Event Recording

Goetz Walecki: Wie man Vertrauen in einer Zero Trust Welt aufbaut

Name: Goetz Walecki: Wie man Vertrauen in einer Zero Trust Welt aufbaut
Uploaded: 2020-11-20T12:00:00+01:00
Duration: 20 min 37 s

Goetz Walecki

Senior Manager Solutions Engineering

Okta

Posted on Nov 20, 2020

Verteilte IT-Umgebungen, der Einsatz einer Vielzahl von SaaS-Anwendungen, hybride IT und Multi-Cloud-Strategien: All das führt zu einer unübersichtlichen Zahl verteilter Identitäten in den zugrundeliegenden Systemen. Eine solche jenseits des Perimeters gewachsene IT-Landschaft bietet neue Angriffsfläche für Cyberangriffe und birgt Sicherheitsrisiken. Zero Trust ist die Antwort. Doch wie baut man das notwendige Vertrauen in einer Zero Trust Welt auf?

Video Description

Show Transcript

wunderbar, dann fangen wir gleich an. Ja, auch einen guten Morgen von stimmen sie ihre alle anzutreffen und vielen Dank für ihre Zeit. Kurzes Handzeichen wäre ganz nett, wenn sie auch wirklich nicht gut sehen können damit was ein bisschen Interaktionen zumindest dieses virtuelle Format bekommen. Das würde mir das Leben leichter machen ich bin kein Freund von virtuellen Meetings, in denen ich meinen gegenüber nicht wirklich sehen kann, aber lassen Sie uns wirklich loslegen.

Und für den heutigen Vortrag habe ich Ihnen im Grunde genommen drei Kernthemen vorbereitet warum überhaupt sie rot rast. Zwei. Die elementaren Anwendungs Fälle, um Vertrauen in einer sieben und rast Welt aufzubauen und drittens die Zutaten, die notwendig sind, um diese Anwendungs Fälle rund um sie Eurojust erfolgreich umzusetzen. Um ehrlich zu sein Ich habe heute sehr viel Inhalt mitgebracht und es ist sehr wenig Zeit, um alles Orbital präsentieren zu können.

Wir wollen aber sicher stellen, dass wir hier und heute wirklich alle ihre Themen adressieren können und auf all ihre Thema eingehen können. Daher wirklich meine Frage und auch bitte an sie Was wollen Sie? Neben den eben genannten Themen gegebenfalls.

Noch zum Thema Sioux Trust, zum Preise von Doktor Wissen und Daher würde ich sie bitten, dass sie in diesem leicht Wien unten in dieser Post Zeile, wo Sie eben ihre Themen und Fragen hinterlegen können, uns Ihre Themen, Ihre ganz konkreten Fragen sieht, die Sie zu diesem Thema eventuell an uns richten wollen und ganz diskutieren wollte sie uns die mitgeben, dass wir uns vorbereiten können, um dann später in einer Lang zwischen mit ihnen dann möglich in medias res gehen zu können.

Gut bevor unser basiert fast widmen und dem eigentlichen Thema von heute stellt mir natürlich ganz gerne ganz kurz vor nahm. Es gab zwei Lenski wie eben schon erwähnen, und ich bin ziehen jetzt Duschen, Ingenieurin, Manager bei Oktober und zuständig für Zentral Europa so, Jetzt müssen sie die nächste Folie sehen, und damit würden wir dann auch ganz gerne oder ich konkret mit dem ersten Punkt Anfang warum denn überhaupt sie rot schasst Fangen wir mal mit dem guten alten Perry Meter, den gibt es so in dieser Form heute nicht mehr.

Wir haben es nicht mehr nur mit einer Prämie City zu tun wir verlagern mehr und mehr in die Cloud und lösen den anderen Perry Meter damit sukzessive aus, das heißt mit jeder neuen wird. Party Cloud Applikationen, die wir einführen, kommt aber auch eine neue Identität pro Benutzer daher.

