SlideShare ist ein Scribd-Unternehmen logo
1 von 15
Downloaden Sie, um offline zu lesen
Michael Gerber
11. November 2022
Zero Trust
Konzept und Realität
Agenda
SBB • BAT - Zero Trust • 11.11.2022 2
1. Was ist Zero Trust?
2. Verteilte Architektur & Zero Trust Prinzipien
3. Angriffsszenarien und deren Mitigation
4. Fazit
Zero-Trust - sieben Kernprinzipien
SBB • BAT - Zero Trust • 11.11.2022 3
Das Unternehmen sammelt so viele Informationen wie möglich über den aktuellen Zustand der Assets,
Netzwerkinfrastruktur und der Kommunikation und nutzt sie zur Verbesserung seiner Sicherheitslage.
Das Unternehmen überwacht und misst
die Integrität und die Sicherheitslage aller
eigenen und damit verbundenen Assets.
Der Zugriff auf Ressourcen wird durch
eine dynamische Policy bestimmt, diese
betrachtet den jeweiligen Kontext der
Zugriffsanfrage.
Jegliche Kommunikation wird gesichert,
unabhängig vom Standort.
Alle Ressourcen-Authentifizierung und -
Autorisierung sind dynamisch und werden
strikt durchgesetzt, bevor der Zugriff
gestattet wird.
Der Zugriff auf einzelne Ressourcen wird
pro Sitzung gewährt.
Alle Datenquellen und Rechendienste
werden als Ressourcen betrachtet.
Source: NIST Special Publication 800-207 – Zero Trust Architecture
Su e t S ste
o
or e e t
o t
Truste o
or e e t
o t
Truste
t
truste
truste
u et or ter et Se e tA ou o. re Se e tB ou o. re
A t o
t
A t o
Verteilte Architektur: (stark) vereinfachte Sicht
SBB • BAT - Zero Trust • 11.11.2022 4
Su e t S ste
o
or e e t
o t
Truste o
or e e t
o t
Truste
t
truste
truste
u et or ter et Se e tA ou o. re Se e tB ou o. re
A t o
t
A t o
Verteilte Architektur: Verortung der Prinzipien
SBB • BAT - Zero Trust • 11.11.2022 5
Su e t S ste
o
or e e t
o t
Truste o
or e e t
o t
Truste
t
truste
truste
u et or ter et Se e tA ou o. re Se e tB ou o. re
A t o
t
A t o
Verteilte Architektur: Angriffsszenarien
SBB • BAT - Zero Trust • 11.11.2022 6
Angreifer
Szenario 1 Szenario 4
Szenario 5
Szenario 2
Szenario 3
Szenario 7 Szenario 6
SBB • er • zero trust utshe • 18.01.2022 7
# Name Gegenmassnahmen
1;4 Übernahme der Applikation - Härtung der Applikation
- Zugriff einschränken (WAF, Firewall)
- Patching (bekannte Sicherheitslücken schliessen)
- Limitierung der Anfragen (Benutzer wie auch Administratoren)
- Der Zugriff auf die Anwendung erfolgt immer im jeweiligen Nutzerkontext; kein Zugriff mittels
Applikationsbenutzer gewähren.
2;5 Übernahme der Datenbank - Härtung der Datenbank
- Verschlüsselung des Inhalts u.a. für Administrationsbenutzer
- Limitierung der Anfragen für Administrationsbenutzer
3;6 Übernahme PEP - Härtung der Anwendung
- Zugriff einschränken (WAF, Firewall)
- Patching (bekannte Sicherheitslücken schliessen)
- Freigabeprozess für Änderungen (Vieraugenprinzip; )
- Zugriff nur im Nutzerkontext und auch IP-Adressen einschränken
7 Übernahme Client - Customer: Empfehlung Kommunizieren
- Mitarbeiter: durch das Unternehmen gesteuert & durchsetzen
- Partner: Empfehlung Kommunizieren & ggf. durchsetzen
Angriffsszenarien & Gegenmassnahmen
Su e t S ste
o
or e e t
o t
Truste o
or e e t
o t
Truste
t
truste
truste
u et or ter et Se e tA ou o. re Se e tB ou o. re
A t o
t
A t o
Angriffsszenario 1 - Übernahme der Applikation
SBB • BAT - Zero Trust • 11.11.2022 8
Der Angreifer kann auf
alle ◼-Daten zugreifen
Angriffsszenario 1: Ein Angreifer kann durch die Übernahme von einer Applikation in einem Segment Zugriff auf alle Daten dieser
