Zero Trust
Zero Networks und Palo Alto Networks erweitern Zero-Trust-Integration auf KI-Agenten
Zero-Touch-Containment und KI-Agenten-Sicherheit
Zero Networks und Palo Alto Networks bauen ihre gemeinsame Sicherheitsarchitektur deutlich aus: Neben automatisierter Mikrosegmentierung und Firewall-Orchestrierung umfasst die Integration künftig auch Zero-Touch-Containment, Traffic-Umleitung und die Kontrolle von KI-Agenten. Damit rückt ein bislang häufig fragmentierter Bereich der Cyberabwehr stärker zusammen – Netzwerksegmentierung, Threat Prevention und KI-Sicherheit lassen sich über gemeinsame Richtlinien verzahnen. Besonders interessant ist dabei der Ansatz, verdächtige Aktivitäten automatisiert einzudämmen, bevor sich Angreifer oder kompromittierte Agenten lateral in der Infrastruktur bewegen können.
Zero Networks erweitert seine Integration mit Palo Alto Networks und verbindet damit die eigene Mikrosegmentierungsplattform enger mit den Sicherheits- und Managementfunktionen des Firewall-Anbieters. Die erweiterte Lösung soll Unternehmen dabei unterstützen, interne Netzwerkkommunikation, Workloads und zunehmend auch KI-Agenten nach dem Least-Privilege-Prinzip zu kontrollieren.
Die bisherige Zusammenarbeit konzentrierte sich vor allem auf automatisierte Asset-Erkennung, dynamisches Tagging und identitätsbasierte Mikrosegmentierung. Der von Zero Networks ermittelte Kontext konnte dabei mit den Dynamic Address Groups von Palo Alto Networks synchronisiert werden. Firewall-Regeln ließen sich dadurch automatisch an Veränderungen bei Geräten und Workloads anpassen.
Vom Segmentieren zum automatisierten Containment
Mit der neuen Ausbaustufe soll die Integration stärker in die aktive Reaktion auf Bedrohungen eingreifen. Zero Networks kann Kommunikationsbeziehungen zwischen Ressourcen kontinuierlich erfassen und auf Basis beobachteter Geschäftsprozesse automatisiert Regeln nach dem Least-Privilege-Prinzip erzeugen.
Dadurch werden Kommunikationspfade geschlossen, die für reguläre Geschäftsprozesse nicht benötigt werden, von Angreifern jedoch für laterale Bewegungen missbraucht werden könnten.
Erkennt die Plattform verdächtige Aktivitäten, lassen sich betroffene Ressourcen isolieren. Gleichzeitig kann ausgewählter Datenverkehr zur tiefergehenden Analyse an die Sicherheitsfunktionen von Palo Alto Networks weitergeleitet werden.
Damit kombiniert der Ansatz zwei Sicherheitsebenen: Zero Networks entscheidet, welche Kommunikation grundsätzlich zulässig ist, während Palo Alto Networks den zugelassenen oder verdächtigen Datenverkehr einer weitergehenden Inhalts- und Bedrohungsanalyse unterziehen kann.
Layer-7-Prüfung für internen Netzwerkverkehr
Ein wesentlicher Bestandteil der Erweiterung ist die Möglichkeit, Datenverkehr geschützter Workloads gezielt zu Firewalls von Palo Alto Networks umzuleiten.
Dadurch lassen sich Layer-7-Sicherheitsmechanismen auch auf interne Verbindungen anwenden, die bislang möglicherweise innerhalb eines Netzwerksegments oder direkt zwischen Workloads verblieben wären.
Gerade vor dem Hintergrund moderner Angriffsmethoden ist das relevant. Nach einer erfolgreichen Kompromittierung versuchen Angreifer häufig, sich innerhalb einer Infrastruktur weiterzubewegen und zusätzliche Systeme oder Identitäten zu übernehmen. Eine Kombination aus Mikrosegmentierung, Traffic Inspection und automatisierter Isolation kann diesen Bewegungsspielraum deutlich reduzieren.
Die Traffic-Umleitung steht zunächst für Linux-Umgebungen zur Verfügung. Weitere Funktionen zur tieferen Prüfung und automatisierten Eindämmung sollen auch Windows-Systeme einbeziehen.
Strata Cloud Manager bündelt Sicherheitsinformationen
Auch das Management der gemeinsamen Umgebung wird enger verzahnt. Von Zero Networks erkannte Ressourcen und zugehörige Segmentierungsrichtlinien können künftig im Strata Cloud Manager von Palo Alto Networks sichtbar gemacht werden.
