbenutzern und den Anwendungen und Systemen anzuwenden und dann ein implizites (nicht Zero-Trust-) Modell hinter dem ZTNA-Gateway zu hinterlassen. Das ist zwar Teil der Zero-Trust-Strategie, aber ZTNA allein reicht nicht aus. Der jüngste SolarWinds-Angriff beweist dies, da die Sicherheitsverletzung zwischen Workloads stattfand.

Zero-Trust-Segmentierung

Das andere wichtige Puzzleteil ist die Zero-Trust-Segmentierung, mit der Sie eine Richtlinie mit den geringsten Rechten zwischen Workloads für alle Ihre Kronjuwelenanwendungen in Ihrem Rechenzentrum und in Ihren Clouds erstellen können. Wir sehen immer mehr Angriffe, wie die jüngsten Supply-Chain-Angriffe auf SolarWinds und CodeCov , die nicht den Benutzerzugriff ausnutzen, sondern das implizite Vertrauen zwischen Workloads. Die Zero-Trust-Segmentierung ist die Grundlage für das Erreichen einer ganzheitlichen Zero-Trust-Haltung.

Formulierung eines Zero-Trust-Ansatzes

Was wir brauchen, ist ein umfassender Ansatz, der es ermöglicht, dass Zero Trust überall in Ihrer Umgebung funktioniert – im Rechenzentrum, in der Cloud und am Edge.

Es ist wichtig, eine Zero-Trust-Architektur zu implementieren, die Sicherheitssilos in bestehenden IT-/Netzwerk-/Sicherheitstools beseitigen kann, um Risiken zu reduzieren, Kosten zu senken und Zeit bei der Bereitstellung von Zero Trust zu sparen.

Um Sie auf Ihrem Weg zu Zero Trust zu unterstützen, müssen Sie eine umfassende Zero-Trust-Strategie, -Architektur und einen Implementierungsplan entwickeln und umsetzen.

Möchten Sie die Anforderungen der Executive Order des Weißen Hauses schneller erfüllen? Erfahren Sie hier , wie das geht, oder nehmen Sie an einem Workshop teil, in dem Sie lernen, wie Sie eine Zero-Trust-Architektur für Ihre Bundesbehörde entwerfen.