Im Mittelpunkt des Beitrags steht die Beobachtung, dass kritische Infrastruktur heute über zahlreiche Ebenen angreifbar ist. Neben OT-Umgebungen seien auch klassische IT-Systeme, Cloud-Plattformen und SaaS-Anwendungen Teil der für essenzielle Dienste nötigen Infrastruktur. Der Angriff auf Colonial Pipeline habe gezeigt, dass schon die Kompromittierung geschäftskritischer Systeme erhebliche Folgen haben kann, auch ohne einen direkten Einbruch in OT.
Als typische Angriffswege nennt der Text gestohlene Zugangsdaten, unverwaltete Geräte, kompromittierte Laptops, Fernzugriffswerkzeuge und schwache Zugriffskontrollen. Laut CISA erfordern OT-Umgebungen wegen Sicherheitsanforderungen, Verfügbarkeit, Altsystemen und physischen Prozessen einen angepassten Ansatz. In der Handreichung „Adapting Zero Trust Principles to Operational Technology“ legt die Behörde nach Angaben des Quelltexts den Schwerpunkt auf Asset-Sichtbarkeit, Identitäts- und Zugriffsmanagement, Segmentierung, Überwachung und Lieferkettenrisiken.
Warum die Diskussion an Dringlichkeit gewinnt, illustriert der Beitrag mit Volt Typhoon. Die Gruppe ziele gezielt auf kritische Infrastruktur und nutze Verfahren, die im normalen Netzwerkbetrieb untergehen sollen, statt auffällige Warnsignale auszulösen. US-Behörden hätten davor gewarnt, dass von der Volksrepublik China unterstützte Akteure Netze kritischer Infrastruktur kompromittiert und teils über Jahre hinweg Zugriff aufrechterhalten hätten.
Zu den beschriebenen Methoden zählen die Ausnutzung verwundbarer Edge-Geräte wie Router, Firewalls und VPN-Appliances, der Einsatz gestohlener Administrator-Zugangsdaten und legitimer Konten sowie „Leben-von-den-Bordmitteln“-Techniken, bei denen eingebaute Werkzeuge statt Schadsoftware verwendet werden. Zusätzlich würden Angreifer Datenverkehr über kompromittierte Geräte umleiten, um Zuordnung und Erkennung zu erschweren. Microsoft meldete laut Beitrag Volt-Typhoon-Aktivitäten auf Guam und an anderen Orten in den USA gegen Organisationen aus Kommunikation, Fertigung, Versorgungswirtschaft, Bau und Transport. Die Sorge betreffe nicht nur Spionage, sondern auch die Möglichkeit, dass dauerhafter Zugriff in einer künftigen geopolitischen Krise für Störungen genutzt werden könnte.
Für die Bedeutung gestohlener Zugangsdaten verweist der Text auf Verizons „Data Breach Investigation Report“. Demnach sind entwendete Anmeldedaten an 44,7 Prozent der Sicherheitsverletzungen beteiligt. Daraus leitet der Beitrag ab, dass Identität zwar ein zentrales Element von Zero Trust ist, aber nicht die gesamte Last allein tragen kann. Staatlich unterstützte Akteure seien geübt darin, Anmeldedaten zu stehlen, Nutzer per Phishing anzugreifen, Sitzungen zu kapern und mit legitimen Werkzeugen unauffällig durch Netze zu wandern.
Multi-Faktor-Authentifizierung bleibe unverzichtbar und sollte nach Darstellung des Beitrags in jeder Organisation kritischer Infrastruktur eingesetzt werden. Zugleich reiche MFA allein nicht aus, wenn Angreifer eine Sitzung kompromittieren, ein unerlaubtes Gerät registrieren, einen vertrauenswürdigen Fernzugriffspfad missbrauchen oder mit einem legitimen Konto von einem unverwalteten Endpunkt aus arbeiten. Nötig seien daher stärkere Zugriffsentscheidungen, die über Benutzername und Passwort hinaus weitere Vertrauenssignale einbeziehen.
Konkret fordert der Text, jede Identität an ein Gerät zu binden. Vor einer Zugriffsfreigabe solle geprüft werden, ob das Gerät bekannt, vertrauenswürdig, in gutem Zustand, verschlüsselt, aktuell und regelkonform ist. Als Beispiel nennt der Beitrag den Unterschied zwischen einem Ingenieur vor Ort mit verwaltetem, verschlüsseltem und gepatchtem Laptop samt Endpunktschutz und einem Beschäftigten aus der Finanzabteilung, der aus der Ferne mit einem persönlichen, unverwalteten Gerät arbeitet. Beide benötigten Zugriff, brächten aber sehr unterschiedliche Risikoprofile mit. Ein Zero-Trust-Modell für den Mitarbeiterzugang müsse diesen Unterschied in Richtlinien abbilden und den Zugriff je nach Gerätezustand, Nutzerkontext und Sensibilität der Ressource anpassen.