Infra & Netzwerk

Zero Trust Network Access (ZTNA)

Allgemeine Infos

ZTNA ist eine Technik für den Fernzugriff auf interne Anwendungen nach dem Zero-Trust-Prinzip. Statt Benutzer per Tunnel ins Firmennetz zu holen, vermittelt ein Broker (Cloud-Dienst oder Gateway) für jede Anwendung einzeln eine Verbindung, sobald Identität, MFA und meist auch der Gerätezustand bestätigt sind. Die Anwendungen selbst sind aus dem Internet nicht direkt erreichbar.

Abgrenzung zu VPN: Ein Remote Access VPN (eigener Eintrag) gibt nach der Anmeldung ein ganzes Netzsegment frei. ZTNA erlaubt nur die konkret freigegebenen Ziele (FQDN oder IP-Adresse und Port) und bewertet jeden Zugriff anhand der Richtlinie. Abgrenzung zu Zero Trust (eigener Eintrag): Zero Trust ist das Architekturmodell, das NIST in SP 800-207 (August 2020) beschreibt. Es schützt Ressourcen statt Netzsegmente und gewährt kein Vertrauen allein aufgrund von Standort oder Netz. ZTNA ist der Baustein dieses Modells für den Netzwerkzugriff. In SASE- und SSE-Angeboten ist ZTNA eine Komponente neben Secure Web Gateway und CASB.

Microsoft bietet ZTNA mit Microsoft Entra Private Access an, das zusammen mit Microsoft Entra Internet Access unter dem Namen Global Secure Access läuft, Microsofts Security-Service-Edge-Lösung (SSE). Private Access ist allgemein verfügbar, in der Microsoft Entra Suite enthalten oder einzeln lizenzierbar und setzt Microsoft Entra ID P1 oder P2 voraus. Die Zugriffe steuert Conditional Access (eigener Eintrag). Auch Firewall- und SSE-Hersteller bieten eigene ZTNA-Dienste an.

Funktionsweise & Details

ZTNA-Lösungen folgen meist diesem Ablauf:

  1. Der Benutzer startet einen Client auf dem Endgerät (bei Microsoft den Global Secure Access Client) oder ruft eine Webanwendung clientlos über ein Portal auf.
  2. Der Broker leitet die Anmeldung an den Identitätsanbieter weiter. Dort greifen MFA, Gerätekonformität und Risikobewertung, bei Microsoft über Conditional Access.
  3. Die Richtlinie entscheidet pro Anwendung, welche Benutzer mit welchen Geräten welche Ziele erreichen dürfen.
  4. Ein Connector im internen Netz hält eine ausgehende Verbindung zum Broker, über die die Sitzung zur Anwendung vermittelt wird. Eingehende Firewall-Freigaben sind dafür nicht nötig.
  5. Die Sitzung wird fortlaufend bewertet. Ändern sich Gerätezustand oder Risiko, kann der Zugriff entzogen werden.

Bei Microsoft Entra Private Access bündelt Quick Access die FQDNs und IP-Adressen, die immer über den Dienst laufen sollen. Zusätzliche Global-Secure-Access-Apps erlauben abweichende Conditional-Access-Richtlinien für einzelne Ressourcen oder Benutzergruppen. Jede App ist eine Unternehmensanwendung in Entra ID, Private-Network-Connectors stellen die Verbindung zu den internen Ressourcen her.

Vorteile & Nutzen

  • Kleinere Angriffsfläche, weil interne Anwendungen nicht im Internet veröffentlicht werden und kein VPN-Gateway von außen erreichbar sein muss
  • Ein kompromittiertes Konto erreicht nur die freigegebenen Anwendungen, nicht das gesamte Netz, was die seitliche Ausbreitung eines Angreifers bremst
  • Zugriffsentscheidungen nutzen dieselben Identitäts- und Geräteregeln wie bei Cloud-Diensten, etwa Conditional Access und MFA
  • Protokolle pro Anwendung und Benutzer liefern Nachweise zur Zugriffssteuerung für Audits, etwa im Rahmen von NIS2
  • Cloud-Broker stehen meist nah am Benutzer, Microsoft betreibt Global Secure Access in über 190 Edge-Standorten

Praxisbeispiel

Ein Ingenieurdienstleister mit 180 Mitarbeitenden nutzt seit Jahren ein SSL-VPN, über das Mitarbeitende und externe Konstrukteure Vollzugriff auf das Servernetz haben. Nach einer kritischen Schwachstelle in der VPN-Appliance führt die IT Microsoft Entra Private Access ein: Zwei Private-Network-Connectors laufen als VMs im Serversegment, PDM-System, Dateiserver und RDP-Ziele werden als eigene Apps mit Conditional-Access-Richtlinien (MFA, konformes Gerät) angelegt. Externe Konstrukteure erhalten nur die PDM-App. Nach drei Monaten Parallelbetrieb schaltet die IT das VPN-Gateway ab.

Worauf sollte man achten?

  • Anwendungen samt Ports vorab inventarisieren, denn Pauschalfreigaben ganzer Subnetze heben den Vorteil von ZTNA wieder auf
  • Connectors redundant betreiben (mindestens zwei pro Standort), da ohne erreichbaren Connector keine Verbindung zu den Apps zustande kommt
  • Gerätekonformität, etwa aus Intune, als Bedingung einbinden, sonst schützt ZTNA nur die Identität und nicht das Endgerät
  • Anwendungen mit ungewöhnlichen Protokollen oder Verbindungen vom Server zum Client früh im Pilotbetrieb testen
  • Die Standortkopplung bleibt Aufgabe von Site-to-Site VPN oder SD-WAN, ZTNA ersetzt vor allem das Benutzer-VPN

Fazit

ZTNA ist der logische Nachfolger des Client-VPN, weil es Zugriff pro Anwendung statt pro Netz vergibt. Führe es schrittweise neben dem bestehenden VPN ein und beginne mit den Anwendungen, auf die externe Partner zugreifen.

Weiterführende Links

Verwandte Artikel