Wichtige Überlegungen bei der Auswahl einer ZTNA-Lösung

#1. Organisatorischer Bedarf und Ausrichtung der ZTNA an strategischen Zielen

Jede ZTNA-Lösung, die Sie in Betracht ziehen, sollte zu Ihren organisatorischen Bedürfnissen passen und mit Ihren strategischen Zielen übereinstimmen. Beginnen Sie mit der Ermittlung der spezifischen Sicherheitsanforderungen Ihrer Betriebsabläufe. Dies umfasst die Klassifizierung der in Ihrem Unternehmen verwendeten Daten hinsichtlich Sensibilitätsgrad und regulatorischer Anforderungen.

Als nächstes muss ermittelt werden, wer Zugriff auf welche Ressourcen benötigt, von wo aus die Benutzer auf diese Ressourcen zugreifen werden und welches Gerät sie verwenden werden. Identifizieren Sie ZTNA-Lösungen, die in der Lage sind, Zugriffsrichtlinien für verschiedene Standorte und Umgebungen durchzusetzen und dabei gleichzeitig Compliance und Benutzererlebnis zu berücksichtigen.

Aus einer breiteren Perspektive sollten Sie sich fragen, was Sie mit der Implementierung von Zero-Trust-Prinzipien erreichen wollen. Zum Beispiel:

• Befinden Sie sich in einem digitalen Transformationsprozess und möchten Sie von traditionellen, perimeterbasierten Sicherheitskontrollen abrücken?
• Möchten Sie den Fernzugriff verbessern und die derzeit verwendeten veralteten VPNs ersetzen?
• Ist die Bereitstellung von ZTNA Teil eines umfassenderen Übergangs zu einer Secure Access Service Edge (SASE)-Architektur?

Unabhängig davon, welches Endziel verfolgt wird, stellen Sie sicher, dass Ihre gewählte ZTNA-Lösung über die entsprechenden Funktionen und Fähigkeiten verfügt. Dazu könnte ZTNA Mehrstufige Authentifizierung (MFA) für eine robustere Benutzeridentifikation oder schnelle ZTNA-Leistung gehören, um die Auswirkungen auf das Benutzererlebnis zu minimieren.

#2. Arten von Zero-Trust-Sicherheitstools

Der nächste wichtige Aspekt bei der Auswahl einer ZTNA-Lösung ist die Wahl des richtigen Typs. Im Allgemeinen werden ZTNA-Tools in zwei Haupttypen unterteilt:

• Agentenbasiertes ZTNA: Diese Lösungsart, auch als dienstinitiiertes ZTNA bekannt, installiert einen Softwareagenten auf jedem Gerät oder Endgerät. Der Agent stellt eine sichere Verbindung zu einem Cloud-basierten Vertrauensbroker her, der Zugriffsrichtlinien durchsetzt. Agentenbasiertes ZTNA ermöglicht eine feinere Steuerung der Endgeräte und eine dauerhafte Durchsetzung der Sicherheitsmaßnahmen sowie tiefergehende ZTNA-Gerätestatusprüfungen. Dieses Modell eignet sich gut für unternehmensverwaltete Geräte, die die Installation und Aktualisierung des ZTNA-Agenten ermöglichen.
• Agentenloses ZTNA: Dieser Ansatz, auch bekannt als netzwerkinitiiertes ZTNA, nutzt browserbasierten oder Gateway-Zugriff, um nicht verwaltete Geräte zu sichern, ohne dass eine spezielle Software erforderlich ist. Zugriffsrichtlinien werden über das Domain Name System (DNS) oder Routing-Steuerungen durchgesetzt. Dank einfacherer Bereitstellung und größerer Flexibilität ist agentenloses ZTNA ideal für Auftragnehmer, Partner und BYOD-Szenarien (Bring Your Own Gerät).

Einige Sicherheitsanbieter bieten auch Hybridlösungen an, die agentenbasiertes ZTNA und agentenloses ZTNA kombinieren, um Organisationen die Möglichkeit zu geben, die Durchsetzung der Zugriffskontrollen je nach Gerät des Benutzers anzupassen. Zum Beispiel die Verwendung von agentenbasiertem ZTNA für verwaltete Geräte und agentenlosem ZTNA für andere Geräte. Dadurch wird die verbesserte ZTNA-Leistung von Agenten mit der einfacheren Bereitstellung und größeren Abdeckung agentenloser Lösungen in Einklang gebracht.

