Zero Trust Anwendungsfälle

justus Käses. Wer bin ich? Mein Name ist in dem die Richter ich bin wirtschaftsingenieur universität castor und naja das lebenslauf dass man mal also ich arbeite überwiegend als architekt für identity und ohne sehr schnell data management oder eben wie man es auch nennt und außerdem bin ich noch als Dozentin der university ihre Zelle universitäre verbleibt sein sind arzt tätig. Ebenfalls will eine Agentin access management. Was ich mitgebracht habe anhand von ein paar jungs käses werde ich ein paar Einsatz Szenario für Sie rot rast vorstellen.

Ich fokussiere jetzt mal auf praktische beispiele und realitätsnahe situationen nicht natürlich in der kürze der zeit nicht vollständig aus modellieren kann und das ganze schließenden paar kritischen überlegungen, die man durchaus auch haben kann. Also was versteht man unter sie ruht fast anwendungs fälle und ein paar kritische gedanken zu nicht deterministischen system.

Wir starten gleich durch, also was ist sie rot hast also was ist die wut rast nicht wie wir wissen security gemacht haben in der vergangenheit mit dem klassischen perry meter security modell gibt es irgendwie ins zeit oder enden das ist gut und das da drin. Das ist in Ordnung, dass sie meine Feier wohl als Grenzkontrolle außen rum und außen des irgendwie schlecht. Und das ganze basiert oft basierte auf statischen Entscheidungen, überwiegend auf Location und netzwerk, das ganze hatten gewissen Mangel an Flexibilität.

Es ist wirklich ungeeignet für verteilte Szenarien und der ansatzes einfach ist ein einfach zu simpel wird den heutigen anforderungen nicht mehr gerecht, aber man sollte beachten, dass ist immer noch besser als gar keine security zu haben. So also betrachtet man alle aspekte prometheus trust security modell deutlich besser das gucken muss jetzt auch an.

Also wenn sie mit rassistische und modell überlegt man sich erst mal also ich hab da irgendwelche personen oder ist es das können maschinen ji, weißes oder was auch immer sein, die als akteure auftreten und die haben irgendeine interaktion mit irgendeinem Service die weiße soße applikationen wie auch immer sie das nennen ich bleibe jetzt mal bei dem es oder für Service Unternehmens applikationen, da müssen sie ergänzen.

Das nämlich über den Huskies passendes so, das ist jetzt eigentlich berauschend Neues so, aber wann immer irgendjemand oder irgendetwas auf eine so Große zugreifen möchte beginnt man beim Sie rot, passt sich Rudi Modell immer Trust Level null und in den Trust Level null gibt es einfach keine Interaktion oder extrem wenig Interaktion, dann fühlt man sich gut, die Maßnahmen hinzugehen, des Authentifizierung autorisierung, vielleicht weiteren Kontroversen zu fügen. Wissmann dienten und erreicht der ein angemessenes Trust Level für die gewünschte Interaktionen, die Ressourcen darstellt.

Also bisschen beste Qualität, eine Authentifizierung und so weiter. Gibt es auch ein bisschen mehr Interactions Möglichkeiten und welch das Trust der hoch erreicht haben, gibt es mehr Trust, mehr Möglichkeiten. Das Ganze ist ein Risiko basierte Ansatz, die eine Analyse betrachtet laufend Akteur, Interaktionen, Service. Daraus wird angemessen sich um die Maßnahmen abgeleitet, das heißt sie rot rast benutzt durch deutlich mehr dynamische und Abdruck Aspekte als Parameter Security zumindest wenn man sie klassisch ausführt.

Und die benötigte Technologie stellt eine gewisse Herausforderung da, weil das ist nicht einfach nur nicht allein Entscheidungen anhand von drei Kilo Adressen oder so ist, wer es gern formal und vollständig markt es gibt. Susilo Trust, ein Nist Standard, den kann man hier finden. Da werde ich nicht weiter darauf eingehen, weil ich werde mich bisschen berufspraktischen fokussieren. Wer es nachlesen man kann sich das dort gerne angucken, ist durchaus verständlich geschrieben.

So, wir gucken uns gleich den ersten Huskies an. Das wäre ein Web shop, das ist so das gängigste damen einen kunden, der hat irgendeine Interaktion mit einem Web shop.

Stöbern, kaufen und verkaufen oder so was das ist uralt das war früher mal als die kommas gehalt und wie sieht denn da so ein könnte eine ausprägung von dem sie rot rast modelle aussehen? Wir starten mit einem anonymen zugriff, da, haben zugriff auf öffentliche informationen, vielleicht machen wenn der einfache user authentifizierung flechten bisschen cookie matschig und bekommen zugriff auf speziellere informationen.