Und genau diese Identitäten, die zusätzlich ich sag mal verwaltet werden müssen, die kommen aber auch ihren unterschiedlichen Geräten und es müssen daher, das heißt Thema bring John, die weiß wird eines dieser zahlreichen Identitäten, die jetzt hier einführe in mein Unternehmen auf irgendeinem, die weiß, dass sie gerade angesprochen haben, gehackt, dann hat das Unternehmen ein Problem und ein Risiko zu Menschen, die Konsequenzen daraus sind können Rennen zum Wer sein und die Erpressung, die damit einher gehen und drohen.

Dadurch müssen wir quasi per Default Misstrauen aussprechen, gegenüber all den unbekannten Identitäten und all den unge Unbekannten die Weißes, die quasi aus unserer Ressourcen und Daten zugreifen wollen, und das ist das Motto im Grunde genommen von sie rot rast nämlich im englischen amerikanischen ausgedrückt never trust, weil ich letzten Endes erstmal meine Identität die daherkommt beziehungsweise.

Meine dieses Gerät erst mal per Sehen so nicht vertrauen kann, weil ich einfach zu viele davon habe und ich gebe ebenfalls, das komplett die Kontrolle verloren habe über diese zahlreichen Identitäten und auch die ganzen Geräte sprich bringe und die weiß Nehmen wir das Thema Sie rot rast wörtlich und wirklich ernst heißt es im Grunde genommen sie rot rast gleich null Vertrauen.

Das heißt, ich dürfte, wenn ich das wirklich eins zu eins und wörtlich nehme, eigentlich niemanden in mein Unternehmen rein lassen, weil ich per sehe erst mal niemandem vertrauen das bringt, das führt ja zu nichts, das ist wieder der Tür stehe der ich sag mal, meine Identität per Sie ablehnen und niemanden reinlässt heißt in der digitalen Welt Es ist kein Business mehr möglich und kein Zugriff mehr.

Möglich also ist der Umkehrschluss in der der und die Frage, die wir stellen müssen in dieser digitalen Welt Wie schaffen wir Vertrauen, damit ich der Identität und dem Gerät vertrauen kann? Und auch ich sag mal einen sicheren Zugriff und Zugang zu meine Tiere Thiele, Soßen realisieren kann.

Ganz die Schotten dicht machen kann ich nicht, dann geht gar nichts mehr, also geht ist diesen Balance Akt hinzukriegen, diesen, diesen Grad aus Sicherheit, Offenheit gegenüber meinen Zugriffen so das war ein Grunde genommen, die Einleitung zum ersten Punkt, warum denn überhaupt sie hübsch hast, stellt sich aber die Frage Wenn wir also sie rot Rast zugrunde legen und digitales Vertrauen auf der anderen Seite aufbauen wollen, stellt sich die Frage Wie schaffen wir das? Das heißt, das ist der zweite Kernpunkt dieser Präsentation.

Dieses digitale Vertrauen auf Basis einer neuen digitalen Entität beginnt im Grunde genommen ab dem Zeitpunkt, in dem ich eine neue Identität erstellen und in meine Systeme, IT Systeme und Ressourcen lasse, und da würde ich ganz gerne mit ihnen auf eine digitale Reise gehen. Mit einem starken erfundenen Namen besuchen weise eine Identität einem Nutzer. Wir können diesen Nutzer ein. Entweder Martin Lennon Wir können ganz nennen oder auch Lisa.

Und jetzt stellt sich die Frage Wenn ich jetzt also eine einen neuen Nutzer wie zum Beispiel die Lisa in mein Unternehmen lassen, wie schaffe ich ab der ersten Sekunde dieser neue geschaffenen Identität, wie zum Beispiel der Lisa, wirklich zu vertrauen, um wirklich von der ersten Sekunde an vertrauensvolle digitale Geschäftsgrundlagen zu schaffen?

Wenn es sich um eine kritische Geschäftsbeziehungen handelt, müssen wir sicherstellen, dass es sich zum Beispiel tatsächlich ein eindeutig um diese Lisa handelt, die zum Beispiel rase den zehntausend Euro ringen online per wollen Klick gestellt oder die vielleicht versuchen, ein neues Bankkonto auf den kämen, eilends zu eröffnen.