#3. Kernsicherheitsfunktionen einer ZTNA-Plattform

Bei der Bewertung von ZTNA-Plattformen sollten Sie sich auf die wichtigsten Sicherheitsfunktionen konzentrieren, die zum Schutz Ihrer Mitarbeiter und Arbeitsabläufe erforderlich sind. Dies kann Folgendes umfassen:

• Granulare ZTNA-Richtliniendurchsetzung: Die Möglichkeit, spezifische rollenbasierte Zugriffskontrolle (RBAC) anzuwenden, um das Prinzip der minimalen Berechtigungen durchzusetzen und die Angriffsfläche zu minimieren. Bei der Durchsetzung der ZTNA-Richtlinien sollten auch Kontextdaten wie Gerät, Standort, Tageszeit usw. berücksichtigt werden, um dynamische, risikobasierte Anpassungen vorzunehmen. Ein Benutzer, der beispielsweise im Rahmen seiner täglichen Arbeit typische Zugriffsmuster befolgt, stellt ein geringes Risiko dar. Was aber, wenn sich ihr Verhalten plötzlich ändert und sie ein neues Gerät benutzen oder versuchen, außerhalb der normalen Arbeitszeiten auf Informationen zuzugreifen? In diesem Fall kann ihre Anfrage abgelehnt werden, oder sie werden gezwungen, sich durch robustere Authentifizierungsverfahren zu verifizieren.
• ZTNA MFA: Lösungen, die eine native oder integrierte mehrstufige Authentifizierung bieten, um eine starke Benutzerüberprüfung sicherzustellen. Dies kann eine Reihe von Faktoren umfassen, wie zum Beispiel etwas, das Sie wissen (Passwort, PIN usw.), etwas, das Sie besitzen (Hardware-Sicherheitstoken, ein registriertes Gerät, das ein Einmalpasswort, einen E-Mail-Code oder eine Push-Benachrichtigung usw. empfängt), oder etwas, das Sie sind (biometrische Daten wie Gesichtserkennung).
• Identity Integration ZTNA: Kompatibilität mit Identity Access Management (IAM)-Tools oder Identity Providern (IdP) für eine nahtlose Integration. Achten Sie auf eine Identitätsintegration, die offene und robuste Standards unterstützt und sowohl mit lokalen Verzeichnissen als auch mit Cloud-Identitätsdiensten kompatibel ist. Berücksichtigen Sie außerdem zukünftige Betriebsabläufe und Anbieter, die ihre ZTNA-Funktionen zur Identitätsintegration kontinuierlich weiterentwickeln.
• ZTNA Geräte-Haltungsbeurteilungen: Kontinuierliche Überprüfungen des vor und während der Sitzungen zur Zugangskontrolle. Dazu gehören Gerätefaktoren wie OS Patch, Antivirenstatus, Verschlüsselung und Konfigurationskonformität. ZTNA-Gerätestatusbewertungen verhindern, dass kompromittierte oder nicht konforme Geräte auf Geschäftsressourcen zugreifen.
• FunktionenData Loss Prevention (DLP): Datenzugriffe verfolgen und DLP-Richtlinien durchsetzen, die das Risiko unberechtigten Zugriffs minimieren. Dies kann die Durchsetzung von Verschlüsselung auf Basis sicherer Protokolle oder Benutzer- und Entitätsverhaltensanalyse (UEBA) umfassen, um verdächtige Aktivitäten zu erkennen und den Zugriff einzuschränken.
• Netzwerk-Mikrosegmentierung: In Kombination mit einer granularen Durchsetzung der ZTNA-Richtlinie und dem Prinzip der minimalen Berechtigungen begrenzt die Segmentierung Ihres Netzwerks in kleinere Teilmengen die laterale Ausbreitung und minimiert so die Auswirkungen kompromittierter Konten. Durch die Isolierung von Systemen und die Durchsetzung strenger Sicherheitskontrollen für Benutzer, die zwischen diesen Systemen wechseln, kann verhindert werden, dass sich ein anfänglicher Sicherheitsverstoß zu einem schwerwiegenden Vorfall ausweitet.

