Sie verwenden einen veralteten Browser!

Die Seite kann inkorrekt angezeigt werden.

Hygieneregeln

Правила гигиены

Andere Ausgaben dieser Rubrik (48)
  • Zu Favoriten hinzufügen
    Registerkarte hinzufügen

Vertrauen ist gut, Kontrolle ist besser

Gelesen: 22139 Kommentare: 11 Rating: 13

Dienstag, 22. September 2020

Es ist unmöglich, alle Sicherheitslücken endgültig zu beseitigen – Immer wieder entstehen neue Schwachstellen. Allen Nutzern kann unmöglich beigebracht werden, dass gefährliche Links vermieden werden sollten. Es werden neue Schadprogramme entwickelt. Dazu kommt die Heimarbeit, wenn Unbefugte (z.B. Familienmitglieder der Mitarbeiter) Zugang zum Computer haben können. Was können Unternehmen tun?

Die Lösung ist das Zero-Trust-Sicherheitsmodell. Hier ist einer der neuesten Dienste:

Beyondcorp Remote Access ist ein Clouddienst von Google, der es Mitarbeitern ermöglicht, ohne Nutzung von VPNs, überall und von jedem Gerät aus auf interne Web-Apps ihres Unternehmens zuzugreifen.

Quelle

Sicherer, aber nicht geschützter Zugang? Ist dies überhaupt möglich? Ja. Wenn Benutzerberechtigungen auf ein Minimum reduziert sind.

Beyondcorp Remote Access leitet den gesamten externen Traffic über einen Proxy-Server, um Nutzer zu identifizieren und deren Berechtigungen zu bestimmen. Dabei wird nicht nur der Mitarbeiter selbst, sondern auch der sogenannte Zugriffskontext berücksichtigt. Dadurch wird garantiert, dass nur berechtigte Nutzer auf jeweilige Informationen zugreifen dürfen. Als Kontext kann z.B. das genutzte Gerät (der Laptop oder der Computer) dienen. In diesem Fall darf der Nutzer zu internen Web-Anwendungen des Unternehmens nur dann zugreifen, wenn der Administrator des Dienstes den Zugriff auf die Ressourcen für dieses Gerät zugelassen hat.

Quelle

Dabei werden nicht nur Berechtigungen zur Nutzung der jeweiligen Ressourcen geprüft. Geprüft wird auch, von wo der Nutzer auf die Ressourcen zugreift: von einer geschützten Workstation oder von seinem Heimcomputer.

Die Sicherheitsrichtlinien können z.B. so konfiguriert werden, dass HR-Mitarbeiter, die auf ihren Laptops von zu Hause aus arbeiten, nur auf das interne Dokumentenverwaltungssystem und nur dann zugreifen dürfen, wenn sie die neueste Version des Betriebssystems und wirksame Tools zum Schutz vor Phishing nutzen.

Quelle

Der Zero-Trust-Ansatz ändert alles: Es ist nicht mehr notwendig, alle Geräte maximal zu schützen. Je nachdem, von wo zugegriffen wird und welche Sicherheitstools verwendet werden, wird bestimmt, ob ein Nutzer auf eine bestimmte Ressource zugreifen darf.

Anfang 2020 veröffentlichte das NIST (National Institute of Standards and Technology, USA) einen Entwurf der zweiten Fassung des Dokuments, das die wichtigsten Komponenten der Zero-Trust-Architektur (ZTA) behandelte.

Beim Zero-Trust-Konzept handelt es sich um ein Cybersicherheitsparadigma, das auf dem Prinzip „Vertraue niemandem“ basiert. Im Unterschied zu herkömmlichen Sicherheitsmodellen, in denen der Schutz des Netzwerkperimeters im Mittelpunkt steht, fokussiert sich das Zero-Trust-Modell nicht auf die Sicherheit der Segmente eines Unternehmensnetzwerks, sondern auf die der Ressourcen.