Also meinen bereich vielleicht eine bessere authentifizierung flechten multi faktor authentifizierung, dann kann ich kaufen und verkaufen innerhalb von bestimmten schlimmes und dann mache ich vielleicht noch eine transaktions basierte authentifizierung durch einfordere wenn ich das limit ändern möchte oder wirklich richtig tolle dinge. Man denke nur uns online banking warum mache ich das? Die business anforderungen definieren den attraktiven aufbau des vertrauens landes also das trust.

Häufige gründe sind complain stu delikt jens könig bewältigen oder was auch immer, je nachdem in welchem umfeld sie unterwegs sind und zum beispiel und wie diese Security maßnahmen sind hier Teil der Applikation um genau zu sein Teil des Workshops. Wenn die Einzel Transaktionen eine bessere Authentifizierung fordert, muss sich das innerhalb von den Vorgängen innerhalb des, des Wettbewerbs und einer Identity Management spielt, auch hier natürlich eine Zentrale wurde. Das ist der älteste Jus Käse für einen zumindest teilweise Sero Trust Modell.

Das ist eigentlich schon gang und gäbe, bevor man sie überhaupt über so Trust geredet hat, wohl bekannt und weit verbreitet. Eins Können wir sieben. Ist es kein theoretisches Konstrukt to trust, sondern ist es tatsächlich gelebte Praxis, Gucken wir uns mal ein bisschen was Neueres an mit dem ganzen Home Office Geschichten ist, bringe um die weiß natürlich sehr interessant, da haben wir einen Mitarbeiter, die Interaktion heißt hier arbeiten und es irgendwie auf der Firma City unterwegs, also im Kontext eines Arbeitsverhältnisses.

Nutzt ein Anwender seine eigenen kleinen Tat, wäre die Notebook, Tablet oder Smartphone sowie können hier Trust Level aussehen.

Unbekannter User Unbekannter, die weiß da kommt man vielleicht noch zum fünf Registrierungs Port, irgendeine einfache User Ort identifizieren, vielleicht die meisten bisschen registrieren und bisschen prüfen kann man vielleicht auch ein bisschen mehr zugreifen, und in dem Moment, wo ich Multi Faktor User Authentifizierung mache, vollständig kontrolliertes, die weiß habe oder vielleicht irgendwas mit Containern oder ähnlichen Dingen mache, dann habe ich vielleicht auch entsprechend zugriff offen. Ja warum macht man das bringe?

Und die weiß macht man aus kostenreduktion mit gretel ausstattungen, vielleicht auch um als attraktiver moderner Arbeitgeber zu stehen insgesamt mehr flexibilität und wie von restriktionen die konnte schnell exist und mobil die weiß management bis komplette isolation wir container die sierung oder geben obligations virtualisierung sind wir dann oben deine im grünen bereich? Das ist auch ein sehr gängiger jus käse ist durchaus verbreitet. Ich denke wir haben heute und gestern der konferenz auch schon einige hersteller gesehen die der berg zeuge anbieten.

Also es gibt markt etliche ohne moos, partituren, technologien bisschen was müssen sie immer machen wir das muss ja an ihre gegebenheiten anpassen. So haben wir uns den nächsten haben jetzt schon ein bisschen spannender bringe und r count wir wollen jetzt einen eigenen er kommt zur digitalen Zusammenarbeit neudeutsch Kollaboration nutzen bekannt und weit verbreitet ist hier die Implementierung in offenes Trennen. Wichtigste Fall aktiv Directory. Und dann muss man wissen die ARD ist auch wenn sie unterstrichen trennen, es liegen, bauen eine implizite trust Beziehungen untereinander auf.

So und man kann jetzt ein User hier der Blow kann eine an Einladung an einen anderen User an den grauen schicken, der in einer fremden Firma ist. Der Benutzer in der Firma akzeptiert die Einladung und dann passiert ein bisschen Magie und plötzlich haben sie in ihrer eigenen Firma die einen sogenannten externen referenzen lose. Das ist nichts anderes als ein Verweis auf einen User einer fremden, eines fremden identity pro beides.

Oder anders ausgedrückt wir können auch sagen wir wissen über diesen Bluse absolut nichts, außer dass irgendwann mal eingeladen wurde und ok gesagt hat das ist natürlich nicht so toll. Wenn man mit solchen Juden in seinem Idee konfrontiert ist oder in seinem Netzwerk konfrontiert ist, empfiehlt es sich auch sehr einen SEO Trust Ansatz zu fahren man könnte Beispiel sagen, dass man unbekannte Referenzkurse einfach deaktiviert.

User, die auf dem Gaststatus sind, sollte man zumindest ein paar Infos hinzufügen, Verantwortlichen finden und dann einen sehr eingeschränkten Zugriff gewähren wenn sie weitere Informationen kennen über den menschen das wirklich partner ist, können sie vielleicht ein bisschen mehr Zugriff geben und eventuell wissen sie auch, dass es den Mitarbeitern und ein externer Mitarbeiter gut Kontrolle darüber haben in hochwertigen, live sagte Prozess dran binden können und dann können sie da auch entsprechend mehr Zugriffsmöglichkeiten einrichten. So, warum noch mal das ganze?

Hier müssen wir erst anderen user probleme irgendwie lösen gegen compliance zu delegations security und so weiter. Den ganzen kohl operation kann machen wir sicherlich gegen kon wiens und ermöglicht leichtgewichtige kollaboration. Wie machen wir das wieder kontrolle zu bekommen? Die situation auch hoffen. Vertrauen durch hinzufügen und von organisation sind bloß verantwortlichkeit und kontrolle durch hochwertige live zeigte prozesse auch für diese extremen referenzen loser.

Die technologie hier ist etwas schwierig, hier benötigen sie sehr viel duett yourself und das da auch wirklich in Sohn seines Carla in dem trust level reinzukriegen. Ja, aber was wenn man sich die mühe gemacht hat, wird man auch belohnt.

Natürlich, wir verwenden hier also normalerweise hätten wir gesagt in unserem eigenen Firmennetzwerk da oben das grüne zeug und der rest hat da nix verloren das machen war gar nicht, aber wenn wir uns auch sollen sie gut fast modell einlassen, ist es möglich auch diese loren level security diese Lone Security Bereiche zu organisieren und man kann sagen gut, ich geh hier ein kontrolliertes Risiko ein, also durchaus einen Gewinn den ich da haben kann um unorganisiert würde ich das nicht machen so jetzt kommen die noch etwas kompliziertere News Käses Absicherung bei Micro Segment Station also der typische Weg zu einem weit plus Segment Häschen das kriegt man so.

Also früher haben wir die alte hier irgendwie so organisiert, dass wir anhand von Technologien die Sachen zusammengefasst haben und den ganzen Tag die Datenbank abteilungen und die Sorge abteilungen und so weiter. Und heute macht man das müssen anders werden Komponenten anhand eines gemeinsamen Business Ziels zusammengefasst, das nennt man üblicherweise pro nackt oder service.

Und wenn man einige von diesem Produkt hat, elvis hat, dann hat man diese Situation, dann hat man nämlich sehr viele von diesen Service und die wollen miteinander interagieren und das Ergebnis ist dann wir haben viele kleine service ist eine verteilte Umgebungen, wenn es sehr klein wird, kann man von der Mikro Segment Häschen sprechen.

Die Betreuung ist schon weil sie durch unabhängig organisierte der Flops teams wir braucht ganz dringend hier Entwurfs muster, die lose Kopplung und resilienz weil sonst können wir nicht die reibungslose Funktionsfähigkeit von ingesamt kunstdruck sicherstellen sowie kommandieren sie rot fast Ansatz fahren also man könnte mal ganz klar sagen, so und sollte es für die nichts gilt, da gibt es auch keine Interaktion, wenn der Service registriert ist.

Es gibt eine klare Verantwortlichkeit, man hat sich geeinigt, wie immer authentifizierung autorisierung macht kann man eine gewisse interaktion zu lassen, auch hier kann man sicherlich nachlegen. Kann sagen man hat geprüft es du bist es sicheren besseres ihr und man hat eine verhaltens analyse auf transaktions basis das kann man ja auch für maschinen machen, das kann man nicht nur für menschen machen, die können auch ein ungewöhnliches verhalten zeigen, dann kann man da auch und rast Lahmheit ist deklarieren das sind alles ähnliche Situation wie von vorangegangenen muss Käse.

Ist Alexis, der Akteur, jetzt eine Maschine? Das heißt, wir müssen ein einen Titel Access Management für Maschinen, bis uns was für Services implementieren, einschließlich eines kompletten, läuft weiter Managements. Wir müssen wissen über reguläres zu erwarten. Das Verhalten der Maschinen kennen also nicht nur den Menschen, sondern der Maschinen, und wir müssen auch bei unerwarteten Verhalten müssen entsprechend controls in Stellen, die and geeignete reagieren können Maschine ausschalten oder so Verbindungen kappen.

Wenn irgendwas nicht in Ordnung ist oder zumindest mal raus lösen, also in stark verteilten Umgebungen, kann das eine sehr schwierige Aufgabe unterstellen und mit den Tools wird jetzt auch langsam ein bisschen dünner, muss man ganz klar sagen Claudia, afrikanischen ist der nächste Platz, ich geht schneller schaffen, was nicht ganz, wo wir mit dem etwas anfangen können, also typischerweise startet man und Krimis ist mit seiner tastet Aria mietet sich ein bisschen kräftig Cloud an, sogar das noch sicher weil alles mehr oder weniger Akzent verlängerungen da hat man aber dummerweise so ein paar public teilen spätestens das Admin Portale Cindy über Internet zu, nämlich man hier privat Club mit Papi Packungen bekommen, damit kommt man auf Geschmack und das mit dem saß und passt Service und Paprika und es auch schön und bisher ist gut gegangen.

