Start Empfohlen Ist das VPN mit dem Anstieg von Zero Trust wirklich tot?

Ist das VPN mit dem Anstieg von Zero Trust wirklich tot? [Q&A]

5
0


VPN-Kacheln

Als ein großer Teil der Welt während der Pandemie plötzlich begann, von zu Hause aus zu arbeiten, wandten sich viele Unternehmen an VPNs, um den Fernzugriff zu sichern.

Aber da sich jetzt mehr Systeme in der Cloud befinden und mit Zero Trust Network Access (ZTNA) gesichert sind, ist das Zeitalter des VPN vorbei? Wir sprachen mit Robert Byrne, Feldstratege bei Eine Identität herausfinden.

BN: Was passiert mit dem VPN angesichts von Cloud-Diensten und hat es noch einen Platz?

RB: Anfangs, als VPNs entwickelt wurden, befanden sich die meisten Systeme und Anwendungen, auf die Remote-Mitarbeiter zugreifen mussten, im Rechenzentrum des Unternehmens. Schneller Vorlauf bis heute, in der Cloud-Computing-Ära, in der viele Unternehmensdienste und -anwendungen online gehostet werden und die Benutzerbasis selbst zunehmend verteilt und entfernt ist. Diese Entwicklungen zwingen Unternehmen dazu, ihre Sicherheitsrichtlinien auf Netzwerkebene und unterstützende Technologien zu entwickeln, um dieser zunehmend verteilten und exponierten Anwendungs- und Benutzerbasis gerecht zu werden.

In der Vergangenheit waren VPNs nützlich, um einen sicheren Zugriff auf Daten und Anwendungen im Kontext eines klar definierten Netzwerkperimeters zu bieten, aber wie wir gesehen haben, sind diese Grenzen jetzt erheblich verwischt. Sie können dies sehen, wenn sich VPNs zu neuen Technologien entwickeln, die besser geeignet sind, diese neuen Umgebungen und die Benutzer, die darauf zugreifen, zu schützen. Der Wert des klassischen Remote-Worker-VPN wird sicherlich verringert und wird mit der Zeit fast überflüssig; Viele Unternehmen behalten sie jedoch zu Recht, um den Zugriff auf ältere oder hochwertige Vermögenswerte zu sichern.

BN: Viele propagieren Zero Trust als neuen Standard beim Netzzugang – gibt es einen Grund, warum er gegen das VPN gestellt wird?

RB: Der Grund dafür, dass VPN im Gegensatz zu ZTNA positioniert ist, liegt darin, dass Sie traditionell das implizite Recht haben, alle Unternehmensanwendungen zu erreichen, sobald Sie das VPN aktiviert haben. Dies ist nicht sehr „Null Vertrauen“, was uns anweist, den Zugriff bei jedem Schritt zu überprüfen und implizite Vertrauensrichtlinien zu vermeiden. Darüber hinaus stellt es ein reichhaltiges Ziel für Hacker dar, die versuchen, Konten zu kompromittieren und Informationen und Zugriff auf wertvolle Ressourcen zu erhalten.

Die Lösung besteht darin, Prüfungen auf Identitäts- und Kontextebene einzuführen, bevor der Zugriff auf die Anwendung gestattet wird. Dies hat den zusätzlichen Vorteil, dass eine Sicherheitsebene für Internetanwendungen und SaaS-Endpunkte bereitgestellt wird. Sie können sich dann viel sicherer fühlen, dass jeder oder alles, das Ihre Anwendungsendpunkte erreicht, ein gültiger Akteur ist.

Dies ist immer noch ein aufstrebender Bereich, daher werden uns VPNs noch einige Zeit begleiten.

BN: Das VPN ist also noch nicht tot?

RB: Als Antwort auf den Kommentar „VPN ist tot“ sagte mir ein Betriebsingenieur bei einem Managed Service Provider, dass seiner Erfahrung nach die meisten Kunden ohne VPNs von Sicherheitsverletzungen betroffen waren. Es ist wichtig, die Einschränkungen herkömmlicher VPNs zu verstehen, einschließlich der Änderung der Benutzer- und Anwendungslandschaft, und dann eine evolutionäre Strategie zu entwickeln, die Ihren Sicherheitsanforderungen entspricht.

Einige wichtige Szenarien, in denen VPNs nützlich sind, sind, dass Mitarbeiter auf ihre Büro-Desktops zugreifen oder den IT-Support eingreifen und technische Probleme beheben lassen. Diese Fernverwaltungssitzungen sind besonders während der Massenexperimente der letzten anderthalb Jahre mit Fernarbeit von entscheidender Bedeutung. Leider bringt das Ausführen solcher Sitzungen auch ein Ziel auf den Rücken des Unternehmens, wenn es nicht ordnungsgemäß gesichert ist oder wenn Ports offen gelassen werden. Angreifer werden diesen einfachen Weg zur uneingeschränkten Kontrolle über ein Gerät zweifellos schnell nutzen, von Maus und Tastatur bis hin zu allem auf dem Bildschirm. Daher ist es wichtig, dass ein VPN verwendet wird, um diese Sitzungen zu verstärken.

