Jak zasada Zero-Trust zwiększa bezpieczeństwo haseł?

Zaktualizowano 10 lutego 2023 r.

Bezpieczeństwo haseł ma kluczowe znaczenie dla zapobiegania cyberatakom. Ważne jest znalezienie menedżera haseł z zastosowanym modelem bezpieczeństwa typu zero-trust w celu ograniczenia ryzyka naruszenia danych na zaatakowanych kontach użytkowników.

Oto zestawienie ramowych zasad bezpieczeństwa oraz krótki opis tego, jak Keeper pomaga spełnić wymagania dotyczące zgodności typu zero-trust

Czym jest model bezpieczeństwa typu zero-trust?

Zero-trust to ramy cyberbezpieczeństwa, które zakładają, że żaden użytkownik ani aplikacja nie powinny być domyślnie zaufane. Zero zaufania zakłada, że każdy użytkownik i urządzenie mogą zostać zhakowane i nie ufa automatycznie użytkownikom ani urządzeniom w sieci danej organizacji. Każda osoba lub urządzenie musi zostać zweryfikowane przed uzyskaniem dostępu do sieci.

Jak podejście zero-trust zwiększa bezpieczeństwo haseł

Bezpieczeństwo haseł ma fundamentalne znaczenie w modelu zero -trust.

Według raportu ForgeRock Consumer Identity Report z roku 2022 liczba cyberataków dotyczących nazw użytkowników i haseł wzrosła o 35% w roku poprzednim, co doprowadziło do ponad dwóch miliardów naruszeń danych tylko w Stanach Zjednoczonych. 50% zgłoszonych naruszeń stanowiły przypadku uzyskania nieautoryzowanego dostępu.

Zabezpieczenie loginów pracowników za pomocą menedżera haseł jest krokiem w kierunku wdrożenia modelu zero-trust, który może zapobiegać cyberatakom i ograniczać ich skutki. Zero-trust jest odpowiedzią na główną przyczynę cyberataków – słabe hasła i skradzione dane uwierzytelniające. W Stanach Zjednoczonych w latach 2020–2022 średnie koszty związane z naruszeniem danych wzrosły o 16% do 9,5 mln USD, co czyni USA najdroższym krajem na świecie, jeśli chodzi o odzyskanie danych po ich naruszeniu. Wdrażając rozwiązanie zero-trust, firmy mogą chronić swoje dane poufne i zaoszczędzić pieniądze w dłuższej perspektywie.

Znaczenie zasady zero-trust

Wdrożenie architektury zero-trust zwiększa zgodność z przepisami i zapobiega cyberatakom spowodowanym zhakowaniem kont użytkowników oraz kradzieżą urządzeń. Organizacje mogą zapobiegać cyberatakom, podejmując niezbędne kroki w celu weryfikacji każdego użytkownika i urządzenia przed zezwoleniem na dostęp do sieci.

Według raportu Zero-Trust Adoption Report firmy Microsoft 96% osób decyzyjnych w zakresie bezpieczeństwa twierdzi, że zasada zero-trust ma kluczowe znaczenie dla sukcesu ich organizacji. Model ten w ostatnich latach cieszył się niesłabnącą popularnością. Dlaczego firmy decydują się na rozwiązanie zero-trust:

• Zwiększenie bezpieczeństwa i elastyczności w zakresie zgodności
• Szybkość wykrywania cyberzagrożeń i ograniczania ich skutków
• Prostota i dostępność wyników analitycznych dotyczących bezpieczeństwa

Jakie są główne zasady modelu zero-trust?

Rozwiązanie zero-trust musi obejmować kilka funkcji, aby było skuteczne.

1. Monitorowanie i walidacja

„Kontrola podstawą zaufania” to popularne wyrażenie używane do opisania zabezpieczeń typu zero-trust. Model zero-trust zakłada, że stan naruszenia istnieje cały czas i nie można ufać nikomu i niczemu, co sprawia, że monitorowanie i weryfikacja trwają bez przerwy. Aby model działał, konieczne jest regularne rejestrowanie aktywności i rejestrowanie wszelkich podejrzanych lub złośliwych działań.

