Zero Trust Netzwerksicherheitsprinzipien und praktische Umsetzung: niemals vertrauen immer verifizieren, Mikro-Segmentierung, identitätsbasierter Zugriff und Implementierung mit vorhandenen Linux-Tools.
Das traditionelle Netzwerksicherheitsmodell vertraut allem innerhalb des internen Netzwerks. Das Zero Trust-Modell befürwortet das Gegenteil: "Niemals vertrauen, immer verifizieren." Dieser Ansatz ist in modernen Cloud- und Hybridumgebungen von entscheidender Bedeutung.
Zero Trust ist ein Sicherheitsmodell, das 2010 von Forrester Research-Analysten definiert wurde. Seine Kernannahme lautet: Keinem Benutzer, Gerät oder Dienst innerhalb oder außerhalb des Netzwerks wird automatisch vertraut.
| Merkmal | Traditionell | Zero Trust |
|---|---|---|
| Vertrauensmodell | Internem Netzwerk vertrauen | Nichts vertrauen |
| Authentifizierung | Am Netzwerkperimeter | Bei jedem Zugriff |
| Zugangskontrolle | IP-basiert | Identitätsbasiert |
| Segmentierung | Flaches Netzwerk | Mikro-Segmentierung |
| Überwachung | Perimeter-fokussiert | Überall |
# SSH CA erstellen
mkdir -p /etc/ssh/ca
cd /etc/ssh/ca
# CA-Schlüsselpaar erstellen
ssh-keygen -t ed25519 -f ssh_ca -C "SSH Certificate Authority"
# Benutzerschlüssel signieren
ssh-keygen -s /etc/ssh/ca/ssh_ca \
-I "benutzer@hostname" \
-n benutzername \
-V +52w \
~/.ssh/id_ed25519.pub
# Zero Trust SSH-Konfiguration
PasswordAuthentication no
ChallengeResponseAuthentication no
TrustedUserCAKeys /etc/ssh/ca/ssh_ca.pub
PermitRootLogin no
AllowUsers deploy admin
ClientAliveInterval 300
ClientAliveCountMax 2
# Standardrichtlinien
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT
# Loopback erlauben
sudo iptables -A INPUT -i lo -j ACCEPT
# Bestehende Verbindungen erlauben
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# SSH-Zugriff (nur Verwaltungsnetzwerk)
sudo iptables -A INPUT -p tcp --dport 22 -s 10.0.1.0/24 -j ACCEPT
# Webserver (öffentlich)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# Datenbank (nur Webserver)
sudo iptables -A INPUT -p tcp --dport 3306 -s 10.0.2.10 -j ACCEPT
# Alles andere protokollieren und ablehnen
sudo iptables -A INPUT -j LOG --log-prefix "DROPPED: "
sudo iptables -A INPUT -j DROP
# Multi-Faktor-Authentifizierung mit PAM
sudo apt install libpam-google-authenticator -y
google-authenticator
# /etc/pam.d/sshd
auth required pam_google_authenticator.so
# SSH-Konfiguration
ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive
# auditd installieren
sudo apt install auditd -y
# Kritische Dateien überwachen
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
sudo auditctl -w /etc/shadow -p wa -k shadow_changes
sudo auditctl -w /etc/sudoers -p wa -k sudoers_changes
# Netzwerkverbindungen überwachen
sudo auditctl -a always,exit -F arch=b64 -S connect -k network_connect
# Audit-Logs anzeigen
sudo ausearch -k passwd_changes
sudo aureport --auth
# /etc/systemd/system/myapp.service
[Service]
User=myapp
Group=myapp
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/var/lib/myapp
CapabilityBoundingSet=
docker network create --driver bridge --subnet 172.20.0.0/24 frontend-net
docker network create --driver bridge --subnet 172.21.0.0/24 backend-net
docker network create --driver bridge --subnet 172.22.0.0/24 db-net
Zero Trust ist eine Philosophie, kein Produkt. Beginnen Sie mit vorhandenen Tools und steigern Sie schrittweise Ihren Reifegrad. Streben Sie nach kontinuierlicher Verbesserung statt Perfektion.
Zero Trust ist ein umfassender Sicherheitsansatz für moderne Bedrohungen. Mit Linux-Tools lassen sich grundlegende Zero Trust-Prinzipien umsetzen. SSH-Zertifikate, Mikro-Segmentierung, MFA und kontinuierliche Überwachung können Ihre Sicherheitslage erheblich stärken.
Zero Trust kann schrittweise implementiert werden. Beginnen Sie mit SSH-schlüsselbasierter Authentifizierung und grundlegenden Firewall-Regeln. Fügen Sie im Laufe der Zeit MFA, Mikro-Segmentierung und kontinuierliche Überwachung hinzu.
Ja, aber Zero Trust kann VPN ersetzen. Traditionelles VPN bietet nach dem Eintritt ins Netzwerk breiten Zugriff. Zero Trust erfordert separate Authentifizierung für jede Ressource. Moderne VPNs wie WireGuard können im Einklang mit Zero Trust-Prinzipien konfiguriert werden.
Ja, es ist sogar für kleine Server kritisch. Selbst auf einem einzelnen Server bildet die Implementierung von SSH-schlüsselbasierter Authentifizierung, Fail2Ban und grundlegenden Firewall-Regeln die Grundlage von Zero Trust.
Moderne iptables/nftables-Regeln haben sehr geringen Overhead. Richtig konfigurierte Mikro-Segmentierung hat vernachlässigbare Auswirkungen auf die Leistung.
Im Linux-Ökosystem: iptables/nftables (Mikro-Segmentierung), PAM (Authentifizierung), auditd (Prüfung), Fail2Ban (automatische Sperrung), WireGuard (sicherer Tunnel), HashiCorp Vault (Geheimnisverwaltung).
Schützen Sie Ihren Linux-Server vor Malware und Rootkits. rkhunter und ClamAV Installation, Scan-Konfiguration, Ergebnisinterpretation, geplante Scans und Incident-Response-Anleitung.
Schützen Sie Ihren Server vor SSH-Brute-Force-Angriffen mit Fail2Ban. Installation, jail.local-Konfiguration, Nginx/Apache-Jails, IP-Whitelist, Ban-Überwachung und E-Mail-Benachrichtigungen.
WireGuard VPN-Server einrichten: Schlüsselgenerierung, Server- und Client-Konfiguration, IP-Weiterleitung, Firewall-Regeln und Windows/Linux/Android-Client-Setup.