Schlüsselpunkte
- Device Attestation ist der Prozess, bei dem ein Gerät oder eine ganze Geräteflotte eines Unternehmens überprüft wird, um sicherzustellen, dass es authentisch, sicher und Compliance-konform ist, bevor der Zugriff auf das System gewährt wird.
- Device Attestation validiert Vertrauensfaktoren wie die Authentizität der Hardware, die Boot-Integrität, den Secure-Boot-Status, die Echtheit des Betriebssystems, den Verschlüsselungszustand des Geräts sowie das Erkennen von Manipulationen.
- Bei der Einführung von Device Attestation müssen Unternehmen klare Anforderungen an die Geräteintegrität definieren, Geräte nach Risikokategorien segmentieren, die Ergebnisse der Attestierung in ihre Zugriffskontrollen einfließen lassen, Workflows zur Behebung fehlgeschlagener Prüfungen etablieren und die Entwicklung der Attestierungsergebnisse überwachen.
Bedrohungen werden immer ausgefeilter und nutzen inzwischen deutlich raffiniertere Wege, um in Systeme einzudringen. Sind Endpunkte nicht ausreichend abgesichert, zählen sie zu den anfälligsten Einstiegspunkten, über die Angreifer:innen ihre Attacken starten können. Genau hier spielt Device Attestation eine zentrale Rolle für die Endpunkt-Sicherheit.
Device Attestation ist ein Verfahren, mit dem Unternehmen zunächst prüfen, ob ein Gerät authentisch, sicher und Compliance-konform ist, bevor es Zugriff auf das System erhält. Das Verfahren folgt dem Zero-Trust-Ansatz: Statt Vertrauen vorauszusetzen, werden Geräte fortlaufend validiert, um sicherzustellen, dass sie die Sicherheitsstandards erfüllen.
In diesem Blogbeitrag sehen wir uns genauer an, welchen Beitrag Device Attestation zur Stärkung der Endpunkt-Sicherheit leistet.
Das validiert Device Attestation
Wie erwähnt stellt Device Attestation sicher, dass Endpunkte authentisch, sicher und Compliance-konform sind, bevor sie Zugriff auf das System erhalten. Diese Kriterien umfassen die folgenden Vertrauensfaktoren:
- Authentizität der Hardware: Prüft, ob das Gerät nicht gefälscht oder nachgeahmt ist
- Boot-Integrität und Secure-Boot-Status: Verifiziert, ob das Gerät mit einer autorisierten Firmware startet
- Integrität des Betriebssystems: Stellt sicher, dass auf dem Gerät ein Betriebssystem läuft, das nicht verändert, kompromittiert oder nicht vertrauenswürdig ist
- Verschlüsselungszustand des Geräts: Garantiert, dass eine vollständige Festplatten- oder Geräteverschlüsselung aktiviert und korrekt konfiguriert ist, um ruhende Daten zu schützen.
- Erkennung von Manipulationen: Bestätigt, dass das Gerät nicht manipuliert, gerootet oder gejailbreakt wurde
So funktioniert Device Attestation unter Android
Android-Geräte werden bereits bei der Herstellung mit hardwaregestützten Schlüsseln und sicheren Komponenten ausgestattet, die später für die Attestierung genutzt werden. So läuft Device Attestation unter Android typischerweise ab:
1. Das Gerät erfasst Integritätssignale
Wenn eine App oder ein Dienst ein Attestierungs-Token anfordert, prüft Android den aktuellen Zustand des Geräts und sammelt entsprechende Signale über seine hardwaregestützten sicheren Komponenten.
2. Ein hardwaregestützter Nachweis wird erzeugt
Android erstellt einen kryptografischen Nachweis und nutzt dafür sichere Komponenten wie eine Trusted Execution Environment (TEE). Dieser Nachweis belegt, dass die Daten tatsächlich vom Gerät stammen und nicht manipuliert oder verändert wurden.
3. Der Attestierungsdienst verifiziert die Daten
Die erfassten Daten werden anschließend über einen Dienst oder eine Verwaltungslösung verifiziert, die prüft, ob das Gerät die vordefinierten Sicherheitsrichtlinien erfüllt.
4. Zugriffsentscheidungen werden durchgesetzt
Erfüllt das Gerät die vordefinierten Sicherheitsrichtlinien, erhält es Zugriff. Andernfalls wird es blockiert.