Applikation und/oder von Daten weiterer Applikationen in anderen Segmenten erhalten.
Beschreibung: Ein Angreifer übernimmt die Applikation im Segment A. Er kann alle Daten sehen, die durch diese Applikation fliessen. Dazu
gehören natürlich auch die Daten, die von der Applikation im Segment B an die Applikation im Segment A zurückgeliefert werden. Der Angreifer
kann auch weitere Daten von der Applikation in Segment B abfragen. Die Zugriffe auf die Applikation in Segment B erfolgen immer im Namen
der Applikation in Segment A.
Anforderung: Der legitime Zugriff auf Daten soll immer im Kontext des jeweiligen Subjekts respektive
dessen Benutzers erfolgen – die entsprechenden Berechtigungen sind diesem zugeordnet.
Kernprinzip
Vertriebssysteme der
Transportunternehmen
Anbieter «SwissPass»
Su e t S ste
o
or e e t
o t
Truste o
or e e t
o t
Truste
t
truste
truste
u et or ter et Se e tA ou o. re Se e tB ou o. re
A t o
t
A t o
«Der Zugriff auf einzelne Ressourcen wird pro Sitzung gewährt»
→ Sitzung = Access Token gemäss OAuth2 Protokoll
SBB • BAT - Zero Trust • 11.11.2022 9
Access Token von Identity Management
zur sitzungsbasierten Zugriffssteuerung
JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens RFC 9068
SBB • BAT - Zero Trust • 11.11.2022 10
https://www.scottbrady91.com/oauth/delegation-patterns-for-oauth-20
✓ Erfüllt alle bekannten Anforderungen
✓ Ist standardisiert, RFC 8693:
OAuth 2.0 Token Exchange
[Access Token] Welches Architektur
Pattern erfüllt die Anforderungen?
↯
✓ ↯
✓ ✓
✓
Fachlich JWT AT Inhalt Inhalt
Aussteller iss OP URL OP URL Token Exchange
Anwendung client_id SBB_Mobile SBB_Mobile
Inhaber sub 667345345 1973311412
Empfänger aud SBB_Mobile; Vertriebssystem_SBB Anbieter_SwissPass
Absender act - Vertriebssystem_SBB
Kundennummer tkid 54656734534 54656734534
Rolle Kunde Kunde
[Access-Token] Architektur – Token Exchange
Beispiel mit 2 Applikationen (Vertrieb SBB; Anbieter SwissPass)
SBB • BAT - Zero Trust • 11.11.2022 11
Subject System
Policy
Enforcement
Point (PEP)
Trusted Trusted
Data
Untrusted
Untrusted
Public Network (Internet) Segment A (Cloud o. On-Prem) Segment B (Cloud o. On-Prem)
Application
Data
Application
Identity
Management
iss
1
1 1 2
1 2
Vertriebssystem SBB Anbieter SwissPass
Token
Exchange
(TX)
Trusted
1 2
Policy
Enforcement
Point (PEP)
2
1
Identity
Management
tx
2
1
SBB Mobile
SBB • BAT - Zero Trust • 11.11.2022 12
Subject System Policy
Enforcement
Point (PEP)
Data
Untrusted
Segment B (Cloud o. On-Prem)
Application
Anbieter SwissPass
[Access-Token] Architektur „SwissPass-Ökosystem“
Policy
Enforcement
Point (PEP)
Trusted
Segment A (Cloud o. On-Prem)
Application
Data
Vertriebssystem SBB
Token
Exchange
(TX)
Trusted Untrusted
Zusammenfassung
SBB • BAT - Zero Trust • 11.11.2022 13
s A r ssze r o „Ü er h e er A t o “
kann unter Anwendung des Zero Trust Prinzip
„Der Zugriff auf einzelne Ressourcen wird pro Sitzung gewährt“
teilweise mitigiert werden.
Technischer Ansatz
→ Access Token
→ Token Exchange
→ PEP
Zero Trust in einem konkreten Fall anwenden heisst:
SBB • BAT - Zero Trust • 11.11.2022 14
• Ar h te tur / A e u e / te üsse „ e e “
• Relevante Angriffsszenarien finden und risikobasiert bewerten
• Für das Angriffsszenario mit dem höchsten Risiko die mitigierenden Zero
Trust Prinzipien finden
• Für die Umsetzung die passende technische Architektur bestimmen
Fragen?
SBB • BAT - Zero Trust • 11.11.2022 15