Quelle

In diesem Modell gibt es einen Haken. Beim herkömmlichen Ansatz wird das maximale Sicherheitsniveau für Geräte der Nutzer gewährleistet, ohne Berücksichtigung deren Berechtigungen und Aufgabenkreises. Im Zero-Trust-Modell hingegen müsste man zunächst nähere Informationen zur Tätigkeit des Unternehmens sammeln und herausfinden, welche Daten bestimmte Mitarbeiter für die Arbeit benötigen. Anhand dieser Informationen gewährt man Mitarbeitern Zugang zu bestimmten Ressourcen und, bei Bedarf, Schutz für ihre Geräte.

Im Zero-Trust-Sicherheitsmodell werden der zu schützende Kreis, der die wichtigsten Daten und Ressourcen umfasst, und die Wege des Datenverkehrs im Unternehmen festgelegt.

Anhand der Beziehungen zwischen den Ressourcen, der Infrastruktur und den Diensten können kleinere Perimeter erstellt werden, die eine Art Firewall auf der Ebene der Segmente des Unternehmensnetzwerks darstellen.

Quelle

In herkömmlichen Sicherheitssystemen ist immer ein geschützter Kommunikationskanal für Remote-Mitarbeiter erforderlich. Beim Zero-Trust-Ansatz liegt der Schwerpunkt auf der Authentifizierung und Autorisierung. Bevor der Nutzer Zugang zu einer Ressource erhält, muss er authentifiziert werden. VPNs werden nur bei Bedarf verwendet.

In diesem Modell wird der Zugriff auf Unternehmensressourcen über eine Art Checkpoint gewährt. Der Nutzer wird durch einen Policy Decision Point (PDP) und einen Policy Enforcement Point (PEP) validiert. Letzterer ist die für den Aufruf des PDP und die korrekte Verarbeitung der Antwort verantwortlich.

Quelle

Dies ist natürlich kein Universalmittel. Falls Cyberkriminelle Anmeldedaten stehlen, können sie sich Zugriff auf Unternehmensinformationen verschaffen. Daher sollte man Passwörter regelmäßig ändern und Nutzeraktivitäten ständig überwachen, um abnormes Verhalten rechtzeitig erkennen zu können.

  • Der Zugriff auf eine Unternehmensressource wird nur für eine Sitzung gewährt. Bei erfolgreicher Authentifizierung und Autorisierung für eine Unternehmensressource wird Zugriff nur auf diese Ressource gewährt.
  • Über die Gewährung des Zugriffs auf Ressourcen wird dynamisch anhand von Richtlinien bestimmt. Dabei wird der aktuelle Status der Identifizierung des Clients, der Anwendung und anderer Attribute (z.B. im aktuellen Verwendungsmodell vorhandene Abweichungen) berücksichtigt. Bei einer Richtlinie handelt es sich um einen Satz von attributbasierten Zugriffsregeln. Attribute werden Nutzern, Ressourcen und Anwendungen zugewiesen.

Quelle

#Schutz_vor_Datenverlust #Internet #Unternehmenssicherheit #Bezeichnungen #Technologien

„Die komplette Wahrheit über Viren & Co.“ empfiehlt

Dies ist ein umfassendes, kompliziertes und teures Sicherheitskonzept. Die Verwendung dieses Modells ist für Großunternehmen sinnvoll und vorteilhaft.

Beachten Sie: Das Zero-Trust-Konzept bedeutet nicht, dass man auf herkömmliche Sicherheitsmittel wie Virenschutzsoftware verzichten soll. Die Nutzung eines Virenschutzprogramms auf dem lokalen Computer ist eine der Voraussetzungen für die Erweiterung von Berechtigungen. Jetzt wird dies als „Vermögenskontrolle“ bezeichnet.

Das Unternehmen sorgt für möglichst sicheren Zustand aller Geräte in seinem Besitz, indem es eine ständige Kontrolle über das Vermögen ausübt. Der „möglichst sichere Zustand“ bedeutet, dass sich das Gerät im optimalen sicheren Arbeitszustand befindet und entsprechend der Zweckbestimmung arbeitet.

Quelle

[Twitter]

Ihre Meinung ist uns wichtig

Um einen Kommentar zu publizieren, müssen Sie sich über Ihr Konto auf der Webseite von Doctor Web einloggen. Wenn Sie noch kein Konto haben, können Sie es anlegen.

Kommentare der Teilnehmer