Wenn wir also sicher gehen wollen, dann müssen wir eine Identitäts Prüfung in unserem Journal prozesse wie man so schön sagt oder in unsere Provision i rung mit einbauen, sobald also eine neue Identität wie zum Beispiel die Lisa in unsere Systeme will nur dann wissen wir auch wirklich sicher, dass das in diesem Fall wirklich die dieser ist, das heißt auch Basis einer verlässlichen Identitäts Prüfung, wie zum Beispiel indem ich ihnen Personalausweise anderes lokal legales Dokument prüfe kann ich sicherstellen, dass ich, dass es sich hier wirklich um diese dieser als Nutzer handelt und nur wenn ich sage mal diese Validierung und diese level offene Schule uns realisiere ab der ersten Sekunde habe ich ein Vertrauen geschaffen in meine digitale Identität und zwar ab der ersten Sekunde ab den lebt, wenn der Lebenszyklus dieser digitalen Identität der Louise auch wirklich beginnt.

So dieses Vertrauen in die neu geschaffene Identität bringt mir aber überhaupt nichts als Unternehmer, wenn ich nach wie vor auf die sogenannten studentische setze, also die Kombination aus Nutzername und Passwort, weil erfahrungsgemäß des Passwortes Geschlechte Glied leicht zu knacken und zu klauen und es gibt diese Identität für ein paar dollar ein dark net.

Erinnern Sie sich noch mal an die eben aufgezeigte Folie hier mehr Identitäten ich habe, desto mehr passwörter gilt es zu managen und reports zeigen, dass die meisten Nutzer ich sag mal in 34 % aller fälle nicht immer das gleiche passwort genossen kenne ich also ein passwort, kenne ich gegebenfalls. Alle anderen beziehungsweise.

Kann über ein passwort auf die unterschiedlichsten systeme in meinem unternehmenswelt netzwerk zugreifen, das heißt also wenn ich dieses vertrauen in die lisa um auf dieses beispiel zurückzukommen aufrechterhalten will, brauche ich also mehr als das passwort, weil das passwort nochmal das schwächste glied in der Kette ist, das heißt ich muss idealerweise auch ab der zweiten Sekunde, nachdem meine digitale Identität entstanden ist, nur die Faktor Authentifizierung umsetzen, das heißt ich muss bei jedem Zugriff idealerweise Multi Faktor Authentifizierung walten lassen.

Wenn ich das ernst nehme und dieses Vertrauen aufrechterhalten will, zwinge ich jetzt aber meine Nutzer und in dem Fall im konkreten Fall die lisa sich bei jedem Zug bei jedem Zugang mit mehreren Faktoren anzumelden, dann wird die Lisa irgendwann zu Recht wahnsinnig, weil ich dann nur noch irgendwo etwas bestätigen muss, Biometrie Merkmale hinterlegen muss beziehungsweise. Einen Push Notification bestätigen muss oder einmal Passwort eingeben muss das heißt Hier stellt sich die Frage, ob dieser Experience dann für die Lisa noch gegeben ist.

Also wir brauchen das richtige Maß, will ich sagen. Wir müssen also abhängig vom Kontext entscheiden, wann welche Faktoren notwendig sind und idealerweise werden diese Faktoren kontinuierlichen Risiko basieren, überprüft um den Zugriff in Abhängigkeit des Kontext zu entscheiden. Idealerweise nämlich dann nicht nur die identität, sondern eben auch dass die weiß einher weil das die weiß sollte idealerweise auch gesichert sein, weil ansonsten gegebenfalls.

Ist es die weiß geschminkt mit schad software und dementsprechend sollte ich diese kombination entsprechend auch prüfen und war die dieren so das heißt lange rede kurzer sinn was sie eigentlich brauchen oder was ist Ziel die zielsetzung sein sollte, dass sie ein zentrales system schaffen ein Ex proxy, der wirklich adaptiv prüfen kann wo kommt der Nutzer her, mit welchem? Die weiß?