Weitere ähnliche Inhalte

Was ist angesagt?

Tenable Solutions for Enterprise Cloud Security
Tenable Solutions for Enterprise Cloud SecurityTenable Solutions for Enterprise Cloud Security
Tenable Solutions for Enterprise Cloud SecurityMarketingArrowECS_CZ
 
Understanding Zero Trust Security for IBM i
Understanding Zero Trust Security for IBM iUnderstanding Zero Trust Security for IBM i
Understanding Zero Trust Security for IBM iPrecisely
 
Cyber Security in the Manufacturing Industry: New challenges in the informati...
Cyber Security in the Manufacturing Industry: New challenges in the informati...Cyber Security in the Manufacturing Industry: New challenges in the informati...
Cyber Security in the Manufacturing Industry: New challenges in the informati...Ekonomikas ministrija
 
Overview of Microsoft Teams and Data Loss Prevention(DLP)
Overview of Microsoft Teams  and Data Loss Prevention(DLP)Overview of Microsoft Teams  and Data Loss Prevention(DLP)
Overview of Microsoft Teams and Data Loss Prevention(DLP)Radhakrishnan Govindan
 
4_Session 1- Universal ZTNA.pptx
4_Session 1- Universal ZTNA.pptx4_Session 1- Universal ZTNA.pptx
4_Session 1- Universal ZTNA.pptxaungyekhant1
 
Zero Trust Network Access
Zero Trust Network Access Zero Trust Network Access
Zero Trust Network Access Er. Ajay Sirsat
 
microsoft-cybersecurity-reference-architectures (1).pptx
microsoft-cybersecurity-reference-architectures (1).pptxmicrosoft-cybersecurity-reference-architectures (1).pptx
microsoft-cybersecurity-reference-architectures (1).pptxGenericName6
 
Managing privileged account security
Managing privileged account securityManaging privileged account security
Managing privileged account securityRaleigh ISSA
 
5. Identity and Access Management
5. Identity and Access Management5. Identity and Access Management
5. Identity and Access ManagementSam Bowne
 
The Zero Trust Model of Information Security
The Zero Trust Model of Information Security The Zero Trust Model of Information Security
The Zero Trust Model of Information Security Tripwire
 
SOC presentation- Building a Security Operations Center
SOC presentation- Building a Security Operations CenterSOC presentation- Building a Security Operations Center
SOC presentation- Building a Security Operations CenterMichael Nickle
 
Securing Systems at Cloud Scale with DevSecOps
Securing Systems at Cloud Scale with DevSecOpsSecuring Systems at Cloud Scale with DevSecOps
Securing Systems at Cloud Scale with DevSecOpsAmazon Web Services
 
NIST Zero Trust Explained
NIST Zero Trust ExplainedNIST Zero Trust Explained
NIST Zero Trust Explainedrtp2009
 
cyber-security-reference-architecture
cyber-security-reference-architecturecyber-security-reference-architecture
cyber-security-reference-architectureBirendra Negi ☁️
 
Identity & access management
Identity & access managementIdentity & access management
Identity & access managementVandana Verma
 

Was ist angesagt? (20)

Tenable Solutions for Enterprise Cloud Security
Tenable Solutions for Enterprise Cloud SecurityTenable Solutions for Enterprise Cloud Security
Tenable Solutions for Enterprise Cloud Security
 
Understanding Zero Trust Security for IBM i
Understanding Zero Trust Security for IBM iUnderstanding Zero Trust Security for IBM i
Understanding Zero Trust Security for IBM i
 
Cyber Security in the Manufacturing Industry: New challenges in the informati...
Cyber Security in the Manufacturing Industry: New challenges in the informati...Cyber Security in the Manufacturing Industry: New challenges in the informati...
Cyber Security in the Manufacturing Industry: New challenges in the informati...
 
Overview of Microsoft Teams and Data Loss Prevention(DLP)
Overview of Microsoft Teams  and Data Loss Prevention(DLP)Overview of Microsoft Teams  and Data Loss Prevention(DLP)
Overview of Microsoft Teams and Data Loss Prevention(DLP)
 
4_Session 1- Universal ZTNA.pptx
4_Session 1- Universal ZTNA.pptx4_Session 1- Universal ZTNA.pptx
4_Session 1- Universal ZTNA.pptx
 
Zero Trust Network Access
Zero Trust Network Access Zero Trust Network Access
Zero Trust Network Access
 
microsoft-cybersecurity-reference-architectures (1).pptx
microsoft-cybersecurity-reference-architectures (1).pptxmicrosoft-cybersecurity-reference-architectures (1).pptx
microsoft-cybersecurity-reference-architectures (1).pptx
 
Managing privileged account security
Managing privileged account securityManaging privileged account security
Managing privileged account security
 
Privileged Access Management
Privileged Access ManagementPrivileged Access Management
Privileged Access Management
 
5. Identity and Access Management
5. Identity and Access Management5. Identity and Access Management
5. Identity and Access Management
 
The Zero Trust Model of Information Security
The Zero Trust Model of Information Security The Zero Trust Model of Information Security
The Zero Trust Model of Information Security
 
SOC presentation- Building a Security Operations Center
SOC presentation- Building a Security Operations CenterSOC presentation- Building a Security Operations Center
SOC presentation- Building a Security Operations Center
 
CyberArk
CyberArkCyberArk
CyberArk
 
Zero trust deck 2020
Zero trust deck 2020Zero trust deck 2020
Zero trust deck 2020
 
Zero Trust
Zero TrustZero Trust
Zero Trust
 
Securing Systems at Cloud Scale with DevSecOps
Securing Systems at Cloud Scale with DevSecOpsSecuring Systems at Cloud Scale with DevSecOps
Securing Systems at Cloud Scale with DevSecOps
 
CLOUD NATIVE SECURITY
CLOUD NATIVE SECURITYCLOUD NATIVE SECURITY
CLOUD NATIVE SECURITY
 
NIST Zero Trust Explained
NIST Zero Trust ExplainedNIST Zero Trust Explained
NIST Zero Trust Explained
 
cyber-security-reference-architecture
cyber-security-reference-architecturecyber-security-reference-architecture
cyber-security-reference-architecture
 
Identity & access management
Identity & access managementIdentity & access management
Identity & access management
 

Ähnlich wie BATbern48_ZeroTrust-Konzept und Realität.pdf

Web application security
Web application securityWeb application security
Web application securityOliver Hader
 
Wolfgang Mader (Huemer Data Center)
Wolfgang Mader (Huemer Data Center)Wolfgang Mader (Huemer Data Center)
Wolfgang Mader (Huemer Data Center)Agenda Europe 2035
 
Steinzeit war gestern! Wege der Cloud-nativen Evolution.
Steinzeit war gestern! Wege der Cloud-nativen Evolution.Steinzeit war gestern! Wege der Cloud-nativen Evolution.
Steinzeit war gestern! Wege der Cloud-nativen Evolution.QAware GmbH
 
Das kleine Einmaleins der sicheren Architektur @heise_devSec
Das kleine Einmaleins der sicheren Architektur @heise_devSecDas kleine Einmaleins der sicheren Architektur @heise_devSec
Das kleine Einmaleins der sicheren Architektur @heise_devSecMario-Leander Reimer
 
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...SBA Research
 
Sensitive Daten in der Oracle Datenbank
Sensitive Daten in der Oracle DatenbankSensitive Daten in der Oracle Datenbank
Sensitive Daten in der Oracle DatenbankUlrike Schwinn
 
Das kleine Einmaleins der sicheren Architektur
Das kleine Einmaleins der sicheren ArchitekturDas kleine Einmaleins der sicheren Architektur
Das kleine Einmaleins der sicheren ArchitekturQAware GmbH
 
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?Enterprise-level Kubernetes Security mit Open Source Tools - geht das?
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?QAware GmbH
 
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdfDACHNUG50 Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdfDNUG e.V.
 
Steinzeit war gestern! Wege der cloud-nativen Evolution
Steinzeit war gestern! Wege der cloud-nativen EvolutionSteinzeit war gestern! Wege der cloud-nativen Evolution
Steinzeit war gestern! Wege der cloud-nativen EvolutionQAware GmbH
 
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!Carsten Cordes
 
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdfDACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdfDNUG e.V.
 
Automatisierung von Security Test im Build-Prozess
Automatisierung von Security Test im Build-ProzessAutomatisierung von Security Test im Build-Prozess
Automatisierung von Security Test im Build-Prozessx-celerate
 
Die unendliche User Story - agiles Anforderungsmanagement
Die unendliche User Story - agiles AnforderungsmanagementDie unendliche User Story - agiles Anforderungsmanagement
Die unendliche User Story - agiles AnforderungsmanagementThomas Moedl
 
Cloud-Sicherheit entmystifiziert
Cloud-Sicherheit entmystifiziertCloud-Sicherheit entmystifiziert
Cloud-Sicherheit entmystifiziertAlexander Junk
 
Neo4j Use Cases - Graphdatenbanken im Einsatz
Neo4j Use Cases - Graphdatenbanken im EinsatzNeo4j Use Cases - Graphdatenbanken im Einsatz
Neo4j Use Cases - Graphdatenbanken im EinsatzNeo4j
 
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...Martin Merck
 
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...Carsten Muetzlitz
 
Regelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenRegelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenICT Economic Impact
 
Compliance needs transparency
Compliance needs transparencyCompliance needs transparency
Compliance needs transparencyBalaBit
 

Ähnlich wie BATbern48_ZeroTrust-Konzept und Realität.pdf (20)

Web application security
Web application securityWeb application security
Web application security
 
Wolfgang Mader (Huemer Data Center)
Wolfgang Mader (Huemer Data Center)Wolfgang Mader (Huemer Data Center)
Wolfgang Mader (Huemer Data Center)
 
Steinzeit war gestern! Wege der Cloud-nativen Evolution.
Steinzeit war gestern! Wege der Cloud-nativen Evolution.Steinzeit war gestern! Wege der Cloud-nativen Evolution.
Steinzeit war gestern! Wege der Cloud-nativen Evolution.
 
Das kleine Einmaleins der sicheren Architektur @heise_devSec
Das kleine Einmaleins der sicheren Architektur @heise_devSecDas kleine Einmaleins der sicheren Architektur @heise_devSec
Das kleine Einmaleins der sicheren Architektur @heise_devSec
 
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...
SBA Live Academy: Remote Access – Top Security Challenges – Teil 2 by Günther...
 
Sensitive Daten in der Oracle Datenbank
Sensitive Daten in der Oracle DatenbankSensitive Daten in der Oracle Datenbank
Sensitive Daten in der Oracle Datenbank
 
Das kleine Einmaleins der sicheren Architektur
Das kleine Einmaleins der sicheren ArchitekturDas kleine Einmaleins der sicheren Architektur
Das kleine Einmaleins der sicheren Architektur
 
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?Enterprise-level Kubernetes Security mit Open Source Tools - geht das?
Enterprise-level Kubernetes Security mit Open Source Tools - geht das?
 
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdfDACHNUG50 Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Domino REST API - Konzepte und Hintergruende.pdf
 
Steinzeit war gestern! Wege der cloud-nativen Evolution
Steinzeit war gestern! Wege der cloud-nativen EvolutionSteinzeit war gestern! Wege der cloud-nativen Evolution
Steinzeit war gestern! Wege der cloud-nativen Evolution
 
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
IT-Sicherheit und agile Entwicklung? Geht das? Sicher!
 
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdfDACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdf
DACHNUG50 Die Domino REST API - Konzepte und Hintergruende.pdf
 
Automatisierung von Security Test im Build-Prozess
Automatisierung von Security Test im Build-ProzessAutomatisierung von Security Test im Build-Prozess
Automatisierung von Security Test im Build-Prozess
 
Die unendliche User Story - agiles Anforderungsmanagement
Die unendliche User Story - agiles AnforderungsmanagementDie unendliche User Story - agiles Anforderungsmanagement
Die unendliche User Story - agiles Anforderungsmanagement
 
Cloud-Sicherheit entmystifiziert
Cloud-Sicherheit entmystifiziertCloud-Sicherheit entmystifiziert
Cloud-Sicherheit entmystifiziert
 
Neo4j Use Cases - Graphdatenbanken im Einsatz
Neo4j Use Cases - Graphdatenbanken im EinsatzNeo4j Use Cases - Graphdatenbanken im Einsatz
Neo4j Use Cases - Graphdatenbanken im Einsatz
 
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...
2014-dev-martin_merck-eine_architektur_fuer_mobile_anwendungen_bei_der_bundes...
 
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...
DOAG SIG Security Vortrag 2013: Wann haben Sie das letzte Mal Ihre Datenbank ...
 
Regelkonformität durch neue Architekturen
Regelkonformität durch neue ArchitekturenRegelkonformität durch neue Architekturen
Regelkonformität durch neue Architekturen
 
Compliance needs transparency
Compliance needs transparencyCompliance needs transparency
Compliance needs transparency
 

Mehr von BATbern

BATbern52 Moderation Berner Architekten Treffen zu Data Mesh
BATbern52 Moderation Berner Architekten Treffen zu Data MeshBATbern52 Moderation Berner Architekten Treffen zu Data Mesh
BATbern52 Moderation Berner Architekten Treffen zu Data MeshBATbern
 
BATbern52 Swisscom's Journey into Data Mesh
BATbern52 Swisscom's Journey into Data MeshBATbern52 Swisscom's Journey into Data Mesh
BATbern52 Swisscom's Journey into Data MeshBATbern
 
BATbern52 SBB zu Data Products und Knacknüsse
BATbern52 SBB zu Data Products und KnacknüsseBATbern52 SBB zu Data Products und Knacknüsse
BATbern52 SBB zu Data Products und KnacknüsseBATbern
 
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data Mesh
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data MeshBATbern52 Mobiliar zu Skalierte Datenprodukte mit Data Mesh
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data MeshBATbern
 
BATbern52 InnoQ on Data Mesh 2019 2023 2024++
BATbern52 InnoQ on Data Mesh 2019 2023 2024++BATbern52 InnoQ on Data Mesh 2019 2023 2024++
BATbern52 InnoQ on Data Mesh 2019 2023 2024++BATbern
 
Embracing Serverless: reengineering a real-estate digital marketplace
Embracing Serverless: reengineering a real-estate digital marketplaceEmbracing Serverless: reengineering a real-estate digital marketplace
Embracing Serverless: reengineering a real-estate digital marketplaceBATbern
 
Serverless und Event-Driven Architecture
Serverless und Event-Driven ArchitectureServerless und Event-Driven Architecture
Serverless und Event-Driven ArchitectureBATbern
 
Serverless Dev(Ops) in der Praxis
Serverless Dev(Ops) in der PraxisServerless Dev(Ops) in der Praxis
Serverless Dev(Ops) in der PraxisBATbern
 
Serverless at Lifestage
Serverless at LifestageServerless at Lifestage
Serverless at LifestageBATbern
 
Keynote Gregor Hohpe - Serverless Architectures
Keynote Gregor Hohpe - Serverless ArchitecturesKeynote Gregor Hohpe - Serverless Architectures
Keynote Gregor Hohpe - Serverless ArchitecturesBATbern
 
BATbern51 Serverless?!
BATbern51 Serverless?!BATbern51 Serverless?!
BATbern51 Serverless?!BATbern
 
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen Partners
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen PartnersEin Rückblick anlässlich des 50. BAT aus Sicht eines treuen Partners
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen PartnersBATbern
 
MLOps journey at Swisscom: AI Use Cases, Architecture and Future Vision
MLOps journey at Swisscom: AI Use Cases, Architecture and Future VisionMLOps journey at Swisscom: AI Use Cases, Architecture and Future Vision
MLOps journey at Swisscom: AI Use Cases, Architecture and Future VisionBATbern
 
