Was ist ZTNA?
ZTNA (Zero-Trust-Network-Access) ist ein Zugriffsansatz, bei dem kein Nutzer und kein Gerät Vertrauen genießt, nur weil es sich im Netzwerk befindet. Jede Anfrage an eine Ressource wird anhand verifizierter Identität und Richtlinie bewertet, und der Zugriff wird eng gewährt, auf bestimmte Anwendungen oder Systeme statt auf das Netzwerk als Ganzes. Es wendet das Zero-Trust-Prinzip „niemals vertrauen, immer prüfen“ auf die Frage an, wer was erreichen darf.
ZTNA (Zero-Trust-Network-Access) gewährt Zugriff auf bestimmte Anwendungen auf Basis verifizierter Identität und Richtlinie und vertraut einem Nutzer oder Gerät nie allein wegen seiner Präsenz im Netzwerk.
Was ZTNA ausmacht
- 01
Identitäts- und richtliniengesteuert: Zugriffsentscheidungen beruhen darauf, wer oder was anfragt und ob die Richtlinie es erlaubt, nicht auf dem Netzwerkstandort.
- 02
Least-Privilege: Einem Nutzer oder Dienst wird Zugriff nur auf die konkreten Ressourcen gewährt, die er braucht, nicht breite Netzwerkreichweite.
- 03
Kein implizites Vertrauen: Die Verbindung zum Netzwerk gewährt für sich genommen nichts; jede Sitzung wird geprüft.
- 04
Ressourcen bleiben verborgen: Interne Anwendungen sind nicht dem offenen Internet ausgesetzt und werden nur über die Zugriffsschicht erreicht, durch autorisierte Anfragen.
ZTNA vs. ein herkömmliches VPN
Ein herkömmliches VPN authentifiziert einen Nutzer einmal und lässt sein Gerät dann ins Netzwerk, oft mit breiter Reichweite: Jeder, der sich verbindet, kann sondieren, was das Routing erlaubt. ZTNA kehrt das um: Es gewährt Zugriff auf einzelne Ressourcen, pro Sitzung und auf Basis kontinuierlicher Prüfung, sodass ein verbundenes Gerät nur erreicht, was die Richtlinie ausdrücklich erlaubt. Das begrenzt den Schaden durch gestohlene Zugangsdaten oder ein kompromittiertes Gerät erheblich, weil es kein flaches Netzwerk gibt, durch das man streifen kann, sobald man „drin“ ist.
Wie ZTNA geliefert wird
ZTNA tritt in unterschiedlichen Formen auf. Große Sicherheitsanbieter bieten es als Teil breiter, cloudbasierter SASE-Plattformen an, bei denen ein globaler Dienst den Zugriff auf Anwendungen vermittelt. Andere Implementierungen bauen Zero-Trust-Zugriff in ein Netzwerk-Fabric oder Overlay ein, authentifizieren jeden Knoten und jede Sitzung und erzwingen Least-Privilege-Zugriff nach Rolle und Segment. Gemeinsam ist ihnen das Prinzip: Identität prüfen, minimalen Zugriff auf bestimmte Ressourcen gewähren, diese Ressourcen vom offenen Internet fernhalten und jede Verbindung protokollieren.
Wie das zu Vexaro Mesh (in Entwicklung) steht
Vexaro Mesh, derzeit in Entwicklung, soll Zero-Trust-Prinzipien auf den Zugriff in seinem Mesh anwenden statt als eigenständige SASE-Plattform: Jeder Knoten und jede Sitzung ist authentifiziert und per Richtlinie geprüft, Zugriff wird nach Rolle vergeben, und interne Systeme sind vom öffentlichen Internet abgeschottet und nur über das Fabric erreichbar, wobei jede Verbindung protokolliert und in Ihr SIEM exportierbar ist.
Die geplanten Funktionen ansehen