Event Recording

Warum Zero Trust kein Schlagwort ist

Name: Warum Zero Trust kein Schlagwort ist
Uploaded: 2021-06-10T12:00:00+02:00
Duration: 22 min 33 s

Goetz Walecki

Senior Manager Solutions Engineering

Okta

Posted on Jun 10, 2021

Sie kennen das Sprichwort mit dem Tier, das durch das Dorf getrieben wird. Zero Trust könnte mal wieder dieses Tier sein.
Doch Zero Trust gehört nicht in diese Kategorie und ist ein absolut notwendiges Sicherheitskonzept in Zeiten, in denen Unternehmen mit extrem kostenintensiven Angriffen wie Ransomware konfrontiert werden. Daher beleuchten wir in diesem Vortrag ganz aktuelle Szenarien und was es braucht, um derer Herr zu werden.

Video Description

Show Transcript

und natürlich auch ein herzliches Willkommen von meiner Seite und schön, dass sie sich die Zeit für diesen Vortrag hier und heute genommen haben wir nach eben schon erwähnt man haben, es gab Verletzte und ich bin als sie in ihr Manager solutions Engineering hier in Zentraleuropa verantwortlich würde es löschen Ingenieurin team zentral Europa bedeutet Deutschland, österreich und die Schweiz ja Herr KuppingerCole das eben schon angedeutet, beziehungsweise.

Hat natürlich eine Steilvorlage mir gegeben in puncto Seo Trust und warum das im Grunde genommen auch kein Schlagwort ist, sondern ein notwendiges Sicherheitskonzept in und warum das aktuell gerade in diesen brand aktuellen Tagen mit diesem ganzen Grenzen wer Attacken diese gerade eben schon gehört haben ein notwendiges Konzept ist, darauf will ich jetzt hinein, will ich eingehen und habe ihnen dem entsprechend auch folgende Themen mitgebracht, die wir jetzt in den nächsten 20 Minuten beleuchten werden also im ersten Teil des Vortrags werde ich auf die aktuellen Herausforderungen eingehen, nicht gleich erläutern werde und warum es denn auch wirklich hier in der aktuellen unter den aktuellen Gegebenheiten ein neues Sicherheitskonzept benötigt, egal ob sie das Ganze sie rot fast nennen oder eben auch nicht.

Im zweiten Teil gehen wir aber ganz konkret auf die Herausforderungen und das Warum Ein. Und im dritten Schritt betrachten wir ganz konkret die aktuellen Risiken, und zwar von Die werden von zwei Seiten beleuchtet, einmal die Risiken von außen und auch die Risiken von innen. Und dann zu guter Letzt, gehen wir ganz kurz schließlich auf Lösungsansätze ein. Bitte Sie dann auch entsprechend Fragen zu stellen, die gegebenfalls. Hochkommen, die wir dann im Nachgang oder auch im Interview adressieren können.

Fangen wir mit einer kurzen Einführung an Was Sie hier sehen, ist Status quo, wo womit wir es aktuelles tun, haben in unserer Kunden Landschaft und unsere Kundenbasis to trust letztlich ein Konzept, diese Herausforderungen in den Griff zu kriegen. Es handelt sich also jetzt hier nicht um dieses berühmte Schlagwort, sondern wirklich und ein weiteres Tier, das jetzt hier durch das Dorf getrieben wird. Sie erkennen das Sprichwort, sondern wirklich um ein notwendiges Sicherheitskonzept, wie es auch eben von einem KuppingerCole eben auch schon angesprochen wurde.

Doch was sind jetzt wirklich die einzelnen Herausforderung dieses Bildes, beziehungsweise. Die Herausforderungen, mit denen es unsere ganzen Kunden zu tun haben? Die Cloud ist nicht mehr wegzudenken, das wissen wir alle. Und durch die rapide Verbreitung von Cloud Computing greifen also auch die lokalen Sicherheitskonzepte des guten Alten und RAM Perry Meters nicht mehr, das heißt, die alten Burg Mauern, der Schutzwall und der Geraden Rund und ihr Antrag mit ist löchrig geworden wie in Schweizer Krise.

Und da mehr und mehr saß, Applikationen und Cloud Applikationen entsprechend genutzt werden die Nutzer arbeiten in diesen Zeiten auch nicht mehr nur in einem gesicherten Büro Netzwerk, sondern letztlich überall. Sie das wie Maut Werk, der nehme gewordenen Homo auf ist sie alle kennen die Schlagworte und wissen, was damit gemeint ist. Dementsprechend gibt es auch das eine gesicherte Crocker, die weiß nicht mehr in diesen Zeiten.

Stichwort bringen, um die war ist, Das heißt, wir müssen uns mehr und mehr unseren Nutzern erlauben, dass sie von überall produktiv arbeiten können, und die Sicherheit leidet unter den unterschiedlichen Gegebenheiten.

Kurzum, die Daten und die Dienste liegen letztlich überall verteilt und Rahmen in der Cloud auf den unterschiedlichsten Geräten, und diese Anwender von, die jetzt auch von überall auf alle Daten und Applikationen zugreifen wollen, nutzen dem auch dementsprechend auch die unterschiedlichsten Geräte und erwarten letztlich das sie auch auch überall möglichst einfach und schnell sind, weise auch sicher arbeiten können.

Doch durch all diese Aspekte vergrößern wir natürlich auf allen Ebenen, die Angriffsflächen und leicht an dem entsprechend, den Angreifern und Hackern somit auch den Zugang und das sind zusammengefasst die Risiken der Gegenwart. Dies letztlich zu managen gilt, und das ist unser Job, Deswegen sind wir hier, das ist heute der der Grund, warum wir uns alle hier auf dieser Plattform versammelt haben, so die Frage ist Wie kann das jetzt gelingen und wie kann ein möglichst einfaches Konzept auch umgesetzt werden?

Bevor wir diese Re tun, sollten wir wirklich mal kurz einen Akt ein Blick auf die akuten Risiken widmen. Und was ist wirklich Stand heute? Zu verhindern? Geht Es ist unsere Aufgabe. Das ist Teil unseres Jobs, Daten zu schützen und uns nicht erpressbar zu machen.

Grenzen, wer oder auch private Erpressung ist eines der aktuellen Risiken, denen es begegnen, gilt. Gemäß einem Statista Report hatten wir es in 20, 20 mit 304 Millionen Grenzen Wer Angriffen zu tun? Das ist eine gehörige Zahl. Das ist ein Anstieg von 62 % gegenüber dem Vorjahr, also ein signifikantes Risiko, das ist, das einzelnen einen einzelnen Kunden den Schnitt Millionen kostet. Wir alle haben noch das Pipeline Beispiel vor Augen. Stand heute brandaktuell aus der Presse. Haben wir es mit dem GPS Hack auch mit größeren Summen als die vier Millionen zu tun?

Das heißt wir reden jetzt hier über 11 Millionen, es ist ein reales Risiko, den wir uns alle widmen müssen. Aber wo sind denn jetzt wirklich die Risiken und die tatsächlich technischen Risiken? In vielen Fällen neben Angriffen wie Nation weit Nation weiter Tags ist also der stellte Mama und der Treiber für die Angreifer und die Angreifer wie beispielsweise die Grenzen, wer Gangs wie Dark Seit die nutzen alle sich ergebenen Angriffs Vektoren die in der Vergangenheit Erfolgs versprechen waren und es immer noch sind die klassischen Lücken ausgelost.

Doch welche Angriffs Vektoren das konkret sind und welche Maßnahmen und Konzepte ist diesbezüglich gibt, das wollen wir jetzt in den nächsten Minuten kurz beleuchten und dazu schauen uns exemplarisch mal ganz pragmatisch und konkret uns zwei Risiken und zwei Beispiele an Fange mit dem Risiko von außen an und den Missbrauch von Identitäten. Oder auch anders ausgedrückt Das sogenannte kredenzen Fische Sie werden auf der nächsten Folien reales Szenario erleben beziehungsweise. Nachvollziehen können, dass ich genauso in der Praxis ereignet hat.

Also das ist wirklich nachgestellt und es handelt sich hierbei um ein deutsches Unternehmen in der Industrie Logistik. Mehr kann und will ich dazu natürlich nicht sagen, wie Sie sich vorstellen können. Ziel des Angriffs Wie sind die Angreifer vorgegangen war der Chief Financial Officer des Ifo der Region Amerika, dieses Industrie Unternehmens und dieser Sie Frau bekamen am Abend kurz nach 18 Uhr kurz nach Geschäftsschluss eine E Mail. Das ist ein von den Angreifern bewusst gewähltes Zeitfenster.

Meist befindet man sich hier auf dem Sprung und schaut nicht mehr ganz so genau auf die Inhalte, die hier verschickt werden und Klick gerne mal noch schnell auf einen Link, bevor man nach Hause geht oder sich vielleicht auch gerade noch im Supermarkt befindet. Wie auch immer Dieser Link führte dann zu einer nachgebauten Office Physics, die verhalf Lernt im Feld Sting konkreten Link sehen Sie auch hier eingeblendet YouTube wird meistens nicht geblockt.