Also mit mir nochmal von mir damit immer noch ein paar Part mit trotzdem ist es und dann kommt die große Entdeckung das Internet ist ziemlich groß und dort gibt es viele Leute die man treffen kann und diese nicht alle so freundlich und jetzt droht entweder so langsam, aber sicher der Kontroll verlässt oder man wendet sich einem Abbau der Institute Modell zu ungefähr ab dem Punkt da oben funktioniert per Brief Peter Security nicht mehr und ab dienten spätestens, sollte man sich für sie rot rast oder irgendein ab du Depp Security Modell entscheiden, weil sonst wirds richtig problematisch Kann das in der Cloud aussehen, das heißt müssen bei jedem einzelnen Knorr zur bis die volle Bandbreite Analyse aller Akteure und Interaktionen durchziehen.

Wahrscheinlich treten alle vorangegangenen Plus Käse auf und dann können sie die passende Security Technologie für jeden einzelnen Cloud Service und für das resultierende Ganze, was dann entsprechend hier die Schaltungen gemäß der gewählten Trust Level gefunden. Das Ganze müssen Sie noch mit einem entsprechenden Live sagte Prozess unterfüttern, Weil wer welches Trust Level, Unter welchen Bedingungen hat es auch eine Information die Anlage Prozess benötigt? Sie sollen auch sehen, dass sie eine ausgewogene Situation darstellt.

Solche Architekturen werden meistens in der Form des Teams, die in gewissen Grad an Eigenständigkeit erwarten, betrieben. Das heißt, es sollte auch irgendwie respektiert werden, und zum anderen gibt es einige Aspekte, die Compliance Aspekte, die eine Zentrale gehören, ins benötigen. Sonst verlieren sie in diesem Szenerien komplette Kontrolle. Das hier ist sicherlich die eine der Königsdisziplin, das hinzukriegen.

Die Informationen zur Organisation allgemeine Klassifizierung und weitere allgemeine Information auf den War, auf deren Basis Security Entscheidungen getroffen werden sollten zentral organisiert werden spezielle Entscheidungsgrundlagen oder Informationen, welche zu einem einzelnen Business Käse beziehungsweise. Produkte das Service gehören, sollte man besser die zentral verwalten, was es gehen sie in der zentralen Verwaltung mit den gleichzeitige Prozessen einfach Tod wird es nicht mehr, Mensch weiß so, dann haben wir das auch schon fast geschafft.

Also zusammenfassend kann man sagen sie wo Trust ermöglicht, dass die unsicheren Umgebung, bis es Käse zu realisieren, ohne dabei die Kontrolle über die Risiken zu verlieren, also richtig macht.

Wo hätte man sich vielleicht gar nicht rein getraut in die Bereiche Trotzdem soll möchte ich noch so mit auf den Weg drei kritische Gedanken geben, also der eine das to trust bedeutet Aufwand also es hat möglicherweise möglich erhöhte Kosten gegenüber klassischen Security ansetzen also man sollte eine Kosten Nutzen Analyse machen und überlegen, welche welche Wissens Käse sich dann noch rechnen. Also nicht alles, was man in der Cloud machen kann, sollte man dort tun. Ein weiterer Punkt sieben Uhr Trust ist komplex invasiv.

Wenn sie es richtig machen, werden Sie oft als Bestandteil von Applikationen in Applikationen implementieren müssen. Und das ist richtig komplex und das kann auch nicht jeder Applikation. Das ist nicht so einfach von außen zugefügt. Und der dritte Punkt ist sie rot, rast es nun deterministisch zumindest wenn es mit den attraktiven Verfahren und situativ dynamischen Prozessen kombinieren. Das heißt für einen benutzt wird es richtig schwierig zu unterscheiden, wann etwas richtig ist oder falsch ist.

Das heißt seine mitwirkung des endnutzer als security faktor so im sinne von willy etwas seltsam vorkommt macht eine meldung oder machen institut auf oder ruf an wird erschwert bis unmöglich, weil wenn er ist mal das system sich einfach anders verhält heißt nun mal mit multi faktor, mal ohne mal mit catcher. Mal ohne wird er nicht mehr sagen können ist das ist normales verhalten oder nicht und die dinge werden unter umständen nicht mehr seltsam vorkommen. Das ist hat sich ein problem, was alle nun deterministischen Systeme haben.