Zero Trust - Ein Kompendium für ein sicheres Netzwerk

Zero Trust – was sich auf den ersten Blick sehr negativ anhört, ist in Wirklichkeit ein Sicherheitskonzept, das Ihrem Netzwerk und damit Ihren Clients ein Höchstmaß an Sicherheit und damit ein Minimum an Kompromissen bei der Verfügbarkeit garantiert. Die Ende 2019 einsetzende Coronavirus-Pandemie hat uns zwar eine ganz andere Art der Arbeit gezeigt, die viel flexibler ist, aber auch für Unternehmensnetzwerke birgt dies naturgemäß Gefahren, da ein BYOD (Bring your own device) ist in der Denkweise von Arbeitnehmern und Arbeitgebern gleichermaßen stark verankert ist, sowie die Verlagerung hin zu mehr Cloud-Diensten und die Auslagerung von Aufgaben außerhalb des Intranets. Es ist nicht ungewöhnlich, dass Netzwerke heutzutage so aussehen:

Mit Remote-Home-Offices, Menschen unterwegs, die sich über VPN verbinden, Filial-Sites, die mit dem Hauptstandort verbunden sind und verschiedene Software-as-a-Service-Angebote (SaaS) nutzen, nutzen wir die volle technologische Leistung der heutigen Netzwerkwelt.

All diese Dinge öffnen das Tor für neue Sicherheitsbedenken, die wiederum gezielt angegangen werden müssen. Es gibt drei Säulen, die notwendig sind, um ein Zero-Trust-Sicherheitsniveau zu erreichen:

• Sichtweite
  • Die Fähigkeit, verschiedene Gerätetypen, Netzwerke usw. zu scannen und zu erkennen.
• Kontrolle
  • Eine klare administrative Organisation Ihres Netzwerks rahmt die Nutzung Ihres Netzwerks ein
• Reaktion
  • Im Gefahrenfall keine Kompromisse und direkte Gegenmaßnahmen

Alle Veränderungen in der heutigen Netzwerkwelt erfordern eine große Palette unterschiedlicher Maße, die wir auch mit dem Begriff Zero Trust verbinden . In diesem Artikel möchten wir einen Ansatzpunkt geben, welche Messungen an unseren Firewall-Lösungen vorgenommen werden können, um Ihnen maximale Sicherheit zu gewähren! Beachten Sie jedoch, dass es kein dediziertes „Zero Trust Feature“ gibt, sondern Zero Trust eher ein Konzept zur Verwaltung Ihres Netzwerks ist – daher können wir Ihnen hier nur Empfehlungen und Ansatzpunkte geben.

Sichtweite

Mit Sichtbarkeit meinen wir, dass der Netzwerkadministrator jederzeit wissen und erfahren muss, was in seinem jeweiligen Netzwerk passiert. Ein Angebot ist Device Insight . Device Insight ist ein leistungsstarkes Analysetool in unserem Gateway, das Informationen eines Clients wie IP-Adresse, MAC-Adresse, Betriebssystem, manchmal sogar Version, Hersteller und Gerätetyp herausfinden kann. Künftig soll es mit fortschreitender Technik noch mehr geben – die Gateway-Geräte prüfen nicht nur lokal in ihrem Netzwerk, sondern werden auch von einem Cloud-Server unterstützt, der zusätzliche Informationen bereitstellt.

Dies gibt Ihnen theoretisch die Möglichkeit, zB nur MacBooks eine Verbindung zum Netzwerk zuzulassen, wenn Sie wissen, dass Ihre Mitarbeiter vollständig mit diesen Geräten ausgestattet sind, was es Personen mit böswilligen Absichten erschwert, ihr Gerät in die Firma zu bekommen Netzwerk. Weitere Informationen dazu finden Sie in diesem Artikel unten sowie den wenigen Bildern unten als Referenz:

Device Insight-Funktion für USG FLEX/ATP/VPN-Serie

Kontrolle

Unternehmensnetzwerke sind sensible Infrastrukturen. Sie möchten so viel wie möglich vermeiden, "die Tore öffnen" und einfach alle hereinlassen, ohne zu überprüfen. Da Sie die Tür zu Ihrem Haus nicht einfach für jeden betreten lassen würden, möchten Sie selbst entscheiden können, ob ein Gerät ins Netz darf oder nicht. Dafür haben wir verschiedene Möglichkeiten parat, deren Verschränkung Ihnen den größten Nutzen bringt:

• 2-Faktor-Authentifizierung
  • Nutzen Sie die Vorteile, nicht eine Authentifizierungsstufe, sondern zwei Authentifizierungsstufen zu haben
• Benutzer-Authentifizierung über RADIUS/AD
  • Lokale Benutzer können aufgefordert werden, sich gegenüber Ihren Authentifizierungsservern zu validieren
• Benutzer-Authentifizierung über VPN
  • Neben den lokalen Benutzern können Sie auch Authentifizierungsrichtlinien für Ihre remote verbundenen VPN-Clients anwenden
• SecureWifi / Remote-AP
  • Trennen Sie arbeits- und privatbezogene Netzwerke, auch zu Hause!

Im Folgenden finden Sie einige nützliche Tutorials, die Ihnen einen Ausgangspunkt für diese verschiedenen Bereiche bieten:

Übersicht aller 2FA-Methoden (Zwei-Faktor-Authentifizierung)

USG-Serie – Authentifizieren von SSL-VPN-Clients mit Microsoft Active Directory

So treten Sie einer Active Directory-Domäne mit USG/ATP/VPN bei

Sicheres WLAN

Reaktion

Alle Maßnahmen, die Sie vornehmen können, sind schön und gut, aber die wahre Frage ist: Was, wenn keine von ihnen ausreicht und Sie von einer Sicherheitsbedrohung herausgefordert werden? Mit Zyxel ATP und/oder USG FLEX haben Sie keine Angst, denn diese Geräte bringen ein UTM-Paket mit (dh nach Lizenzierung und Registrierung), das Ihnen alle Möglichkeiten bietet, Risiken und Gefahren in Ihrem Netzwerk entgegenzuwirken.

Das UTM-Paket besteht aus diesen UTM-Diensten:

• Inhaltsfilter
  • Ermöglicht Ihnen, den Zugriff auf Seiten zu blockieren/zu verweigern, die bestimmten Kriterien entsprechen (z. B. pornografische, rassistische, gewalttätige Inhalte usw.)
• Anti-Malware
  • Schützt Ihre Netzwerke vor bösartiger Software wie Ransomware, Viren, Würmern, Trojanern usw.
• Kollaborative Erkennung und Reaktion
  • Bringen Sie Ihre Anti-Malware auf die nächste Stufe - CDR ermöglicht es Access Points in Ihrem Netzwerk, infizierte drahtlose Clients aus dem WLAN zu blockieren und bietet so mehr Sicherheit
• App Patrol
  • Verwalten Sie, welche Art von Inhalten und Anwendungen, die nicht blockiert werden können, über die reguläre Firewall-Sicherheitsrichtlinien gescannt werden können, verwendet werden oder in Ihrem Netzwerk verboten sind (zB Unterscheidung zwischen WhatsApp-Messaging zulassen und WhatsApp-Calling blockieren möglich)
• IPS (Intrusion Prevention System) + ADP (Anomaly-Detection & -Protection)
  • Wehren Sie böswillige Angriffe auf Ihr Netzwerk wie Brute-Force-Einstiegsversuche und DoS-Angriffe ab und unterdrücken Sie seltsame, ungewöhnliche Verkehrsanfragen durch Ihr Netzwerk
• Sandboxing (nur ATP-Serie)
  • Der gekrönte König der UTM-Funktionen - Sandboxing ermöglicht die Analyse und das Scannen von über das Netzwerk gesendeten Dateien in Semi-Echtzeit auf schädlichen Code über Cloud-Dienste und die Verbreitung neuer Anti-Malware-Signaturen, wenn ein Treffer registriert wird. Dies sorgt für eine Null-Stunden-Reaktionszeit auf neue Malware und stellt sicher, dass nur eine minimale Anzahl von Clients weltweit betroffen ist. Es ist im Grunde eine Vernetzung der Herdenimmunität auf Steroiden!

Wie in den anderen Kapiteln können Sie auch hier einige Artikel zu den oben genannten Dienstleistungen finden:

Best Practice - ATP UTM-Funktionen

ATP-Serie: Warum brauchen Sie eine Sandbox?

Erstellen eines grundlegenden Inhaltsfilterprofils auf der USG

Zyxel Threat Intelligence-Website

Inspektion von Intrusion Detection and Prevention (IDP) in ZyWALL USG Series Security Gateways

App Patrol Profile – Grundkonfiguration

Kollaborative Erkennung und Reaktion (CDR)

HAFTUNGSAUSSCHLUSS:

Sehr geehrter Kunde, bitte beachten Sie, dass wir maschinelle Übersetzung verwenden, um Artikel in Ihrer Landessprache bereitzustellen. Möglicherweise werden nicht alle Texte korrekt übersetzt. Bei Fragen oder Unstimmigkeiten zur Richtigkeit der Informationen in der übersetzten Version lesen Sie bitte den Originalartikel hier: Originalversion