Ciągłe monitorowanie systemów i wdrażanie odpowiednich narzędzi ułatwia administratorom IT i ds. bezpieczeństwa rozpoznanie różnicy pomiędzy między legalnym logowaniem pracownika a naruszonym kontem.

2. Zasada niezbędnych minimalnych uprawnień (PoLP);

Dostęp na zasadzie niezbędnych minimalnych uprawnień (PoLP) jest najlepszą praktyką w zakresie cyberbezpieczeństwa, zwłaszcza podczas konfigurowania uprzywilejowanego dostępu do poufnych informacji i danych. Zgodnie z tą zasadą administratorzy ograniczają dostęp i uprawnienia użytkowników do minimalnych poziomów wymaganych do wykonywania ich funkcji.

Na przykład firma może udostępniać dostęp do określonych dysków i informacji tylko wybranym zespołom. Zgodnie z zasadą niezbędnych minimalnych uprawnień:

• Zespół księgowy będzie miał dostęp do sprawozdań finansowych firmy
• Zespół marketingowy będzie miał dane logowania do kont firmowych w mediach społecznościowych
• Zespół ds. zasobów ludzkich będzie miał dostęp do plików i danych osobowych pracowników

Zamiast zapewniać każdemu pracownikowi pełny dostęp do sieci organizacji, każdy pracownik ma dostęp tylko do tego, co jest mu niezbędne. Jeśli konto danego pracownika zostanie zhakowane, cyberprzestępca będzie mógł uzyskać dostęp tylko do tego, do czego ten konkretny użytkownik ma dostęp.

3. Uwierzytelnianie wieloskładnikowe (MFA);

Uwierzytelnianie wieloskładnikowe (MFA) jest praktyką uwierzytelniania, w której użytkownik otrzymuje dostęp do stron internetowych, aplikacji i usług dopiero po podaniu co najmniej jednego dodatkowego czynnika weryfikacji w celu sprawdzenia jego tożsamości. Oprócz zalogowania się właściciel konta może być zobowiązany do:

• użycia aplikacji uwierzytelniającej na zarejestrowanym urządzeniu mobilnym, aby potwierdzić logowanie
• przesłania 6-cyfrowego kodu, który został dostarczony na adres e-mail lub SMS-em
• odpowiedzi na osobiste pytania bezpieczeństwa specyficzne dla użytkownika

Kluczowe filary zasady zero-trust i podejście rozwiązania Keeper

Pięć filarów zasady zero- trust to: identyfikacja, urządzenie, sieć/środowisko, obciążenie aplikacyjne i dane. Oto jak Keeper traktuje każdy z nich:

1. Filar tożsamości

Keeper’s solution supports the identity pillar with a zero-knowledge authentication and authorization model. Identities can be entirely managed within Keeper. Our platform is capable of full integration into any existing zero-trust identity provider. Keeper’s security model supports several advanced authentication methods, including continuous validation at the vault, device and record level and real-time machine learning analysis.

2. Filar urządzeń

W tym zakresie rozwiązanie Keeper zapewnia stałe monitorowanie bezpieczeństwa urządzenia, kontrolę dostępu opartą na urządzeniu oraz walidację i dostęp do danych. Keeper współpracuje z istniejącymi narzędziami do zarządzania urządzeniami, takimi jak zasady warunkowego dostępu Azure. Informacje przechowywane na naszej platformie są szyfrowane i deszyfrowane lokalnie na poziomie urządzenia. Na poziomie urządzenia do ochrony danych i obsługi modelu zero-trust wykorzystywana jest technologia szyfrowania krzywych eliptycznych (EC).