Um dann zu entscheiden Risiko, basierend gemäß des Zugriffs auf die Daten und Ressourcen entscheiden zu können, lasse ich den Benutzer mit diesem mit dieser Kombination aus Identität und die weiß auch meine kritischen Ressourcen oder eben nicht wenn nur die Faktor Authentifizierung nicht gegeben ist nicht gegeben werden kann, dann kann ich gegebenfalls. Auch endlich die Schotten dicht machen. Das ist dieser Kontext, von dem ich gesprochen habe.

Und im Idealfall, um diesen Kontext wirklich grano lara und noch spezifischer und ja noch besser einschätzen zu können, setzen sie idealerweise auf sehr viele Daten Punkte, das heißt um kontinuierlich, was eigentlich das Ziel der Reise sein sollte in sie rot rast Umfeld kontinuierlich zu überprüfen. Ist es wirklich die Lisa und ist das wirklich ein gesichertes Gerät, brauche ich natürlich viele Daten, konnte verlässliche Daten punkte und die können natürlich von unterschiedlichen Herstellern kommen. Beispiel Wenn Lisa gefischt wurde beziehungsweise.

Gehackt wurde und ein System wie prüft Freud 11 Liste erstellt, die sich da nennt wie epi Barry Tec Paulsens, das heißt über Content Analyse klar ist das ist das das mit Lisa und ihre Identität ich sage mal ein Risiko besteht, dann kann idealerweise dieser Ex Proxy, den sie gerade gesehen haben Kontext basieren, entscheiden, ob dieser jetzt auf kritische Ressourcen zugreifen kann und da oder nicht. Und auch dass die weiß idealerweise kenne ich den Kontext, weiß, ob das die weiß gemanagt ist oder eben auch nicht.

Da helfen wir tun sie trotz Streik, die diesen Kontext eben auch angereichert im Idealfall heißt es dann und das ist der beste Käse. Im Idealfall heißt es, dass ich, wenn ich das Risiko wunderbar einschätzen kann, wenn es sich um ein gesichertes Gerät handelt, Wenn die Identität mit wirklich war, lädiert wurde ab der ersten Sekunde und der Zugriff meinetwegen unkritisch ist, dann kann ich auch ein paar Umgang realisieren, das ist mein Bestes, stellt sich jetzt die Frage ist viel gesehen.

Das war der Punkt zwei Sommer, die Kilius Käse ist, die zum Erfolg führen, auf der Reise zu einer Sie rot hast. Aber was sind denn eigentlich die, die die Kern Zutaten, die die Schlüssel zum Erfolg, um sie rot rast, auch wirklich in der Form umzusetzen? Und wenn sie sich das Beispiel noch mal vor Augen führen, die IP Routing dieser Anwendungsfall, mit der Lisa quasi das den Personalausweis zu validierung ihren, daran wollen sie das vielleicht nicht für jede Transaktion und auch nicht für jeden Nutzer, aber das ginge auch Kosten einher.

Dementsprechend wollen sie es auch hier wieder wir jedenfalls Kontext spezifisch machen. Nicht in jedem Fall wollen sie die Identität des neuen Nutzers überprüfen. Soll heißen Sie brauchen in irgendeiner Form eine flexible und dynamische Sag mal Orchestrierung Sandy gehen oder wollen Florenz wie sie sich hier sehen.

Und in Zeiten der Digitalisierung, wo Agilität und geschwindigkeit enorm wichtig sind, sollte diese wird vor einem gen idealerweise auf long Code oder auch nur Code Berührungen wie zum Beispiel hier bei behauptet haben wir wirklich mit jack in york ganz einfach während basieren solche Workshops realisieren um dynamisch und auf ihre sag mal spezifischen Anforderungen auch wirklich eingehen zu können?

Jetzt kommen wir aber mal zur Realität es ist in den meisten Ländern preis Kunden um Felder mit dem Bistum sind mir natürlich keine dieses Rohr, das heißt die meisten kunden haben sehr viele direkt ins Meer als einheitliche alexis menschen system und sollte die unterschiedlichsten anwendungsfelder mehr tun sie mir daten tapfer beziehungsweise. Der rektor ist aber jetzt habe desto mehr reibung, ineffizienz, medien brüche und kontrollverlust müssen aber auch gemanagt werden.