Security-Teams erhalten damit einen konsolidierten Überblick darüber, welche Assets vorhanden sind, welche Kommunikationsregeln für sie gelten und welche Sicherheitskontrollen den jeweiligen Datenverkehr prüfen.
Dynamisches Tagging soll außerdem verhindern, dass Richtlinien bei Veränderungen der Infrastruktur veralten. Verschieben sich Workloads, ändern sich IP-Adressen oder kommen neue Ressourcen hinzu, können die Sicherheitsrichtlinien automatisch angepasst werden.
Damit verschiebt sich die Segmentierung zunehmend weg von statischen Netzwerkparametern hin zu Identitäten, Rollen und dem tatsächlichen Geschäftskontext einer Ressource.
KI-Agenten werden Teil der Zero-Trust-Architektur
Besonders relevant ist die Erweiterung der Integration auf Enterprise-KI. Zero Networks kombiniert hierfür seine KI-Segmentierungsfunktionen mit Prisma AIRS von Palo Alto Networks.
Der Hintergrund: KI-Agenten greifen zunehmend eigenständig auf Anwendungen, APIs, Datenbanken, Modelle und produktive Systeme zu. Häufig verwenden sie dabei legitime Credentials und verfügen über weitreichende Berechtigungen. Für Sicherheitssysteme wird es dadurch schwieriger, gewünschte Automatisierung von manipuliertem oder kompromittiertem Verhalten zu unterscheiden.
Zero Networks soll KI-Agenten identifizieren und anhand ihrer Identität und ihres vorgesehenen Einsatzzwecks definieren können, mit welchen Systemen sie kommunizieren dürfen. Nicht genehmigte KI-Dienste lassen sich entsprechend blockieren.
Benötigt eine Kommunikation eine zusätzliche Sicherheitsprüfung, kann der betreffende KI-Datenverkehr an Prisma AIRS weitergeleitet werden. Dort können unter anderem Prompts, Antworten und Datenflüsse im Kontext der KI-Nutzung analysiert werden.
Damit entsteht ein zweistufiges Kontrollmodell: Die Netzwerkebene begrenzt, wohin ein KI-Agent gelangen darf, während spezialisierte KI-Sicherheitsmechanismen untersuchen, was innerhalb dieser Kommunikation geschieht.
Zero Trust muss auch für Maschinenidentitäten gelten
Die Erweiterung zeigt eine Entwicklung, die für Zero-Trust-Strategien zunehmend entscheidend wird. Klassische Benutzer und Endgeräte sind längst nicht mehr die einzigen Identitäten, deren Zugriffe kontrolliert werden müssen. Workloads, Service Accounts, APIs und autonome KI-Agenten erzeugen eine wachsende Zahl maschineller Kommunikationsbeziehungen.
Gerade KI-Agenten verschärfen das Problem, weil sie Aufgaben selbstständig durchführen und dafür oft Zugriff auf mehrere Systeme benötigen.
Eine moderne Segmentierungsstrategie muss deshalb nicht nur Netzwerkzonen voneinander trennen. Sie muss dynamisch beantworten können, welche Identität mit welcher Ressource kommunizieren darf – unabhängig davon, ob hinter dieser Identität ein Mensch, eine Anwendung oder ein KI-Agent steht.
Schutz ohne grundlegenden Umbau der Infrastruktur
Nach Angaben der Anbieter lässt sich die gemeinsame Architektur sowohl in lokalen Rechenzentren als auch in Cloud-, Kubernetes-, OT- und hybriden Umgebungen einsetzen.
Unternehmen sollen vorhandene Durchsetzungsmechanismen von Zero Networks und Palo Alto Networks weiterverwenden können, ohne ihre Netzwerkarchitektur grundlegend neu aufzubauen oder Tausende Segmentierungsregeln manuell zu definieren.
Die erweiterte Integration ist verfügbar und umfasst automatisierte Mikrosegmentierung, dynamische Asset-Kennzeichnung, Richtliniensynchronisierung sowie die Umleitung von Linux-Datenverkehr.
Für Unternehmen dürfte jedoch weniger die einzelne Integrationsfunktion entscheidend sein als das zugrunde liegende Modell: Segmentierung, Threat Inspection und KI-Governance wachsen zu einem kontinuierlichen Kontroll- und Durchsetzungsprozess zusammen. Angesichts zunehmend autonom agierender Software und KI-Agenten könnte genau diese Verbindung zu einem wichtigen Baustein zukünftiger Zero-Trust-Architekturen werden.
