Sicherheitsarchitekturen und -modelle

Sicherheitsarchitekturen bieten strukturierte Ansätze zur Implementierung und Verwaltung von Sicherheitsmaßnahmen in IT-Systemen. Sie helfen dabei, Sicherheitsanforderungen zu identifizieren, zu planen und effektiv umzusetzen.

1. Zero Trust Architecture:

• Beschreibung: Bei der Zero Trust-Architektur wird grundsätzlich kein Nutzer oder System, unabhängig davon, ob es sich innerhalb oder außerhalb des Netzwerks befindet, als vertrauenswürdig eingestuft. Jede Anfrage wird überprüft, bevor Zugriff gewährt wird.
• Prinzipien:
  • Verifizierung: Jedes Zugriffsgesuch wird überprüft und authentifiziert.
  • Minimaler Zugang: Benutzer und Systeme erhalten nur die Berechtigungen, die sie unbedingt benötigen.
  • Segmentierung: Netzwerke und Systeme werden segmentiert, um die Ausbreitung von Bedrohungen zu verhindern.
• Beispiele: Einsatz von Multi-Faktor-Authentifizierung (MFA), Mikro-Segmentierung von Netzwerken.

2. Defense in Depth:

• Beschreibung: Defense in Depth ist eine Sicherheitsstrategie, die mehrere Schutzschichten einsetzt, um eine umfassende Sicherheitsbarriere zu schaffen. Wenn eine Schicht durchbrochen wird, bieten die folgenden Schichten zusätzlichen Schutz.
• Schichten:
  • Perimetersicherheit: Firewalls, Intrusion Detection/Prevention Systeme (IDS/IPS).
  • Netzwerksicherheit: Netzwerksicherheitszonen, VPNs.
  • Endpunktsicherheit: Antivirus-Software, Endpunkt-Verschlüsselung.
  • Anwendungssicherheit: Secure Coding Practices, Web Application Firewalls (WAFs).
  • Datensicherheit: Verschlüsselung, Zugriffskontrollen.
• Beispiele: Kombination von Firewalls, IDS/IPS, Anti-Malware-Software und Verschlüsselung.

Sicherheitsmodelle

Sicherheitsmodelle definieren die Regeln und Prinzipien, die bestimmen, wie Zugriffsrechte und Berechtigungen in einem System verwaltet werden. Sie bieten die theoretische Grundlage für die Implementierung von Sicherheitsrichtlinien.

1. Role-Based Access Control (RBAC):

• Beschreibung: RBAC ist ein Zugriffssteuerungsmodell, bei dem Berechtigungen basierend auf den Rollen zugewiesen werden, die Benutzer in einem System oder einer Organisation haben.
• Vorteile:
  • Einfachheit: Einfach zu verwalten, da Berechtigungen gruppenbasiert zugewiesen werden.
  • Flexibilität: Rollen können leicht hinzugefügt, entfernt oder geändert werden.
• Beispiele: Ein Unternehmen kann Rollen wie „Administrator“, „Mitarbeiter“ und „Gast“ definieren, wobei jeder Rolle bestimmte Zugriffsrechte zugewiesen werden.

2. Mandatory Access Control (MAC):

• Beschreibung: MAC ist ein Zugriffssteuerungsmodell, bei dem die Zugriffskontrolle basierend auf festen Regeln und Richtlinien erfolgt, die von einer zentralen Autorität festgelegt werden.
• Vorteile:
  • Hohe Sicherheit: Strikte Zugriffskontrollen, die Manipulationen erschweren.
  • Zentralisierte Kontrolle: Einfach zu überwachen und durchzusetzen.
• Beispiele: Militärische Systeme verwenden häufig MAC, um den Zugriff auf Informationen basierend auf Sicherheitsfreigaben und -klassifikationen zu steuern.

3. Discretionary Access Control (DAC):

• Beschreibung: DAC ist ein Zugriffssteuerungsmodell, bei dem der Eigentümer eines Objekts entscheidet, wer Zugriff auf das Objekt hat.
• Vorteile:
  • Flexibilität: Benutzer können flexibel entscheiden, wer Zugriff auf ihre Ressourcen hat.
  • Einfachheit: Leicht zu implementieren und zu verwalten.
• Beispiele: Ein Benutzer kann in einem Betriebssystem wie Windows oder Linux Berechtigungen für Dateien und Verzeichnisse festlegen.