Aber was viele nicht wissen dahinter kann man eben ganz schnell und einfach auch Kast im Landing Pages hinterlegen, wodurch das meistens durch die Filter eben durchgerutscht der User genau in dieser Office Physics die verhalf Landing Page war die Mail Adresse auch schon vor ausgefüllt der User in dem Fall. Es musste also wirklich nur noch sein Passwort hinterlegen, und schon hatten die Angreifer genau das, was sie wollten. Nicht. Die kritische ist also ein gültiges Kühl.

Denzel Paar im Nachgang Bei der forensischen Analyse wurde aufgezeigt, dass innerhalb nur einer Minute genau dieses Passwort, also dieses gültige kritische Paar, erfolgreich geprüft und Validität wurde. Also sehen Sie mal, wie schnell diese Angreifer auch wirklich agieren und mittels dieses erfolgreichen Logins der Angreifer wurde letztlich einer Applikation autorisiert, in diesem Fall erfolgte der dann entsprechend an. In einem Anschluss ein Daten, abgegriffen aus Office Physics. Die Fall. Aber natürlich, das hätten hier auch viele andere Dinge mittels dieses Logins passieren können.

Alle, die sich bereits mit Coast auseinandergesetzt haben, wissen und das hat eben der KuppingerCole auch schon be Sprache mehr oder weniger angedeutet, dass die rot Rasten Teamsport ist. KuppingerCole sprach von Baukästen, Bausteinen, Modulen. Und genau dem entsprechend sagen auch wir Doctor es braucht die Meister ihrer Klassen, um den aktuellen Bedrohungen, Risiken auch wirklich Herr zu werden. In diesem Fall sehen Sie die Lösung.

Und das ist jetzt wirklich nur ein Beispiel von Beruf Point, mittels deren er ideal Proxy diese Fische diese Phishing Mail letztlich hätte identifiziert werden können, als NAS Maßnahme hätte dann in den konkreten Fall der kompromittierte R count isoliert werden und mittels Policy es gezielte Aktionen getriggert werden kann.

Aber dazu dann entsprechend gleich mehr im Anschluss und im weiteren Verlauf der Präsentation Wichtig ist vielleicht jeder Hinweis, dass es eben viele sogenannte Risiko Signale sprich Hinweise gab, die dazu führten, dass männliches Code, die URL, der zweite Login innerhalb von einer Minute aus einem anderen Hippie Raum. EZB Rat, wodurch ganz klar war Hier handelt es sich um eine andere Mali. Und genau darum geht es ja auch. Sie brauchen zur Partitur ist ich sage man, desto mit Lösungen, die genau das identifizieren konnten.

So, das war jetzt. Der kurzer Ausblick muss auf die Zeit achten und die Zusammenfassung eines akuten Risikos, wie es von außen tagtäglich passieren kann. Neben den Angriffen von außen gibt es aber auch die Risiken von innen zu stemmen. Und das Schauen jetzt auch ebenfalls ganz kurz halten. Was Sie hier sehen, ist die Solar war eins der Brite schönen Attacke auch diesen Begriff.

Ich denke, dass die meisten von ihnen kennen die Details von daher brauche ich da jetzt auch nicht mehr drauf eingehen. Aber kurz zusammengefasst handelt es sich hier um einen hochkomplexen und langen EPI Tieren. Ist also nichts, was wir mal schnell und ohne professionelle für Partitur es hätten identifizieren noch verhindern können, da hier letztlich eine Hintertür in der Inter Preis Software benutzt wurde. Aber auch in diesem Fall kann man natürlich mittels Best of Beat und entsprechenden Risiko Signalen eine Lösung schaffen, das schauen wollen sind auch ein bisschen detaillierter an.

In diesem Fall hätte zum Beispiel eine die Weiß und End Point Management Lösung als weitere mögliche Best of Beat Lösungen die Ano Mali eines normalen Server Zugriffs identifizieren können. Was hier passierte, war und es wurde auch eben schon angedeutet und erläutert. In den bei den Vorrednern sind sogenannte Letzterem Hofmanns, die stattgefunden haben. Hier wurde ein interaktiver Service The Count aus Sein, so wisse Count ausgenutzt, der sich interaktiv anmelden, was normalerweise ja auch nicht Not beziehungweise Usus ebenfalls wurde.

