Die Einführung an Zero-Trust-Frameworks ausrichten

Dieser Artikel bietet eine Übersicht über bekannte Zero Trust Frameworks und zeigt, wie Microsoft Zero Trust Adoptionsmodell Ihnen hilft, vom Frameworkverständnis bis zur Einführung im großen Maßstab zu wechseln.

Zero Trust ist kein einzelnes Framework. Es ist ein Sicherheitsmodell, das sich an mehrere Branchen- und Regierungsstandards richtet. Diese Standards sind keine konkurrierenden Lösungen. Jeder behandelt einen anderen Aspekt der Zero Trust, z. B. das Definieren von Kernkonzepten, die Bewertung des Fortschritts oder die Koordination der Einführung in einer Organisation.

Während Branchenframeworks dabei helfen, zu definieren, was Zero Trust erreichen sollten, benötigen Organisationen dennoch eine Möglichkeit, diese Anleitung in eine bestimmte Strategie und Architektur für die Lösungsplanung, das Design und die Bereitstellung zu übersetzen.

Das Zero-Trust-Einführungsmodell von Microsoft leistet genau das. Sie bietet eine Referenzstrategie und -architektur, die auf Branchenframeworks ausgerichtet und aufbaut, um Zero Trust Einführung und Implementierung zu beschleunigen.

NIST-Zero Trust

National institute of Standards and Technology (NIST) Special Publication (SP) 800-207 Zero Trust Architecture stellt eine branchenweit anerkannte Definition der Zero Trust Architektur her. Es wird erläutert, was Zero Trust ist und wie Vertrauensentscheidungen getroffen werden, unabhängig von bestimmten Anbietern, Produkten oder Bereitstellungsroadmaps.

NIST SP 800-207 ist am nützlichsten, wenn Organisationen eine gemeinsame, autorisierende Definition von Zero Trust Konzepten benötigen, die für Sicherheits-, IT- und Architekturteams freigegeben werden können.

NIST-Funktionen

NIST positioniert Zero Trust explizit als Architektur, in der der Zugriff auf Ressourcen niemals implizit vertrauenswürdig ist.

Zero Trust Prinzipien in NIST umfassen:

• Von einer Kompromittierung (Sicherheitsverletzung) ausgehen, um einen ganzheitlichen und praxisnahen Sicherheitsansatz zu verfolgen.
• Explizites Überprüfen der Vertrauensstellung, bevor Der Zugriff auf Ressourcen gewährt wird.
• Begrenzung des Schadensradius durch Vergabe nur der minimal erforderlichen Berechtigungen.

Wichtige Architekturkonzepte konzentrieren sich auf:

• Kontinuierliche dynamische Auswertung von Zugriffsanforderungen mithilfe von Kontextsignalen.
• Zentrale Richtlinienentscheidungslogik, die Signale gegen die Organisationsrichtlinie auswertet.
• Die Funktion zur Durchsetzung von Richtlinien in der Nähe der geschützten Ressourcen setzt die Entscheidung um.

Die von NIST definierte konzeptionelle Architektur Zero Trust konzentriert sich auf die Bewertung und Durchsetzung von Zugriffsentscheidungen mithilfe von Richtlinienmodulen, Durchsetzungspunkten und Kontextsignalen.

Beachten Sie Folgendes:

• NIST SP 800-270 definiert keine Technologiepfeiler oder Sicherheitsdomänen wie Identität, Endpunkte oder Datenschutz.
• Identität, Gerätestatus, Anwendungen und Daten werden als Themen, Ressourcen und Kontextquellen modelliert, die Vertrauensentscheidungen und nicht als separate Architekturdomänen informieren.

Microsoft Security Adoption Model baut auf dieser Architektur auf, indem sie ihre Prinzipien und Komponenten innerhalb eines operationellen Rahmens anwenden.

Während NIST definiert, wie Vertrauensentscheidungen getroffen und durchgesetzt werden, organisiert unser Einführungsmodell diese Funktionen in sicherheitsdisziplinen und technologiebasierten Säulen, um die Geschäftsplanung, den Besitz, das Lösungsdesign, die Implementierung und die Fortschrittsnachverfolgung zu unterstützen.

Implementation

Implementierungsleitfaden werden in NIST SP 1800-35 Implementierung einer Zero Trust-Architektur bereitgestellt.

Für diese Implementierungsanleitung:

• NIST arbeitete mit 24 Anbietern zusammen, einschließlich Microsoft, an der Entwicklung eines Leitfadens mit praktischen Schritten für Organisationen, die bereit sind, Cybersicherheitsreferenzdesigns für Zero Trust zu implementieren.
• Microsoft nahmen als einer der Anbieter teil, der Technologie bereitstellt, um Zero Trust Funktionen in folgendem Bereich zu implementieren:
  • Identitäts- und Zugriffsverwaltung.
  • Endpunktverwaltung und -konfiguration.
  • Bedrohungsschutz und -überwachung.
  • Sicherer Zugriff auf verteilte Ressourcen.