Daher sollte eigentlich das Ziel sein, auch immer in ein im Rahmen einer Nordost Architekt wohl dass sie ein zentrales zwei idealerweise ein neutrales zentrales System alle anwendungs folgende fälle wie in die TUI bitte bio biete sie Umfeld zu realisieren, das heißt ein zentrales Zugangssystem, ein Ex Proxy, der quasi relativ und Kontext basierend Zugangs Entscheidungen treffen kann.

Also quasi identi mischt er der vor meiner Haupt worte wirklich den zugang prüft und realisiert haben wir dieses eine zentrale System geschaffen, brauche ich dann wirklich auch nur diese eine forte diese eine zugangs türen idealerweise absichern und da kann ich mir natürlich sag mal mechanismen die artistische intelligence maschinen langen und ergreifen wirklich mir zu nutze machen und die nutzen um dann zum Beispiel im technischen Terminal zu sprechen vor der Authentifizierung zu entscheiden, ob ich den nutzer der mit der IP Adresse auf dem Gerät daherkommen, salopp gesprochen ob ich den jetzt hier wirklich in mein Netzwerk lasse oder nicht, wenn er zum Beispiel gefischt wurde wenn nun Forster tag oder irgendwas dergleichen stattgefunden hat, dann kann ich den Nutzer schon vor der Authentifizierung zum Beispiel abwehr so Um flächendeckenden Schutz nun aber zu realisieren, bedarf es einer umfangreichen und idealerweise lückenlosen Integration der Kern Applikationen.

Jetzt weiß aber jeder einzelne, die die Ex Manager Kenner hier in in diesem Umfeld wie herausfordernd und langwieriges ist, neue Systeme wirklich zu integrieren. Die meisten Unternehmen sind Jahre damit beschäftigt, eine ihr M und RAM Basis zu schaffen. Aber wie auch schon mehrfach erwähnt Geschwindigkeit und Agilität ist heute wirklich die Messlatte in der digitalen Welt.

Daher fordern unsere Kunden vor definierte Integration, damit sie schnell bestehende und neue Applikationen und Systeme integrieren können und bei allem, was sie natürlich integrieren muss und darf der andere Wände oder Anwender nicht zu kurz kommen und muss natürlich im Fokus von allen stehen. Und dementsprechend muss ich natürlich ganz klar aber wir sollten auf die Insel Experience Sachen auch eine einheitliche und einfacher an Handhabung damit war ansonsten den Nutzer und sein Vertrauen in die Identität in die digitale Welt nicht verlieren.

Damit bin ich am Ende meines Vortrags schon fast normal, ganz kurz zusammen, Was wir heute gesprochen haben, das heißt mehr maßgeblich mit drei Themen gesprochen einmal sie Wirtschaft in Künstler, dann die konkreten Anwendungs Fälle, die maßgeblich wichtig sind, um sie Wirtschaft umzusetzen und Nummer drei das Vertrauen wirklich aufrecht zu erhalten. Was sind denn die Zutaten für mein Gutes Sie Immer Trust Rezept, um das auch wirklich erfolgreich in die Realität umzusetzen?

Ja, jetzt habe ich viele Themen und Punkte adressiert. 17 Minuten sind dafür tatsächlich nicht ausreichen. Dementsprechend würde ich mich freuen, wenn wir ihre Themen in einer der kommenden Clowns Taschen glaube es 10:30 Uhr im Anschluss an der sind nur mit einem KuppingerCole.

Dass wir da ihre konkreten Themen und Herausforderungen ich besprechen können und wollen, dazu lade ich sie ganz herzlich natürlich diese launische Session ein, würde mich sehr freuen sie da antreffen zu können und mit ihnen persönlich in medias res gehen zu können und damit bedanke ich mich und würde sagen, dass wir ihn die Frage um der geht.

Like this?

Don't like this?

Why don't you like this?

Goetz Walecki: Wie man Vertrauen in einer Zero Trust Welt aufbaut