Device Attestation im Zero-Trust-Modell
Zero Trust folgt dem Prinzip „never trust, always verify“ und erzwingt eine fortlaufende Prüfung der Geräte-Compliance. Das Framework setzt dies folgendermaßen um:
- Bewertung des Gerätezustands: Geräte werden geprüft, bevor sie Zugriff auf Anwendungen erhalten
- Erneute Prüfung der Geräteintegrität: Die Geräteintegrität wird im Rahmen von Richtlinienprüfungen erneut bestätigt
- Auslösen von bedingtem Zugriff: Ändert sich der Gerätezustand, werden erforderliche Einschränkungen erkannt und gemeldet
- Protokollierung der Attestierungsergebnisse: Aufzeichnungen, die für Audit-Prüfungen und Analytics genutzt werden
Device Attestation im großen Maßstab betreiben
Wenn ein Unternehmen Device-Attestation-Modelle einführt, um eine robuste Endpunkt-Sicherheit zu gewährleisten, sollte es:
- Klare Anforderungen an die Geräteintegrität definieren: Legen Sie Richtlinien fest, die die Anforderungen Ihres Unternehmens standardisieren, wenn Sie die Parameter der Geräteintegrität bestimmen.
- Geräte nach Risikokategorien segmentieren: Unternehmen sollten zudem ein festes Verfahren haben, um Geräte nach Risikostufen zu gruppieren. So lässt sich sicherstellen, dass die Sicherheitskontrollen für jede Kategorie passend angewendet werden.
- Attestierungsergebnisse in die Zugriffskontrollen einfließen lassen: Liegen die Ergebnisse der Attestierung vor, können Unternehmen sie in ihre Zugriffskontrollsysteme integrieren. So erhalten beispielsweise nur Geräte Zugriff auf Ressourcen, die die Prüfungen bestehen, während alle anderen blockiert werden.
- Workflows zur Behebung fehlgeschlagener Prüfungen etablieren: Unternehmen können außerdem einen automatisierten Ablauf einrichten, der Benutzer:innen anleitet, wenn ihre Geräte eine Prüfung nicht bestehen.
- Die Entwicklung der Attestierungsergebnisse überwachen: Behalten Sie die Muster der Attestierung über alle Geräteflotten hinweg kontinuierlich im Blick, um aufkommende Risiken zu erkennen.
Das gilt es in plattformübergreifenden Umgebungen zu beachten
Android setzt auf hardwaregestützte Attestierung, die in sicheren Schlüsseln verankert ist. Andere Plattformen setzen ähnliche Konzepte jedoch anders um.
- Apple-Geräte nutzen Secure Enclave und Attestierungsmechanismen der Plattform
- Windows-Geräte verwenden TPM-basierte Attestierung und Signale zum Gerätezustand
Wenn Ihr Unternehmen gemischte Geräteflotten verwaltet, sollten Sie:
- Die Anforderungen an die Attestierung plattformübergreifend angleichen
- Vertrauensstufen und Schwellenwerte für die Durchsetzung standardisieren
- Plattformspezifische blinde Flecken vermeiden
- Das Verhalten der Attestierung für Compliance-Prüfungen dokumentieren
Integration mit NinjaOne
Die Fernwartung und -Verwaltung (RMM) von NinjaOne unterstützt Sie dabei, Device Attestation zu optimieren, indem sie die Authentizität von Geräten verifiziert, Integritätsprüfungen durchführt und die Einhaltung von Compliance-Vorgaben sicherstellt.
Darum ist Device Attestation für die Endpunkt-Sicherheit so wichtig
Endpunkte gehören zu den am leichtesten zugänglichen Einstiegspunkten für Angreifer:innen und sind damit besonders risikoanfällige Assets in einem Unternehmen. Device Attestation hilft, Cyberbedrohungen abzuwehren, die auf die Geräteflotten eines Unternehmens zielen. Dazu werden Vertrauensfaktoren validiert, etwa die Authentizität der Hardware, die Boot-Integrität, der Secure-Boot-Status, die Echtheit des Betriebssystems, der Verschlüsselungszustand des Geräts und das Erkennen von Manipulationen. Diese Prüfungen stellen sicher, dass Geräte authentisch, sicher und Compliance-konform sind, bevor sie Zugriff auf das System erhalten.
Verwandte Themen:
