Sind Zero Trust-Funktionen für die Endpunktsicherheit sinnvoll?

Zero-Trust-Funktionen in der Endpunktsicherheit können in kontrollierten Umgebungen wie Kiosken, in denen Interaktionen begrenzt und vorhersehbar sind, effektiv sein. Bei alltäglichen Arbeitsplätzen überwiegen jedoch oft der Verwaltungsaufwand, die Leistungsprobleme und die Beeinträchtigung der Benutzer die Vorteile.

In den letzten Jahren hat sich Zero Trust zu einem Schlüsselprinzip in der Endgerätesicherheit entwickelt, das darauf abzielt, das implizite Vertrauen zu beseitigen, das Benutzern oder Geräten innerhalb eines Netzwerks gewährt wird. Jede Anfrage wird als nicht vertrauenswürdig behandelt, bis sie verifiziert ist, was den Schutz vor Insider-Bedrohungen und lateralen Bewegungen verbessert. Mehrere Unternehmensprodukte enthalten inzwischen eine Form von Zero Trust-Funktionen, wie z. B. Anwendungskontrolle, Netzwerksegmentierung, Identitätsüberprüfung usw. Die Implementierung dieser Funktionen - insbesondere in dynamischen Umgebungen wie Workstations - stellt jedoch eine Herausforderung dar. Kontinuierliche Überprüfungsprozesse können einen Leistungs-Overhead verursachen, der die Benutzerfreundlichkeit und den täglichen Betrieb beeinträchtigt, wenn er nicht sorgfältig verwaltet wird.

Zero Trust und Workstations: Zu viel Overhead für den täglichen Gebrauch

An Arbeitsplätzen, an denen Mitarbeiter dynamische Aufgaben ausführen und häufig Software installieren, kann die Umsetzung von Zero Trust erhebliche Herausforderungen mit sich bringen. Häufige Änderungen der Nutzungsmuster machen die Schulung langwierig und komplex, selbst mit Cloud-basierter Unterstützung. Darüber hinaus kann die äußerst restriktive Natur von Zero Trust zu übermäßigen Warnungen und Blockierungen während des normalen Betriebs führen. Die ständige Notwendigkeit einer Autorisierung, selbst für legitime Aufgaben, unterbricht Arbeitsabläufe, frustriert Benutzer und belastet IT-Teams mit der ständigen Aufgabe, Aktivitäten zu genehmigen oder abzulehnen. Darüber hinaus können sich Funktionen wie die kontinuierliche Überprüfung und Echtzeit-Checks negativ auf die Systemleistung auswirken, was zu langsameren Antwortzeiten und einer geringeren Gesamtproduktivität führt. Folglich ist die Wartung eines solchen Systems ressourcenintensiv, und die Erträge im Hinblick auf die verbesserte Sicherheit nehmen ab. Das allgemeine Benutzererlebnis und die betriebliche Effizienz werden erheblich beeinträchtigt, so dass Zero-Trust-Funktionen für die meisten Workstation-Umgebungen unpraktisch sind. Aus diesem Grund sind diese Funktionen oft standardmäßig deaktiviert.

Zero Trust und Kiosk-Computer: Ein passendes Paar

Kiosk-Computer, die häufig in öffentlichen Einrichtungen oder streng kontrollierten Umgebungen eingesetzt werden, sind für eine begrenzte Interaktion ausgelegt, wobei die Benutzer keine Software installieren oder Systemänderungen vornehmen dürfen. In solchen Fällen kann Zero Trust besonders vorteilhaft sein. Der restriktive Ansatz passt zu den begrenzten und vorhersehbaren Nutzungsmustern von Kiosks - nichts wird ohne ausdrückliche Genehmigung installiert, ausgeführt oder verändert. Dadurch wird die Angriffsfläche minimiert und gleichzeitig ein hohes Maß an Sicherheit bei minimaler Reibung für den Benutzer aufrechterhalten.

Da Kioske in hohem Maße vorhersehbar und stabil arbeiten, ist die Lernphase von Zero Trust Systemen weniger aufwändig. Administratoren können die erforderlichen Anwendungen und Arbeitsabläufe vorab genehmigen, was zu weniger Warnmeldungen und einem geringeren Wartungsaufwand führt. Infolgedessen kann Zero Trust die Sicherheit von Kiosksystemen effektiv verbessern, indem unbefugte Aktionen mit minimalen laufenden Anpassungen verhindert werden.

Wo Null Vertrauen herrscht Macht Sinn

Angesichts dieser Herausforderungen halten die meisten Unternehmen Zero Trust eher für spezialisierte Systeme wie Kioske geeignet, während es auf Workstations oft deaktiviert ist. Daher ist es entscheidend, die Leistung und Sicherheitseffizienz von Endpunktschutzprodukten unter "normalen" Bedingungen zu bewerten - ohne aktiviertes Zero Trust. Auf diese Weise lässt sich der wahre Wert der Sicherheitslösung für den täglichen Betrieb ermitteln, bei dem ein ausgewogenes Verhältnis zwischen Sicherheit und Benutzerfreundlichkeit wichtig ist.

Integrierte Windows-Schutzfunktionen: Leichtere Alternativen

Die Editionen Windows 10 und 11 Pro bieten integrierte Sicherheitsfunktionen, die ein ähnliches Schutzniveau mit deutlich weniger Komplexität als Zero Trust-Modelle erreichen können. Zu den wichtigsten Funktionen gehören:

• Regeln zur Reduzierung der Angriffsfläche (ASR): ASR-Regeln tragen dazu bei, die Angriffsfläche zu verringern, indem sie potenziell bösartiges Verhalten blockieren, z. B. indem sie verhindern, dass Office-Makros aus dem Internet heruntergeladene Inhalte ausführen, ausführbare Dateien aus E-Mail-Anhängen blockieren und vieles mehr. Diese Regeln sind flexibel und können auf verschiedene Risikoprofile zugeschnitten werden, so dass eine fein abgestufte Kontrolle möglich ist, ohne die Benutzer mit Warnungen zu überhäufen.
• Kontrollierter Ordnerzugriff: Diese Funktion schützt wichtige Systemdateien und Benutzerdaten, indem sie verhindert, dass nicht autorisierte Anwendungen Änderungen vornehmen. Sie ist besonders wirksam gegen Ransomware und andere Malware, die auf sensible Daten abzielt.
• AppLocker: AppLocker ist eine weitere wertvolle Funktion von Windows, mit der Administratoren kontrollieren können, welche Anwendungen und Dateien Benutzer ausführen können. Durch die Erstellung von Richtlinien, die nicht autorisierte ausführbare Dateien, Skripte und Installationsprogramme einschränken, trägt AppLocker dazu bei, die Gefährdung durch bösartige Software zu verringern. AppLocker ist besonders in Umgebungen nützlich, in denen eine strenge Kontrolle über die Ausführungsberechtigungen wichtig ist, und bietet eine einfachere Alternative zu Zero Trust für die Kontrolle der Anwendungsausführung.

Zusammengenommen können diese integrierten Funktionen einen starken Schutz bieten, insbesondere wenn sie richtig konfiguriert sind, was sie zu praktikablen Alternativen zu teureren und betrieblich anspruchsvolleren Zero-Trust-Implementierungen macht.

Die wichtigsten ASR-Regeln und ihre Wirksamkeit

Eine der leistungsfähigsten dieser Funktionen ist die Angriffsflächenreduzierung von Microsoft Defender (ASR) Regeln. Bei diesen Regeln handelt es sich um konfigurierbare Kontrollen, die bestimmte Verhaltensweisen blockieren oder einschränken, die häufig mit Malware und anderen bösartigen Aktivitäten in Verbindung gebracht werden.

