Wat is zero-trust?

• IAM-woordenlijst
• Wat is zero-trust?

Zero-trust is een modern beveiligingskader dat impliciet vertrouwen elimineert, vereist dat alle menselijke gebruikers en apparaten doorlopend en expliciet worden gevalideerd en beperkt de toegang tot netwerksystemen en gegevens strikt. In plaats van te concentreren op de locatie waarvandaan gebruikers zich aanmelden, concentreert zero-trust zich op wie deze gebruikers zijn.

Wat zijn de kernprincipes van zero-trust?

Zero-trust is gebaseerd op drie kernprincipes:

1. Ga uit van een lek. Ondanks de beste beveiligingsbescherming, kunnen er uiteindelijk lekken plaatsvinden. Op dit moment kan elke gebruiker in uw netwerk (mens of apparaat) worden gecompromitteerd. Neem maatregelen om de impact te minimaliseren, zoals het segmenteren van netwerken, zorgen voor end-to-end-versleuteling en slimme analyses gebruiken om mogelijke dreigingen te identificeren.

2. Verifieer expliciet. Alle mensen en machines moeten bewijzen dat ze zijn wie ze zeggen dat ze zijn voordat ze toegang krijgen tot het netwerk en alle systemen, plus de daarin opgeslagen apps en data van uw organisatie.

3. Zorg voor minimale privileges. Na aanmelding bij het netwerk moeten gebruikers de minimale hoeveelheid netwerktoegang krijgen die ze nodig hebben om hun werk te doen, en niet meer. Een zero-trust installatie bevat altijd Role-Based Access Controls (RBAC) met toegang met minimale privileges.

Hoe werkt zero-trust beveiliging?

Zero-trust werkt door impliciet vertrouwen te elimineren. Historisch gezien vertrouwden netwerkbeveiligingsmodellen alle gebruikers en apparaten binnen de netwerkperimeter. Dit werkte prima wanneer netwerkonderdelen en gebruikers zich vrijwel exclusief op de locatie bevonden. Maar dankzij de wijdverspreide toepassing van cloudcomputing en (meer recent) thuiswerken, bestaat de 'netwerkperimeter' niet meer. De overgrote meerderheid van organisaties gebruikt nu hybride gegevensomgevingen die zijn samengesteld uit zowel 'privé' clouds op locatie als minimaal één publieke cloud, en gebruikers maken verbinding met organisatorische bronnen vanaf elke mogelijke plek.

Zelfs wanneer gebruikers geauthenticeerd zijn en worden toegestaan op het netwerk, krijgen ze niet de vrije hand - want elke gebruiker kan wel gecompromitteerd zijn. Identiteits- en apparaatverificaie worden uitgevoerd terwijl de gebruiker zich in het netwerk beweegt en elke gebruiker heeft alleen toegang tot de bronnen die hij nodig heeft om zijn werk te doen.

In een zero-trust beveiligingsmodel worden toegang met minimale privileges en RBAC aangevuld door netwerksegmentatie, waaronder 'microsegmentate' van zeer vertrouwelijke gegevens. Het idee is dat hoewel het netwerk als geheel geen perimeter heeft, het moet worden opgedeeld in kleinere segmenten voor specifieke workloads en gegevens, waarbij elk segment eigen in- en uitcontroles heeft. Een praktijkvoorbeeld voor zero-trust microsegmentatie is de scheiding van gereguleerde gegevens, zoals belastinggegevens van een werknemer en beschermde gezondheidsgegevens, van niet-gereguleerde gegevens.

Door de toegangsniveaus van netwerken te beperken, te segmenteren en netwerken te microsegmenteren, plus het aantal gebruikers met privileges strikt te controleren, beperkt zero-trust de mogelijkheid van bedreigers om vertrouwelijke systemen en gegevens te compromitteren.

Wat zijn de voordelen van zero-trust?

Zero-trust heeft een keur aan voordelen, daarom wordt het ook door zo veel organisaties omarmd.

• IT- en beveiligingsbeheerders krijgen inzicht in alle gebruikers, systemen en apparaten in de gegevensomgeving. Ze kunnen zien wie verbinding maakt met het netwerk, vanaf welke locatie en waar ze toegang tot krijgen.
• Aangezien zero-trust mensen, apps en services de mogelijkheid geeft om veiliger te communiceren, zelfs op verschillende netwerken, krijgen gebruikers meer vrijheid en flexibiliteit. Ze kunnen veilig verbinding maken vanuit hun huizen of andere externe locaties, zelfs als ze hun eigen apparaten gebruiken.
• Door gebruikers en apparaten expliciet te verifiëren, verlaagt zero-trust het risico op wachtwoordgerelateerde cyberaanvallen aanzienlijk. Role-Based Access Controls en Privileged Access Management minimaliseren het risico op privé-escalatie in geval van een lek.
• Zero-trust authenticatiemechanismen, op rollen gebaseerde toegangscontroles en netwerksegmentatie/microsegmentatie ondersteunen nalevingsinitiatieven en hebben minder vondsten tot gevolg tijdens nalevingsaudits.

Hoe wordt zero-trust beveiliging geïmplementeerd?