3. Filar sieci/środowiska

Jeśli chodzi o ten filar, rozwiązanie Keeper całkowicie wspiera go dzięki rozproszonym mikroregmentom wejścia/wyjścia, ochronie przed zagrożeniami opartej na uczeniu maszynowym, szyfrowaniu zero-knowledge i kontroli dostępu na poziomie rekordu. Informacje są szyfrowane w spoczynku przy użyciu 256-bitowego szyfrowania na poziomie rekordów AES i szyfrowania EC na poziomie urządzenia. Komunikacja sieciowa między Keeper Vault na urządzeniu a chmurą Keeper jest chroniona za pomocą TLS 1.3 oraz dodatkowymi warstwami szyfrowania na poziomie transmisji w celu ochrony przed kilkoma wektorami ataków, takimi jak ataki Man in the Middle (MITM), ataki siłowe i wyliczanie.

4. Filar obciążenia aplikacji

Rozwiązanie Keeper optymalizuje tę sferę, gdzie dostęp jest stale autoryzowany i gdzie istnieje silna integracja z procesami w aplikacji. Domyślnie dostęp do Keepera jest możliwy przez Internet bez połączenia VPN. Administratorzy mogą zarządzać dostępnością ról użytkowników za pomocą zasad kontroli dostępu.

Zaawansowane funkcje modułu raportowania i alertów Keeper (ARAM) zapewniają agencjom dane telemetryczne obejmujące setki typów zdarzeń, które mogą wysyłać alerty w czasie rzeczywistym lub wykonywać inne działania oparte w odpowiedzi na zagrożenie.

5. Filar danych

Tutaj Keeper korzysta z szyfrowania danych w oparciu o technologię zero-knowledge. Zero-knowledge to model zapewniający najwyższy poziom prywatności i bezpieczeństwa. Szyfrowanie i deszyfrowanie odbywa się na urządzeniu każdego użytkownika. Łączy ze sobą 256-bitową kryptografię AES i kryptografię krzywych eliptycznych, dzięki czemu Keeper gwarantuje, że informacje naszych użytkowników są bezpieczne na każdym poziomie. Odwiedź naszą stronę z materiałami, aby poznać nasz pełny model szyfrowania.

Jak Keeper obsługuje szyfrowanie zero-knowledge i zero-trust

Keeper to menedżer haseł typu zero-knowledge i zero-trust, menedżer wpisów tajnych, menedżer uprzywilejowanego dostępu i brama pulpitu zdalnego. Wszystkie informacje przechowywane w Keeperze są dostępne tylko dla użytkownika końcowego. Nasza platforma zapewnia całkowitą kontrolę nad praktykami w zakresie haseł pracowniczych. Administratorzy IT mogą kontrolować użycie haseł w organizacji i stosować kontrole dostępu oparte na rolach.

W przypadku wpisów tajnych firmy izastosowanie ma Keeper Secrets Manager — oparte na chmurze rozwiązanie typu zero-trust i zero-knowledge do zabezpieczania wpisów tajnych firmy, takich jak:

• klucze interfejsu API
• hasła do baz danych
• klucze dostępu
• certyfikaty
• wszelkie inne rodzaje danych poufnych

Keeper Connection Manager zapewnia zespołom DevOps i IT natychmiastowy dostęp typu zero-trust do infrastruktury firmy. Ta brama pulpitu zdalnego bez agentów może być zainstalowana w dowolnym środowisku lokalnym lub w chmurze. Organizacje wybierają Keeper Connection Manager ze względu na:

• łatwy w obsłudze i intuicyjny interfejs
• sprawna obsługa klienta
• szybka i płynna instalacja

KeeperPAM to rozwiązanie do zarządzania uprzywilejowanym dostępem (PAM) nowej generacji, które obejmuje zarządzanie hasłami przedsiębiorstwa, wpisami tajnymi i uprzywilejowanym dostępem w ramach ujednoliconej platformy opartej na chmurze typu zero-knowledge i zero-trust.