Zero Trust Auf dem Weg zum IT-Sicherheitskonzept

Mit schlechten Cybersecurity-Strukturen schaffen Kliniken eine Angriffsfläche für Hacker. Für mehr Sicherheit kann das Konzept Zero Trust sorgen. Morten Köster, Gruppenleitung Netze am Universitätsklinikum Schleswig-Holstein, erklärt, wie die Umsetzung gelingt. Die fünf Phasen auf dem Weg zur Zero-Trust-Infrastruktur bilden einen Kreislauf, der immer wieder durchlaufen wird. Die Bestandsaufnahme ist zu Beginn mit hohem Aufwand verbunden – das war auch am UKSH der Fall. Dieser initiale Schritt ist jedoch für alle Einrichtungen wichtig. Zero Trust – der Name ist hier Programm. Der Begriff bedeutet, dass per se keinem Gerät (Client) vertraut werden darf, welches mit dem eigenen Netzwerk verbunden wird. Um sich zu authentifizieren, muss das Gerät definierbare Voraussetzungen erfüllen, um Zugang zu einem Netzwerk zu erhalten. Zu den möglichen Voraussetzungen können einfache Dinge gehören, wie eine bekannte MAC-Adresse,ein SSL-Zertifikat oder ein gültiges Benutzerkonto, z.B. in einem Active Directory. Nach erfolgreicher Authentifizierung im Netzwerk werden individuelle Zugriffsberechtigungen an dem Zugangspunkt zum Netzwerk forciert – ob LAN oder WLAN spielt hierbei keine Rolle. Zugriffe sind dadurch, auch für erfolgreich authentifizierte Clients, nur auf festlegbare Ressourcen und Systeme möglich, wenn sie autorisiert sind. Das macht Zero Trust zu einem grundlegenden Baustein eines ganzheitlichen IT-Sicherheitskonzeptes. Es schützt vor unbekannten und ungewollten Geräten im Netzwerk und unterbindet, je nach Umsetzungsstand, ungewollte Zugriffe von Clients und Systemen untereinander. Minimierter Arbeitsaufwand Oft mangelt es in der IT-Sicherheit an Personal oder Zeit, um sich der IT-Sicherheit zu widmen. Hier kann Zero Trust ansetzen, da es für eine netzwerkweite Authentifizierung durch automatische Zuweisung des passenden Netzes pro Gerät sorgt. Die daraus resultierende Zeitersparnis ist groß. So wird eine Steigerung der IT-Sicherheit bei gleichzeitiger Minimierung des Arbeitsaufwandes erreicht. Die gewonnene Zeit kann für andere Tätigkeiten genutzt werden, wie KHZG-(Krankenhauszukunftsgesetz-)Projekte. Geringer Netzwerkbefall Durch die Authentifizierung und Autorisierung der jeweiligen Geräte sind Kliniken in der Lage, das Netzwerk automatisiert in viele kleine Teilbereiche zu untergliedern. Im Falle eines Ransomware-Befalles oder anderer Hackeraktivitäten sind diese voreinander geschützt und ein netzwerkweiter Befall aller Clients und Systeme wird unterbunden. Im Optimalfall kann der Betrieb mit wenigen Beeinträchtigungen weiterlaufen. Zero Trust ist keine Antwort gegen jegliche Form von Angriffen, kann aber die Auswirkungen eines solchen deutlich reduzieren. Es beschäftigt sich mit dem Inneren des Netzes, indem es dort für weniger Zugriffsmöglichkeiten sorgt und nicht mit dem Perimeter. In die Umsetzung kommen Wenn Kliniken den Zero-Trust-Ansatz umsetzen wollen, verursacht dies zu Beginn einige Stolpersteine und Arbeitsaufwand. Es ist entscheidend, dass der Wille da ist und der Mehrwert klar kommuniziert wird. Zu Beginn sollte erstmal eine einfache Bestandsaufnahme der Clients im Netzwerk gemacht und anschließend in grobe Gruppen unterteilt werden. Je nach Datenlage kann dieser Schritt sehr viel Zeit in Anspruch nehmen, ist aber zwingend erforderlich. Wer bereits über einen gut gepflegten Datensatz verfügt, hat es hier leichter. Mögliche grobe Gruppen wären z.B.: Krankenversorgungs-PC,Forschungs-PC,IP-Telefon,Gebäudeleittechnik,BYOD (Bring Your Own Device) undMedizintechnik. Nun müssen die Geräte durch eine netzwerkweite Authentifizierung in das Netzwerksegment ihrer Gruppe gebracht werden. Welcher Client mit welchem System bzw. Server kommunizieren muss, kann zu einem späteren Zeitpunkt nachgearbeitet werden. Hierfür sollten IT-Abteilungen genug Zeit einplanen. Was initial zur Authentifizierung verwendet wird, spielt keine Rolle. Wenn eine gut gepflegte Datenbank an MAC-Adressen vorliegt, sollte diese genutzt werden. Zu diesem Zeitpunkt geht es darum, spürbaren Fortschritt zu machen, Gedanken um eine zertifikatgestützte Authentifizierung können später dazukommen. Zertifikate zur Authentifizierung und auch zur Autorisierung zu nutzen, ist ein einfacher Schritt – die Frage, wie die Zertifikate auf die Geräte kommen und wer die Gültigkeit überwacht, ein weitaus schwierigerer. Diese Fragen müssen zu Beginn nicht direkt beantwortet werden. Die Umsetzung von Zero Trust ist ein Kreislauf, der aus fünf Phasen besteht: 1. Bestandsaufnahme 2. Authentifizierung/Autorisierung 3. Überwachung 4. Risikobewertung 5. Gegenmaßnahmen Die Phasen des Zyklus Zu Beginn sollten sich Kliniken mit den Punkten eins bis drei beschäftigen und diese mehrfach durchgehen. Im Zuge dessen können Fragen rund um Zertifikate etc. gestellt und geklärt werden. Für den ersten Durchgang ist dies jedoch nicht erforderlich. Die Punkte „Authentifizierung/Autorisierung“ und „Überwachung“ sorgen je nach Grad der Autorisierung für mehr Sicherheit im Netz. Wenn es gelingt, jeden Client mit einem eng gefassten Regelwerk zu versehen, ist der Status einer Mikrosegmentierung des Netzes erreicht. Aber auch die Makrosegmentierung, also das Abgrenzen von Gerätegruppen zu anderen Gerätegruppen, bietet bereits einen Mehrwert. Im Anschluss an eine gute Makrosegmentierung sollten IT-Abteilungen in Kliniken die besonders schützenswerten Geräte identifizieren und bei diesen mit einer Mikrosegmentierung beginnen. Die dritte Phase „Überwachung“ sollte ebenfalls früh betrachtet werden, da es wichtig ist, zu verstehen, wer sich wo über welche Wege Zugang zum Netzwerk verschaffen möchte. Die Phasen vier und fünf sollten erst danach angegangen werden. Ein Blick in die Zukunft Folgendes Szenario könnte Realität werden: Ein per Zertifikat authentifizierter Computer wird von Ransomware befallen. Da er während seines Autorisierungsprozesses mit einer sehr eng gefassten Zugriffspolicy (mikrosegmentiert) versehen wurde, schlagen die Versuche einer Weiterverbreitung (Lateral Movement) der Ransomware fehl. Die Überwachung durch ein SIEM (Security Information and Event Management) registriert diese Versuche und weist das Authentifizierungstool an, das Gerät vom Netzwerk zu trennen. Gleichzeitig eröffnet es ein Ticket beim IT-Service-Desk oder einem Securityteam. Die Umsetzung am UKSH hat gezeigt: Es braucht ein Konzept und eine Roadmap. Dann sollten IT-Abteilungen in Kliniken einfach anfangen, denn die Umsetzung ist ein ständiger Prozess. Für Angriffe gerüstet sein Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt aktuell eine erhöhte Bedrohungslage für Deutschland fest, weist aber auch darauf hin, dass sich diese Bewertung jederzeit ändern kann. Besonders in Krisenzeiten sollte die IT-Sicherheit daher verstärkt in den Fokus rücken und die Zeit genutzt werden, sich auf den Ernstfall vorzubereiten. Es gilt: Die eigene Infrastruktur vor Fremdzugriffen zu schützen und Schaden im Falle eines Angriffes zu minimieren. Bisher sind keine großangelegten Angriffe auf Einrichtungen im Gesundheitswesen bekannt. Einige Websites von Behörden, u.a. die des Verteidigungsministeriums und der Bundespolizei, wurden aber bereits attackiert. Kontakt zum Autor: Morten Köster, Gruppenleitung Netze am UKSK, Kontakt: morten.koester@uksh.de

Zero Trust Auf dem Weg zum IT-Sicherheitskonzept

Reimbursement im Überblick

Digitale Gesundheit von A bis Z

Newsletter-Anmeldung