BN: Was sind einige der größten Fehler, die Unternehmen bei der Verwendung eines VPN machen?

RB: Während sich die Technologie weiterentwickelt und die Einhaltung von Zero-Trust-Prinzipien zur Norm wird, werden VPNs immer noch einen Platz bei der Schaffung sicherer Tunnel für den Transport von Daten zu den lokalen Rechenzentren von Unternehmen und in die Cloud haben. Wenn das VPN jedoch im Rechenzentrum endet, wird dem Ursprungspunkt zu viel Vertrauen entgegengebracht und die Sicherheit wird kompromittiert. Ein weiterer großer Fehler besteht darin, dass keine ordnungsgemäße Authentifizierung beim VPN erforderlich ist. Und mit „richtig“ meine ich, den Zugriff auf Personen zu beschränken, die ihn für ihre Arbeitsrolle benötigen, den Standort als Richtlinie zu verwenden und den Netzwerktyp zu berücksichtigen, der versucht, darauf zuzugreifen. Die Zero-Trust-Anleitung hier besteht darin, den Sicherheitskontext der Entität zu berücksichtigen, die auf Ihre Ressourcen zugreift.

Wenn diese Art der starken Authentifizierung nicht verwendet wird, genügt ein falscher Klick auf einen Phishing-Link, damit ein Mitarbeiter Zugangsdaten mit einem Angreifer teilt. Sobald ein bösartiger Akteur Zugangsdaten erfasst hat, dauert es nicht lange, bis er sich mit dem VPN verbindet und mit einem klassischen VPN ist Ihr Netzwerk jetzt weit geöffnet.

Daher ist die Multi-Faktor-Authentifizierung von entscheidender Bedeutung. Selbst wenn die Zugangsdaten eines Benutzers kompromittiert werden, fällt es Cyberkriminellen auf diese Weise schwerer, eine zweite Sicherheitsüberprüfung zu umgehen, beispielsweise ein einmaliges, zeitkritisches Passwort, das an ein separates Gerät gesendet wird, oder die Verwendung biometrischer Daten.

Vor allem aber ist es wahrscheinlich der größte Fehler, den Organisationen beim VPN-Zugang machen, die Standard-Zugangsdaten der VPN-Infrastruktur nicht zu ändern, und diese sollten sofort entfernt werden. Es mag offensichtlich erscheinen, aber leider ist es ein häufiger Fehler, der von Cyberkriminellen häufig ausgenutzt wird. Meistens bekommt die Technologie einen schlechten Ruf, wenn es wirklich die Benutzerimplementierung ist, die viele der Probleme verursacht.

BN: Sie haben das bereits angesprochen, aber wie können Identität und Verhalten am besten genutzt werden, um die Lücke zwischen ZT und dem VPN zu schließen?

RB: ZTNA wurde von der Notwendigkeit der Remote-Arbeit angetrieben, aber einigen Organisationen fehlt die entscheidende Tatsache, dass dies bedeutet, dass unsere Administratoren und privilegierten Zugriffslösungen auch aus der Ferne kommen. Diese speziellen Benutzer erfordern besondere Aufmerksamkeit und ein kritischer Punkt besteht darin, dass der Kommunikationskanal vom lokalen Dienst selbst initiiert werden sollte, damit keine eingehenden Ports offengelegt werden müssen.

Mit dem Aufkommen von SaaS, verteilter Zusammenarbeit und Remote-Arbeit wurde der Perimeter unserer IT-Landschaft effektiv in viele virtuelle Mini-Perimeter zerlegt, wobei die Sicherheit durch Ansätze wie ZTNA erzwungen wird – und Identität kann der Schlüsselanker sein, um die Richtlinien miteinander zu verbinden. ZTNA verlässt sich auf Autorisierungsbereitstellungs- und Governance-Technologie, um die richtigen Autorisierungen zur richtigen Zeit und für die richtigen Benutzer bereitzustellen. Das richtige Timing gibt uns eine Just-in-Time- und Null-Berechtigungshaltung, während die laufende Governance eine Haltung mit den geringsten Privilegien und gerade genügend Privilegien sicherstellt. Infolgedessen sehen wir großes Interesse von Unternehmen an einem stärker identitätszentrierten Zugangs- und Governance-Ansatz als Grundlage für Zero-Trust-Strategien.

Bildnachweis: Roobcio / Shutterstock



Vorheriger ArtikelDie besten Windows-Apps dieser Woche
Nächster ArtikelÜbermäßige Berechtigungen gefährden die Daten von Android-App-Nutzern

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein