Was ist ZTNA?

Zero Trust Network Access (ZTNA) ist ein Sicherheitskonzept, bei dem der Zugriff auf einzelne Anwendungen erst nach einer kontinuierlichen Überprüfung der Benutzeridentität, des Gerätestatus und des Kontexts gewährt wird – anstatt, wie bei einem herkömmlichen VPN, einen pauschalen Netzwerkzugriff basierend auf dem Ursprungsort der Verbindung zu gewähren. ZTNA ist die Säule für den Zugriff auf private Anwendungen im Rahmen von „ SASE “ und SSE.

Die wichtigsten Erkenntnisse

• ZTNA gewährt anwendungsspezifischen Zugriff anstelle eines pauschalen Netzwerkzugriffs wie bei einem VPN.
• Zugriffsentscheidungen basieren auf Identität, Gerätestatus und Kontext, die kontinuierlich überprüft werden.
• ZTNA ersetzt das implizite Vertrauen aufgrund des Netzwerkstandorts durch eine explizite Überprüfung.
• Es handelt sich um die Säule für den privaten Zugriff der Architekturen „ SASE “ und „Security Service Edge“.
• Versa stellt ZTNA über „Secure Private Access“ (VSPA) bereit, das in Concerto verwaltet wird.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · ZTNA & Versa · Häufig gestellte Fragen

Warum ist ZTNA wichtig?

Herkömmliche VPNs verbinden einen Nutzer direkt mit dem Unternehmensnetzwerk selbst und gewähren jedem, der über gültige Anmeldedaten verfügt, Zugriff auf weite Teile der internen Infrastruktur. Dieses Modell eignet sich für eine Welt, in der Mitarbeiter und Anwendungen hinter einer einzigen Perimeter-Sicherheitsgrenze angesiedelt waren. Es versagt jedoch, sobald Anwendungen in die Cloud verlagert werden und Nutzer sich von überall aus verbinden, da sich bereits ein einziges kompromittiertes Passwort oder Gerät lateral über ein flaches Netzwerk ausbreiten kann – ein Muster, das vielen Sicherheitsverletzungen zugrunde liegt.

ZTNA ist wichtig, weil es diesen Angriffsradius beseitigt. Anstatt einen Benutzer im Netzwerk zu platzieren, verbindet es ihn nach Überprüfung von Identität, Gerät und Kontext jeweils direkt mit einer autorisierten Anwendung. Anwendungen bleiben für alle unsichtbar, die nicht ausdrücklich zum Zugriff darauf berechtigt sind. Dadurch wird die Angriffsfläche verkleinert und die Erkundung sowie die laterale Bewegung verhindert, die ein flacher VPN-Zugang ermöglicht. Das Vertrauen wird zudem kontinuierlich bewertet und nicht nur einmalig bei der Anmeldung gewährt und für den Rest der Sitzung als gegeben vorausgesetzt.

Was ist ZTNA?

ZTNA leitet jede Anwendungsanfrage über einen Richtlinienentscheidungspunkt weiter, anstatt den Datenverkehr in ein gemeinsames Netzwerk zu leiten. Wenn ein Benutzer eine private Anwendung anfordert, überprüft der Broker die Identität (über LDAP, SAML oder einen anderen Identitätsanbieter), den Gerätestatus (Patch-Stand, Status des verwalteten Endgeräts, Sicherheitssoftware) und den Kontext (Standort, Uhrzeit, Netzwerktyp), bevor eine direkte, verschlüsselte Verbindung für die jeweilige Anwendung hergestellt wird. Die Netzwerkadresse der Anwendung wird dem Gerät niemals offengelegt, und keine anderen Anwendungen sind über diese Sitzung erreichbar.

Diese Bewertung erfolgt kontinuierlich und ist kein einmaliger Prüfpunkt: Wenn sich der Sicherheitsstatus eines Geräts während einer Sitzung ändert – beispielsweise wenn ein Sicherheitsagent keine Daten mehr übermittelt –, kann der Zugriff sofort widerrufen werden. ZTNA-Implementierungen lassen sich im Allgemeinen in zwei Verbindungsmodelle einteilen: agentenbasierte Modelle, bei denen die Client-Software auf dem Endgerät die Verbindung initiiert, und agentenlose Modelle, bei denen die Anwendung stattdessen über einen Browser als Reverse-Proxy bereitgestellt wird.

Arten von ZTNA

ZTNA-Implementierungen unterscheiden sich danach, wie die Verbindung hergestellt wird. Bei der endpunktinitiierten (agentbasierten) ZTNA wird ein schlanker Client ausgeführt, der die Authentifizierung durchführt und einen anwendungsspezifischen Tunnel zum Broker aufbaut; diese Variante unterstützt die größte Bandbreite an Anwendungstypen, einschließlich Nicht-Web-Protokollen, und kann den Gerätestatus direkt melden. Bei serviceinitiierten (clientlosen) ZTNA-Lösungen wird der Zugriff über einen Browser geleitet, wobei ein Connector auf der Anwendungsseite den ausgehenden Pfad initiiert – nützlich für Auftragnehmer oder nicht verwaltete Geräte, allerdings im Allgemeinen auf Webanwendungen beschränkt.

Ein drittes Modell, das sogenannte „On-Premises-ZTNA“, erweitert diese identitäts- und kontextbasierte Durchsetzung auf Benutzer, die sich physisch auf einem Campus oder in einem Zweigstellennetzwerk befinden, und wendet dabei den Grundsatz der geringsten Berechtigungen sowie einen anwendungsspezifischen Zugriff an, selbst wenn das Gerät an das Unternehmens-LAN angeschlossen ist.

ZTNA & Versa

Versa stellt ZTNA über „Versa “ Secure Private Access (VSPA) bereit, die Fernzugriffskomponente von „ Versa “ SSE innerhalb von „ Versa “ Unified SASE. VSPA verbindet Benutzer mit privaten Anwendungen, die vor Ort oder in der öffentlichen Cloud gehostet werden, indem es einen identitätsbasierten Zugriff anstelle der statischen Zugriffslisten durchsetzt, die ein VPN-Konzentrator verwendet, und unterstützt dabei sowohl den „ Versa “SASE -Client als auch die clientlose Konnektivität. Sitzungen durchlaufen drei Phasen – Registrierung (LDAP-, SAML-, RADIUS- oder Versa -Verzeichnisauthentifizierung mit MFA), Verbindung (Gateway-Auswahl und Erkennung vertrauenswürdiger Netzwerke) und Durchsetzung von Richtlinien (ZTNA sowie Filterung im SWG-Stil) –, die in der End-to-End-Konfiguration von Concerto SASE detailliert beschrieben sind.

Unternehmen, die von veralteten VPNs umsteigen, können sich an den Leitfaden von Versazur Migration von VPN zu ZTNA halten, der die Bestandsaufnahme von VPN-Anwendungsfällen, die schrittweise Migration einzelner Benutzergruppen und die Skalierung in die Produktionsumgebung behandelt. Versa erweitert ZTNA außerdem lokal durch „ Versa Zero Trust – Premises“ und bietet in neuen Artikeln fortlaufende Konfigurationsanleitungen, sobald der Funktionsumfang von VSPA erweitert wird.

Häufig gestellte Fragen

Was ist der Unterschied zwischen ZTNA und einem VPN?

Ein VPN bindet ein verbundenes Gerät in das übergeordnete Unternehmensnetzwerk ein und gewährt ihm damit implizit Zugriff auf alle dort erreichbaren Ressourcen. ZTNA hingegen stellt nach Überprüfung der Identität, des Gerätestatus und des Kontexts eine direkte, anwendungsspezifische Verbindung her – die Anwendung bleibt für alle anderen unsichtbar, wodurch laterale Bewegungen drastisch eingeschränkt werden.

Benötige ich eine Client-Software, um ZTNA zu nutzen?

Das hängt vom Bereitstellungsmodell ab. Bei agentenbasiertem ZTNA wird ein schlanker Client installiert, der die Authentifizierung und das anwendungsspezifische Tunneling übernimmt und dabei die größte Bandbreite an Anwendungstypen unterstützt. Bei clientlosem ZTNA wird der Zugriff stattdessen über einen Browser weitergeleitet, was sich für nicht verwaltete Geräte oder BYOD-Geräte eignet, in der Regel jedoch nur Webanwendungen abdeckt.

Wie überprüft ZTNA die Vertrauenswürdigkeit kontinuierlich?

Anstatt den Zugriff einmalig bei der Anmeldung zu gewähren, bewertet ZTNA Signale wie den Gerätestatus, das Sitzungsverhalten und den Kontext während der gesamten Verbindung immer wieder neu. Ändert sich ein Signal – beispielsweise wenn der Sicherheitsagent eines Geräts keine Meldungen mehr übermittelt –, kann der Broker den Zugriff sofort widerrufen, anstatt auf das nächste Authentifizierungsereignis zu warten.

Ist ZTNA Teil von „ SASE “?

Ja. ZTNA ist einer der Kerndienste, die in den Architekturen „ SASE “ und „Security Service Edge“ zusammengeführt wurden – neben Secure Web Gateway, Cloud Access Security Broker und Data Loss Prevention. Alle diese Dienste werden über eine einzige Richtlinien-Engine nahe am Nutzer gesteuert und nicht als separate Einzelprodukte bereitgestellt.

Macht ZTNA eine Firewall überflüssig?

Nein. ZTNA regelt den Zugriff auf bestimmte private Anwendungen; es ersetzt jedoch keine umfassenderen Schutzmaßnahmen wie Firewalls der nächsten Generation, Intrusion Prevention oder die Überprüfung von aus dem Internet kommenden Bedrohungen. In der Praxis wird ZTNA neben diesen Kontrollmechanismen als eine Ebene eines konvergenten „ SASE “- oder SSE-Stacks eingesetzt.

Mehr zu ZTNA

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über ZTNA informieren, sollten Sie sich als Nächstes diese Artikel ansehen.