From Ideation to Production in 7 days: The Scoring Factory at Raiffeisen
From Ideation to Production in 7 days: The Scoring Factory at RaiffeisenFrom Ideation to Production in 7 days: The Scoring Factory at Raiffeisen
From Ideation to Production in 7 days: The Scoring Factory at RaiffeisenBATbern
 
The Future of Coaching in Sport with AI/ML
The Future of Coaching in Sport with AI/MLThe Future of Coaching in Sport with AI/ML
The Future of Coaching in Sport with AI/MLBATbern
 
Klassifizierung von Versicherungsschäden – AI und MLOps bei der Mobiliar
Klassifizierung von Versicherungsschäden – AI und MLOps bei der MobiliarKlassifizierung von Versicherungsschäden – AI und MLOps bei der Mobiliar
Klassifizierung von Versicherungsschäden – AI und MLOps bei der MobiliarBATbern
 
Why did the shift-left end up in the cloud for Bank Julius Baer?
Why did the shift-left end up in the cloud for Bank Julius Baer?Why did the shift-left end up in the cloud for Bank Julius Baer?
Why did the shift-left end up in the cloud for Bank Julius Baer?BATbern
 
Creating a Product through DevOps: The Story of APPUiO Cloud
Creating a Product through DevOps: The Story of APPUiO CloudCreating a Product through DevOps: The Story of APPUiO Cloud
Creating a Product through DevOps: The Story of APPUiO CloudBATbern
 
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature Toggles
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature TogglesZeitnahe Reaktion auf Verordnungsänderungen mit Feature Toggles
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature TogglesBATbern
 
DevSecOps-Teams das Security-Steuer überlassen
DevSecOps-Teams das Security-Steuer überlassenDevSecOps-Teams das Security-Steuer überlassen
DevSecOps-Teams das Security-Steuer überlassenBATbern
 

Mehr von BATbern (20)

BATbern52 Moderation Berner Architekten Treffen zu Data Mesh
BATbern52 Moderation Berner Architekten Treffen zu Data MeshBATbern52 Moderation Berner Architekten Treffen zu Data Mesh
BATbern52 Moderation Berner Architekten Treffen zu Data Mesh
 
BATbern52 Swisscom's Journey into Data Mesh
BATbern52 Swisscom's Journey into Data MeshBATbern52 Swisscom's Journey into Data Mesh
BATbern52 Swisscom's Journey into Data Mesh
 
BATbern52 SBB zu Data Products und Knacknüsse
BATbern52 SBB zu Data Products und KnacknüsseBATbern52 SBB zu Data Products und Knacknüsse
BATbern52 SBB zu Data Products und Knacknüsse
 
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data Mesh
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data MeshBATbern52 Mobiliar zu Skalierte Datenprodukte mit Data Mesh
BATbern52 Mobiliar zu Skalierte Datenprodukte mit Data Mesh
 
BATbern52 InnoQ on Data Mesh 2019 2023 2024++
BATbern52 InnoQ on Data Mesh 2019 2023 2024++BATbern52 InnoQ on Data Mesh 2019 2023 2024++
BATbern52 InnoQ on Data Mesh 2019 2023 2024++
 
Embracing Serverless: reengineering a real-estate digital marketplace
Embracing Serverless: reengineering a real-estate digital marketplaceEmbracing Serverless: reengineering a real-estate digital marketplace
Embracing Serverless: reengineering a real-estate digital marketplace
 
Serverless und Event-Driven Architecture
Serverless und Event-Driven ArchitectureServerless und Event-Driven Architecture
Serverless und Event-Driven Architecture
 
Serverless Dev(Ops) in der Praxis
Serverless Dev(Ops) in der PraxisServerless Dev(Ops) in der Praxis
Serverless Dev(Ops) in der Praxis
 
Serverless at Lifestage
Serverless at LifestageServerless at Lifestage
Serverless at Lifestage
 
Keynote Gregor Hohpe - Serverless Architectures
Keynote Gregor Hohpe - Serverless ArchitecturesKeynote Gregor Hohpe - Serverless Architectures
Keynote Gregor Hohpe - Serverless Architectures
 
BATbern51 Serverless?!
BATbern51 Serverless?!BATbern51 Serverless?!
BATbern51 Serverless?!
 
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen Partners
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen PartnersEin Rückblick anlässlich des 50. BAT aus Sicht eines treuen Partners
Ein Rückblick anlässlich des 50. BAT aus Sicht eines treuen Partners
 
MLOps journey at Swisscom: AI Use Cases, Architecture and Future Vision
MLOps journey at Swisscom: AI Use Cases, Architecture and Future VisionMLOps journey at Swisscom: AI Use Cases, Architecture and Future Vision
MLOps journey at Swisscom: AI Use Cases, Architecture and Future Vision
 
From Ideation to Production in 7 days: The Scoring Factory at Raiffeisen
From Ideation to Production in 7 days: The Scoring Factory at RaiffeisenFrom Ideation to Production in 7 days: The Scoring Factory at Raiffeisen
From Ideation to Production in 7 days: The Scoring Factory at Raiffeisen
 