#4. Transparenz und Berichterstattung

Viele dieser Sicherheitskontrollen werden durch die umfassenden Transparenz- und Berichtsfunktionen von ZTNA verbessert oder ermöglicht. Die ZTNA-Kontrollen sollten Ihre gesamte Belegschaft abdecken, Zugriffsanfragen überwachen und detaillierte Protokolle für Analysen und Compliance-Audits bereitstellen. Suchen Sie nach Lösungen, die Echtzeit-Transparenz über alle Benutzersitzungen hinweg bieten und detaillierte Berichte über die Durchsetzung der ZTNA-Richtlinien liefern.

Eine umfassende Transparenz des Netzwerkzugriffs ist unerlässlich für adaptive Steuerungssysteme, UEBA und viele andere erweiterte Sicherheitsfunktionen. Es liefert die notwendigen Informationen, um Richtlinien feinabzustimmen und den Schutz zu optimieren.

#5. Bereitstellungsmodelle und Skalierbarkeit

Ein weiterer wichtiger Aspekt bei der Wahl einer Lösung ist das Bereitstellungsmodell und die daraus resultierende ZTNA-Skalierbarkeit, um neuen Geschäftsanforderungen gerecht zu werden. Hinsichtlich des Bereitstellungsmodells hängt die Auswahl eines modernen Zero-Trust-Zugriffs von Folgendem ab:

• Cloud : Cloudbasierte Lösungen sind ideal für hybride Arbeitsmodelle und bieten Skalierbarkeit und Flexibilität mit einfachen Updates, die sich an neue Bedrohungen anpassen und die Kapazität mit dem Wachstum Ihres Unternehmens erhöhen können.

• Vor Ort: Eine strengere und restriktivere Bereitstellung, die sich besser für stark regulierte Branchen mit Anforderungen an den Datenstandort eignet.

• Hybrid: Kombiniert beides, um die Vorteile cloudbasierter Lösungen zu bieten und gleichzeitig die lokale Bereitstellung für strengere Datenanforderungen aufrechtzuerhalten.

Die richtige Wahl für Ihr Unternehmen hängt von Ihren Compliance-Anforderungen, Ihrer Netzwerkumgebung und Ihrer Personalverteilung ab. Bei der Planung einer skalierbaren, Cloud-basierten Bereitstellung sollten Sie nach Anbietern suchen, die globale Points of Presence (PoPs) unterhalten, um eine starke ZTNA-Performance unabhängig von der Anzahl und Verteilung der Benutzer zu gewährleisten.

#6. Benutzererlebnis & Performance

ZTNA-Plattformen müssen ein Gleichgewicht zwischen hoher Sicherheit und einer signifikanten Beeinträchtigung des Benutzererlebnisses finden. Zu den Schlüsselfaktoren gehören:

• Verbindungen mit geringer Latenz durch optimiertes Routing und ein globales PoP-Netzwerk
• Single Sign-On (SSO) für einen optimierten Zugriff über alle Anwendungen hinweg
• Minimale Unterbrechung bei Geräte-Positionsprüfungen oder MFA-Aufforderungen

Eine mangelhafte ZTNA-Performance und ein schlechtes Benutzererlebnis können dazu führen, dass Mitarbeiter nach Ausweichlösungen suchen, wie z. B. Schatten-IT. Wenn Benutzer das Sicherheitsteam umgehen und sensible Daten mit nicht autorisierten Apps teilen, wird die Implementierung von ZTNA-Lösungen untergraben.

#7. Integration in den umfassenderen Sicherheits-Stack

ZTNA steuert, worauf Benutzer Zugriff haben, und minimiert so Ihre Angriffsfläche. Es handelt sich jedoch nicht um ein umfassendes Rahmenwerk und es sollte innerhalb einer breiter angelegten Sicherheitsarchitektur eingesetzt werden, die eine Reihe weiterer Funktionen bietet. Daher müssen Sie berücksichtigen, wie sich eine bestimmte ZTNA-Lösung mit verschiedenen Tools und Technologien integrieren lässt, um umfassende Sicherheitsvorkehrungen zu gewährleisten.

Eine gängige Implementierung von ZTNA ist die Verwendung als Schlüsselkomponente der SASE -Architektur, die das Framework in eine vollständige Suite von Netzwerk- und Sicherheitstools integriert, darunter:

• Software Defined-Wide Area Networking (SD-WAN)
• Secure Web Gateway (SWG)
• Firewall as a Service (FWaaS)
• Cloud Access Security Broker (CASB)