Beispiele für ASR-Regeln:

• Blockieren Sie die Ausführung von ausführbaren Dateien, sofern sie nicht ein Kriterium bezüglich der Prävalenz, des Alters oder der vertrauenswürdigen Liste erfüllen: Diese Regel verhindert, dass neue oder wenig bekannte ausführbare Dateien ausgeführt werden, um das Risiko von Zero-Day-Angriffen oder neuer Malware zu verringern. Sie prüft, ob eine ausführbare Datei weit verbreitet ist, schon lange genug existiert oder aus einer bekannten vertrauenswürdigen Quelle stammt, bevor sie zur Ausführung zugelassen wird.
• Sperren Sie Office-Anwendungen für die Erstellung von untergeordneten Prozessen: Viele Angriffe nutzen Office-Anwendungen (wie Word oder Excel) aus, um bösartige Skripte oder ausführbare Dateien zu starten.
• Blockieren Sie ausführbare Inhalte von E-Mail- und Webmail-Clients: Diese Regel hindert Benutzer daran, ausführbare Dateien oder Skripte direkt aus E-Mail-Anhängen oder webbasierten E-Mail-Clients auszuführen, was ein häufiger Einstiegspunkt für Malware ist.
• Blockieren Sie, dass Office-Anwendungen Code in andere Prozesse einspeisen: Bei einigen raffinierten Angriffen wird bösartiger Code in vertrauenswürdige Prozesse eingeschleust, so dass sie schwerer zu erkennen sind.
• Verwenden Sie einen erweiterten Schutz gegen den Diebstahl von Zugangsdaten: Malware, die Zugangsdaten stiehlt, ist eine ernsthafte Bedrohung, und diese Regel verhindert, dass unbefugte Prozesse auf sensible Zugangsdaten oder Speicherbereiche zugreifen, in denen Authentifizierungsdaten gespeichert sind.
• Blockieren Sie nicht vertrauenswürdige und unsignierte Prozesse, die über USB laufen: Wechseldatenträger wie USB-Laufwerke können Malware in Netzwerke einschleusen. Dadurch wird verhindert, dass nicht vertrauenswürdige und unsignierte Software direkt von USB-Geräten gestartet wird, wodurch die Risiken verringert werden.

Schlussfolgerung

Zero-Trust-Funktionen in Endpunktsicherheitsprodukten können in Umgebungen wie Kiosken, in denen Interaktionen begrenzt und vorhersehbar sind, sehr effektiv sein. Für Workstations, die im täglichen Betrieb eingesetzt werden, ist sie jedoch aufgrund des Verwaltungsaufwands, der Leistungseinbußen und der Unterbrechungen für die Benutzer oft nicht praktikabel. Ein sehr strikter Zero-Trust-Ansatz könnte zwar potenziell 100% an Malware blockieren, würde aber auch Benutzer und Administratoren mit übermäßigen Fehlalarmen und Wartungsanforderungen überfordern, so dass er für den täglichen Einsatz weniger geeignet ist.

Unternehmen sollten sorgfältig abwägen, ob die erhöhte Sicherheit, die Zero Trust bietet, die Auswirkungen auf Produktivität und Wartung rechtfertigt. Die Verwendung eines zuverlässigen Produkts, das die meisten Angriffe mit minimalen Fehlalarmen abwehren kann, wie unabhängige Bewertungen von Organisationen wie AV-Comparatives belegen, auch ohne Anwendung von Zero Trust-Funktionen, ist letztlich kostengünstiger und flexibler in verschiedenen Umgebungen. Integrierte Windows-Sicherheitsfunktionen wie ASR-Regeln, AppLocker und kontrollierter Ordnerzugriff bieten einen starken Schutz bei geringerer Komplexität und stellen eine kostengünstige, einfach zu verwaltende Alternative dar, die zuverlässige Sicherheit bietet.

Durch einen ausgewogenen Ansatz können Unternehmen ihre Endpunkte effektiv schützen und gleichzeitig die mit Zero Trust-Implementierungen verbundenen betrieblichen Herausforderungen minimieren.

Verwandte Beiträge