The Future of Coaching in Sport with AI/ML
The Future of Coaching in Sport with AI/MLThe Future of Coaching in Sport with AI/ML
The Future of Coaching in Sport with AI/ML
 
Klassifizierung von Versicherungsschäden – AI und MLOps bei der Mobiliar
Klassifizierung von Versicherungsschäden – AI und MLOps bei der MobiliarKlassifizierung von Versicherungsschäden – AI und MLOps bei der Mobiliar
Klassifizierung von Versicherungsschäden – AI und MLOps bei der Mobiliar
 
Why did the shift-left end up in the cloud for Bank Julius Baer?
Why did the shift-left end up in the cloud for Bank Julius Baer?Why did the shift-left end up in the cloud for Bank Julius Baer?
Why did the shift-left end up in the cloud for Bank Julius Baer?
 
Creating a Product through DevOps: The Story of APPUiO Cloud
Creating a Product through DevOps: The Story of APPUiO CloudCreating a Product through DevOps: The Story of APPUiO Cloud
Creating a Product through DevOps: The Story of APPUiO Cloud
 
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature Toggles
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature TogglesZeitnahe Reaktion auf Verordnungsänderungen mit Feature Toggles
Zeitnahe Reaktion auf Verordnungsänderungen mit Feature Toggles
 
DevSecOps-Teams das Security-Steuer überlassen
DevSecOps-Teams das Security-Steuer überlassenDevSecOps-Teams das Security-Steuer überlassen
DevSecOps-Teams das Security-Steuer überlassen
 

BATbern48_ZeroTrust-Konzept und Realität.pdf

  • 1. Michael Gerber 11. November 2022 Zero Trust Konzept und Realität
  • 2. Agenda SBB • BAT - Zero Trust • 11.11.2022 2 1. Was ist Zero Trust? 2. Verteilte Architektur & Zero Trust Prinzipien 3. Angriffsszenarien und deren Mitigation 4. Fazit
  • 3. Zero-Trust - sieben Kernprinzipien SBB • BAT - Zero Trust • 11.11.2022 3 Das Unternehmen sammelt so viele Informationen wie möglich über den aktuellen Zustand der Assets, Netzwerkinfrastruktur und der Kommunikation und nutzt sie zur Verbesserung seiner Sicherheitslage. Das Unternehmen überwacht und misst die Integrität und die Sicherheitslage aller eigenen und damit verbundenen Assets. Der Zugriff auf Ressourcen wird durch eine dynamische Policy bestimmt, diese betrachtet den jeweiligen Kontext der Zugriffsanfrage. Jegliche Kommunikation wird gesichert, unabhängig vom Standort. Alle Ressourcen-Authentifizierung und - Autorisierung sind dynamisch und werden strikt durchgesetzt, bevor der Zugriff gestattet wird. Der Zugriff auf einzelne Ressourcen wird pro Sitzung gewährt. Alle Datenquellen und Rechendienste werden als Ressourcen betrachtet. Source: NIST Special Publication 800-207 – Zero Trust Architecture
  • 4. Su e t S ste o or e e t o t Truste o or e e t o t Truste t truste truste u et or ter et Se e tA ou o. re Se e tB ou o. re A t o t A t o Verteilte Architektur: (stark) vereinfachte Sicht SBB • BAT - Zero Trust • 11.11.2022 4
  • 5. Su e t S ste o or e e t o t Truste o or e e t o t Truste t truste truste u et or ter et Se e tA ou o. re Se e tB ou o. re A t o t A t o Verteilte Architektur: Verortung der Prinzipien SBB • BAT - Zero Trust • 11.11.2022 5
  • 6. Su e t S ste o or e e t o t Truste o or e e t o t Truste t truste truste u et or ter et Se e tA ou o. re Se e tB ou o. re A t o t A t o Verteilte Architektur: Angriffsszenarien SBB • BAT - Zero Trust • 11.11.2022 6 Angreifer Szenario 1 Szenario 4 Szenario 5 Szenario 2 Szenario 3 Szenario 7 Szenario 6
  • 7. SBB • er • zero trust utshe • 18.01.2022 7 # Name Gegenmassnahmen 1;4 Übernahme der Applikation - Härtung der Applikation - Zugriff einschränken (WAF, Firewall) - Patching (bekannte Sicherheitslücken schliessen) - Limitierung der Anfragen (Benutzer wie auch Administratoren) - Der Zugriff auf die Anwendung erfolgt immer im jeweiligen Nutzerkontext; kein Zugriff mittels Applikationsbenutzer gewähren. 2;5 Übernahme der Datenbank - Härtung der Datenbank - Verschlüsselung des Inhalts u.a. für Administrationsbenutzer - Limitierung der Anfragen für Administrationsbenutzer 3;6 Übernahme PEP - Härtung der Anwendung - Zugriff einschränken (WAF, Firewall) - Patching (bekannte Sicherheitslücken schliessen) - Freigabeprozess für Änderungen (Vieraugenprinzip; ) - Zugriff nur im Nutzerkontext und auch IP-Adressen einschränken 7 Übernahme Client - Customer: Empfehlung Kommunizieren - Mitarbeiter: durch das Unternehmen gesteuert & durchsetzen - Partner: Empfehlung Kommunizieren & ggf. durchsetzen Angriffsszenarien & Gegenmassnahmen
  • 8. Su e t S ste o or e e t o t Truste o or e e t o t Truste t truste truste u et or ter et Se e tA ou o. re Se e tB ou o. re A t o t A t o Angriffsszenario 1 - Übernahme der Applikation SBB • BAT - Zero Trust • 11.11.2022 8 Der Angreifer kann auf alle ◼-Daten zugreifen Angriffsszenario 1: Ein Angreifer kann durch die Übernahme von einer Applikation in einem Segment Zugriff auf alle Daten dieser Applikation und/oder von Daten weiterer Applikationen in anderen Segmenten erhalten. Beschreibung: Ein Angreifer übernimmt die Applikation im Segment A. Er kann alle Daten sehen, die durch diese Applikation fliessen. Dazu gehören natürlich auch die Daten, die von der Applikation im Segment B an die Applikation im Segment A zurückgeliefert werden. Der Angreifer kann auch weitere Daten von der Applikation in Segment B abfragen. Die Zugriffe auf die Applikation in Segment B erfolgen immer im Namen der Applikation in Segment A. Anforderung: Der legitime Zugriff auf Daten soll immer im Kontext des jeweiligen Subjekts respektive dessen Benutzers erfolgen – die entsprechenden Berechtigungen sind diesem zugeordnet. Kernprinzip Vertriebssysteme der Transportunternehmen Anbieter «SwissPass»
  • 9. Su e t S ste o or e e t o t Truste o or e e t o t Truste t truste truste u et or ter et Se e tA ou o. re Se e tB ou o. re A t o t A t o «Der Zugriff auf einzelne Ressourcen wird pro Sitzung gewährt» → Sitzung = Access Token gemäss OAuth2 Protokoll SBB • BAT - Zero Trust • 11.11.2022 9 Access Token von Identity Management zur sitzungsbasierten Zugriffssteuerung JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens RFC 9068
  • 10. SBB • BAT - Zero Trust • 11.11.2022 10 https://www.scottbrady91.com/oauth/delegation-patterns-for-oauth-20 ✓ Erfüllt alle bekannten Anforderungen ✓ Ist standardisiert, RFC 8693: OAuth 2.0 Token Exchange [Access Token] Welches Architektur Pattern erfüllt die Anforderungen? ↯ ✓ ↯ ✓ ✓ ✓
  • 11. Fachlich JWT AT Inhalt Inhalt Aussteller iss OP URL OP URL Token Exchange Anwendung client_id SBB_Mobile SBB_Mobile Inhaber sub 667345345 1973311412 Empfänger aud SBB_Mobile; Vertriebssystem_SBB Anbieter_SwissPass Absender act - Vertriebssystem_SBB Kundennummer tkid 54656734534 54656734534 Rolle Kunde Kunde [Access-Token] Architektur – Token Exchange Beispiel mit 2 Applikationen (Vertrieb SBB; Anbieter SwissPass) SBB • BAT - Zero Trust • 11.11.2022 11 Subject System Policy Enforcement Point (PEP) Trusted Trusted Data Untrusted Untrusted Public Network (Internet) Segment A (Cloud o. On-Prem) Segment B (Cloud o. On-Prem) Application Data Application Identity Management iss 1 1 1 2 1 2 Vertriebssystem SBB Anbieter SwissPass Token Exchange (TX) Trusted 1 2 Policy Enforcement Point (PEP) 2 1 Identity Management tx 2 1 SBB Mobile
  • 12. SBB • BAT - Zero Trust • 11.11.2022 12 Subject System Policy Enforcement Point (PEP) Data Untrusted Segment B (Cloud o. On-Prem) Application Anbieter SwissPass [Access-Token] Architektur „SwissPass-Ökosystem“ Policy Enforcement Point (PEP) Trusted Segment A (Cloud o. On-Prem) Application Data Vertriebssystem SBB Token Exchange (TX) Trusted Untrusted
  • 13. Zusammenfassung SBB • BAT - Zero Trust • 11.11.2022 13 s A r ssze r o „Ü er h e er A t o “ kann unter Anwendung des Zero Trust Prinzip „Der Zugriff auf einzelne Ressourcen wird pro Sitzung gewährt“ teilweise mitigiert werden. Technischer Ansatz → Access Token → Token Exchange → PEP
  • 14. Zero Trust in einem konkreten Fall anwenden heisst: SBB • BAT - Zero Trust • 11.11.2022 14 • Ar h te tur / A e u e / te üsse „ e e “ • Relevante Angriffsszenarien finden und risikobasiert bewerten • Für das Angriffsszenario mit dem höchsten Risiko die mitigierenden Zero Trust Prinzipien finden • Für die Umsetzung die passende technische Architektur bestimmen
  • 15. Fragen? SBB • BAT - Zero Trust • 11.11.2022 15