Auch ich sag mal eine falsche Implementierung eines Protokolls ausgelost. Eines der Herrscher ist hier das Stichwort. Auch hier gab es entsprechenden wieder zahlreiche Hinweise und Risiko Signale, die man entsprechend aufgreifen kann, um darauf zu reagieren. Genau darum geht es jetzt in den folgenden Minuten. Das heißt wie man auf Basis von solcher Risiko Signale denn eine Lösung bauen kann und ein Sicherheitskonzept im Kontext von sie rot hast implementieren kann.

Also eben was sie gesehen haben waren wirklich ganz konkrete Bedrohungen und Unfälle, die sich genauso statt die genau so stattgefunden haben Und die Frage ist Wie kann man jetzt auf Basis dieses Risiko Signale und anomal die ihnen, die wir gerade gesehen haben Entscheidungen treffen und entsprechen und eine Lösung umsetzen im Kontext von Sioux Trust Never Trust auf es wäre falsch. Im ersten Fall hatten wir jetzt zum Beispiel das Klicken einer schadhaften URL, das war der Fall des kulinarische Faschings und im zweiten Fall die Anomalie, die diese sauber Zugangs und das Letzte vermuten ist.

Die Frage ist nun wirklich, wie wir mit diesen unterschiedlichen Risiko Signalen umgehen und was wir damit machen und welche Prävention helfen, dass solche Angriffe eben entsprechend nicht mehr passieren können. Und dazu schauen wir uns mal einen ganz kurzen kleinen Ausschnitt an aus der Serie Trust Referenzen, Architektur und was letzten Endes dieses Konzept hier konkret vorschlägt, in der sie wirkt Fast Welt ist die Identität der neue Perry Meter.

Das heißt sowohl der Nutzer als auch das Gerät des Nutzers besitzt eine solche Identität und jede Identität, ob auf User oder die weiß Ebene, kann mit einem Risiko behaftet sein, wie wir es gerade eben gesehen habe. Die Risiko Einstufung beziehungsweise. Einschätzungen auf Basis des Nutzers oder das Gerät sollte also über die Art des Zugriffs auf eine Ressource entscheiden.

Das schauen wir uns mal genauer an, was das hier wirklich bedeutet und genau sehen Sie das komplette Bild was ist eigentlich benötigt und bezogen weisen wie idealerweise, dass die Kirche die Konzept auf Basis von Sie rot fast umgesetzt wird auf Basis einer zentralen Sag mal Risse entstehen, die diese Entscheidung treffen kann und auch Basis einen mist Stoß, der im Hintergrund auf Basis von EA und abzufischen Intelligenz beziehungsweise. Maschinen über Ding dann die entsprechende Entscheidung treffen kann.

So immer mal ein bisschen konkreter jetzt auf die einzelnen Szenarien einige gerade beleuchtet haben im ersten Szenario hatten das wie gesagt mit diesem kompromittierten er kaum zu tun und dem entsprechend hoch ist auch das Risiko hier in dem Fall kommt Roma ist WAP User im entsprechenden Bild rot dargestellt.

Also landet der Nutzer exemplarisch zum Beispiel auf dieser sogenannten WAP Liste von Prüf Point Werk steht hier in dem Fall, variiert Tactical, kann dem Nutzer durch eine hinterlegte Policy Doris Kenyon dementsprechend der Zugriff verweigert werden, sind aber natürlich auch andere Aktionen möglich, dass es abhängig der Policy und der Richtlinie, die sie entsprechend zentral hinterlegen hätte der Nutzer zum Beispiel lediglich eine schadhafte melden bekommen, sie aber ignoriert, wäre das Risiko dementsprechend geringer gewesen und der Zugriff hätte zum Beispiel über die Abfrage eines weiteren Faktors und sogar somit Multi Faktor Authentifizierung abgesichert werden können das ist ein konkretes Beispiel.

Für den attraktiven und Risiko basierten Sie Zugriff einer Sie rot rast Präferenz Architektur, wenn er zum Beispiel eine User ID gekapert wurde. Aber schauen wir uns noch mal ganz kurz des nächstes Szenario a Im Seiten Szenario hatten wir es mit einem kompromittierten Server zu tun, also auf die weiß eben wurde eine Identität missbraucht, es gab also eine großen Samen Alltag. Auch in diesem Fall kann der Zugriff in Abhängigkeit des Risikos und der hinterlegten Policy verweigert werden oder wie die Abfrage eines weiteren Faktors und somit Multi Faktor eben auch wieder abgesichert werden.