Dieses Diagramm ist das Ergebnis der Zusammenarbeit von NIST SP 1800-35. Sie kann von Microsoft Cybersecurity Reference Architecture (MCRA) heruntergeladen werden. Weitere Informationen zu MCRA

CISA Zero Trust Reifegradmodell

Das Cybersecurity and Infrastructure Security Agency (CISA) Zero Trust Reifegradmodell ist rund um die Einführung und Bewertung organisiert. Dieses Reifegradmodell hilft Organisationen dabei, ihren aktuellen Status zu organisieren und zu bewerten, Verbesserungen zu priorisieren und den Fortschritt nachzuverfolgen.

CISA-Funktionen

Im Gegensatz zu NIST definiert CISA keine Referenzarchitektur und wertet stattdessen Funktionen unabhängig von bestimmten Entwurfsmustern aus.

• Das Modell verwendet säulenbasierte Domänen, einschließlich Identität, Geräte, Netzwerke/Umgebung, Anwendungen/Workloads und Daten.
• Darüber hinaus werden drei querschnittsübergreifende Funktionen definiert: Sichtbarkeit und Analyse, Automatisierung und Orchestrierung sowie Governance.
• Außerdem werden vier Reifephasen erfasst: Traditionell, Initial, Erweitert und Optimal.
• Governance wird auch nicht als eigenständige Säule behandelt, sondern als cross-cutting-Funktion, die die Unternehmensausrichtung, klare Eigenverantwortung und messbare Ergebnisse in allen Bereichen gewährleistet.

Implementation

Das Modell steht im Einklang mit dem Microsoft-Sicherheitsadoptionsmodell und dient diesem als Grundlage, während Microsoft es darüber hinaus erweitert, indem Disziplinen wie Architektur eingeführt werden, um die Brücke zwischen konzeptionellen Frameworks wie NIST SP 800‑207 und der praktischen Umsetzung zu schlagen.

Weitere Informationen finden Sie unter Implementing the CISA Zero Trust Maturity Model with Microsoft Cloud Services.

Das Open Group Zero Trust-Referenzmodell

Das Open Group Zero Trust Reference Model betrachtet Zero Trust aus der Perspektive von Unternehmensfähigkeiten und -integration. Anstatt bestimmte Implementierungsschritte zu definieren, werden die Funktionen und Governancestrukturen beschrieben, die Organisationen zum Definieren, Integrieren und Betreiben von Zero Trust im Großen und Umfang benötigen.

Gruppenfeatures öffnen

Folgende Features sind enthalten:

• Capabilities + Architecture Building Blocks (ABBs) definieren Sicherheitsfunktionen, die dauerhafte Sicherheitsergebnisse und die Personen, Prozesse und Technologien fördern, um sie zu ermöglichen.
• Zusammenarbeits- und Integrationsmodelle zeigen, wie Sie Sicherheit in Strategie, Risikomanagement, Betrieb und andere Aspekte der Organisation integrieren.

Die Funktionen bestehen aus Personen-, Prozess- und Technologieelementen, die zusammenarbeiten:

• Personen: definiert als Rollen im Standard "Open Group Roles" und "Glossary"
• Process: definiert als Architekturbausteine (ABBs) im selben Zero Trust Referenzmodellstandard
• Technology: definiert als ABBs im gleichen Zero Trust Referenzmodellstandard

Dieses Diagramm zeigt die folgenden Funktionen:

Dieses Diagramm zeigt, wie diese Funktionen an die Funktionen des NIST Cybersecurity Framework (NIST CSF) ausgerichtet sind:

Implementation

Das Modell ist unserem empfohlenen Einführungsmodell zugeordnet.

Zuordnen Microsoft Technologien zum Modell

Das Zero Trust Referenzmodell enthält auch eine allgemeine Zusammenfassung der Zero Trust Komponenten. Dieses Diagramm zeigt, wie Microsoft Technologien diesen Komponenten zugeordnet sind:

DoD Zero Trust-Strategie

Das US-Verteidigungsministerium veröffentlichte eine DoD-Zero Trust Strategie und Roadmap.

Informationen zum Konfigurieren von Microsoft Clouddiensten für die Zero Trust strategie von DoD finden Sie unter Configure Microsoft-Dienste für die Zero Trust-Strategie von DoD.

Nächste Schritte

Wählen Sie ein Geschäftsszenario aus, und erfahren Sie, wie Sicherheitsdisziplinen dem Szenario zugeordnet sind.