Ist das Gerät zum Beispiel lediglich verwundbar, war zum Beispiel der Patch Zustand nicht auf dem aktuellen Stand ist, der Zugriff aber eher unkritisch ist, könne der Zugriff einfach über Multi Faktor Authentifizierung und zum Beispiel aus antiquarischen korrigiert werden. In kritischen Fall und für den Fall, dass auf den sieben Staat zugegriffen werden soll, könnte die könnten die Schotten komplett gedicht gemacht werden und der Zugriff entsprechend verweigert. Zusammenfassend lässt sich Folgendes zum Thema Seo Trust sagen KuppingerCole auch schon angesagt.

Mein Vorredner in der Wirtschaft. Und genau das ist es Es geht um adaptive Entscheidung auf Basis des Risikos und Risiko Signale letztlich ein Security Konzept, ein Paradigma, dass es gilt, wirklich die Identitäten so validierung, das Risiko abzuwägen und dann darauf basieren, Entscheidungen zu treffen und darüber dafür braucht, entsprechende tun muss, um diese Entscheidungen auch wirklich zu treffen.

In der Kürze zusammengefasst Je mehr Risiko Signale sie von den unterschiedlichsten Best of Breed Party Lösungen bekommen sowohl im User als auch in die weiß Kontext, dass du besser oder mehr kontext, schaffen sie und können bessere und grano lara zugerufen Entscheidungen treffen und das alles unter Berücksichtigung der Nutzer Erfahrungen, also auch gegebenenfalls sogar der Passwort lose Zugriff auf Ressourcen bei geringen oder einem nicht vorhanden Risiko dazu kommen aber auch gleich gerne noch später im Interview darauf zu sprechen zu guter Letzt weil ich bin schon über der Zeit, damit sind wir am Ende fast ich aber noch mal ganz kurz die Aspekte zusammen und gebe hier um meine persönliche Meinung und überzeugung mit warum dieses aktuelle warum dieses Thema Sioux Trust als Konzept so wichtig ist.

An der Cloud kommt heute niemand mehr vorbei. Ich denke, das ist uns allen klar Die aktuellen Risiken werden auch nicht weniger, sondern immer noch herausfordert. Daher braucht es neue Lösungen, Ansätze und Konzepte und sie rot. Fast ist entsprechend ein Konzept, das wirklich funktioniert nachweislich was aus meiner Sicht nicht funktioniert, sind wir Bride beziehungsweise. Und Reime Lösungen, die alles noch komplexer, aufwändiger und kostenintensiver machen.

Klar kommen sie einer Hybriden ein Team nicht vorbei, aber ihr weniger übrig Sie unterwegs sind, die geringer, sie die Komplexität gestalten, desto einfacher im Händeringen. Nachgang Die eierlegende Wollmilchsau, die wir eben schon gesehen haben, ist natürlich das Wunschdenken. Nicht so einfach umsetzbar und dementsprechend die eine Lösung gibt es nicht, deswegen eben auch Best Gebiet und die Summe der unterschiedlichen Baukästen und Module, die zusammen genommen eine Lösung bilden und dementsprechend zur Verfügung stellen die einen entsprechend dann auch ein.

Dass das Risiko minimieren, besondere Weise reduzieren kann rein auf und beim setzt, fördert lediglich die Schatten it. Es ist natürlich auch ganz klar das können uns alle nicht allein erlauben. Dementsprechend was nach meiner Meinung nach nachweislich funktioniert, sind Klaus Cloud Lösungen, die fünf bis zehn mal schneller und günstiger zu implementieren sind.

Aber hier braucht es eben auch Best of Breed Lösungen und das Zusammenspiel der Meister all Ihrer Klassen, und wenn Sie eine schnell eskalierende Kosten effiziente und hoch verfügbare Lösungen suchen, dann kommen Sie eben entsprechend an einer Saas Lösung. Auch nicht vorbei kurz um und das ist jetzt auch so wie schon mein Schlusswort.

Wenn auch sie und das gilt und Kapazitäts Mangel in ihren Teams leiden, letztlich also nicht genug es Käse und Kapazitäten in ihren Teams vorhalten können, dann ist der best of Breed saß Ansatz aus meiner Sicht obligatorischen Es gibt keinen Weg dran vorbei. Damit bin ich jetzt auch wirklich schon am Ende meines Vortrags. Leider bin ich fünf Minuten drüber, aber wir haben ja jetzt im Nachgang noch das Interview. Dementsprechend bedanke ich mich, jetzt erst mal Fuß zu hören für und die Teilnahme hieran diesen Vortrag

Like this?

Don't like this?

Why don't you like this?

Warum Zero Trust kein Schlagwort ist