Een van de grootste uitdagingen voor de implementatie van een zero-trust beveiligingsstrategie is dat er geen universele implementatienormen zijn. Veel organisaties gebruiken het proces van zeven stappen zoals uiteengezet in NIST Special Publication 800-207:

1. Identificeer gebruikers

   Dit heeft betrekking op zowel menselijke gebruikers als niet-menselijke identiteiten, zoals service-accounts. NIST merkt op dat geprivilegieerde gebruikers, waaronder IT-beheerders en ontwikkelaars, een speciale behandeling nodig hebben omdat deze gebruikers mogelijk onbeperkte toegang hebben tot digitale bronnen. In een zero-trust framework zouden zelfs geprivilegieerde accounts minimale privileges moeten hebben, en zou de accountactiviteit moeten worden gemonitord en vastgelegd.

2. Identificeer en beheer alle middelen die verbonden zijn met het netwerk

   Alle bronnen die verbinding maken met het organisatorische netwerk identificeren en beheren vormt de sleutel tot een succesvolle zero-trust implementatie. Dit is inclusief:

   • Laptops, mobiele apparaten, IoT-apparaten en andere hardwarematige componenten.
   • Digitale artefacten, zoals apps en digitale certificaten.
   • Apparaten die geen eigendom zijn van de organisatie, maar die wel verbinding kunnen maken met de netwerkinfrastructuur of toegang hebben tot de netwerkbronnen.

   NIST geeft toe dat een volledige inventarisatie van alle hulpmiddelen misschien niet mogelijk is, en daarom moeten organisaties er ook voor zorgen dat ze 'nieuw ontdekte hulpmiddelen in de infrastructuur van de organisatie snel kunnen identificeren, categoriseren en beoordelen'.

   Naast het catalogiseren van hulpmiddelen, bevat deze stap configuratiebeheer en monitoring, aangezien de mogelijkheid om de huidige status van hulpmiddelen onderdeel uitmaakt van het zero-trust authenticatieproces.

3. Identificeer belangrijke processen, beoordeel hun risico's en identificeer zero-trust 'kandidaten'

   Identificeer, rangschik en evalueer de risico's van de bedrijfsprocessen en gegevensstromen van uw organisatie, inclusief hun belang voor de missie van uw organisatie. Hiermee kunt u achterhalen welke processen goede eerste kandidaten zijn voor een zero-trust implementatie. NIST adviseert om te beginnen met processen die afhankelijk zijn van cloudgebaseerde bronnen en/of worden gebruikt door werknemers die op afstand werken, aangezien zij de meest directe beveiligingsverbeteringen genereren.

4. Formuleer zero-trust beleidsregels voor 'kandidaten'

   Dit is een vervolg van stap 3. Na het identificeren van een hulpmiddel of werkstroom om naar zero-trust te migreren, moet u alle upstream- en downstream-bronnen identificeren die het hulpmiddel of de werkstroom gebruiken of beïnvloeden. Hiermee helpt u de eerste zero-trust migratie-'kandidaten' definitief te maken en zorgt u ervoor dat beleidsregels met minimale privileges en andere worden toegepast om maximale beveiliging te krijgen zonder de werkstroom te verstoren.

5. Identificeer en selecteer toolsets/oplossingen

   Er zijn veel zero-trust compatibele oplossingen op de markt, maar ze zijn niet allemaal geschikt voor uw specifieke gegevensomgeving en bedrijfsbehoeften. NIST adviseert om het volgende in overweging te nemen bij het kiezen van zero-trust tools:

   • Moeten er onderdelen worden geïnstalleerd op de client-hulpmiddelen voor de oplossing? Dit zou bedrijfsprocessen kunnen beperken.

   • Werkt de oplossing in gevallen waarbij bedrijfsbronnen op locatie zijn? Sommige oplossingen gaan ervan uit dat de gevraagde bronnen zich in de cloud bevinden (zogenaamd noord-zuid-verkeer) en niet binnen een ondernemingsperimeter (oost-west-verkeer). Dit vormt een probleem in hybride cloudomgevingen, waarbij oude bedrijfsapps die kritieke functies uitoefenen mogelijk op locatie worden uitgevoerd omdat migratie ervan naar de cloud niet haalbaar is.

   • Biedt de oplossing een manier om interacties voor analyse vast te leggen? Zero-trust toegangsbesluiten leunen zwaar op de verzameling en het gebruik van gegevens gerelateerd aan de processtroom.

   • Biedt de oplossing brede ondersteuning voor verschillende apps, services en protocollen? Sommige oplossingen ondersteunen mogelijk een gevarieerd aantal protocollen (SSH, web, etc.) en transportopties (IPv4 en IPv6), maar andere werken mogelijk alleen met web of e-mail.

   • Zijn er wijzigingen aan de bestaande werkstromen nodig voor de oplossing? Sommige oplossingen vereisen mogelijk extra stappen voor een bestaande werkstroom, waardoor de organisatie wijzigingen in de werkstroom zou moeten doorvoeren.

6. Start eerste installatie en monitoring

   NIST adviseert ondernemingen om in eerste instantie zero-trust te implementeren in 'monitoring-modus', zodat IT- en beveiligingsteams ervoor kunnen zorgen dat beleidsregels en processen effectief en haalbaar zijn. Bovendien zijn, zodra de standaard gebruikers- en netwerkactiviteiten zijn opgezet, beveiligingsteams beter in staat om afwijkend gedrag te identificeren.

7. Breid uw zero-trust architectuur uit

   Na de eerste uitrol van zero-trust, is het tijd om de volgende set met kandidaten te migreren. Deze stap is doorlopend; telkens wanneer wijzigingen plaatsvinden in de gegevensomgeving van de organisatie of in de werkstromen, moet de zero-trust architectuur opnieuw worden geëvalueerd en dienovereenkomstig worden aangepast.

Hoe wordt zero-trust beveiliging geïmplementeerd?

Zero-trust en zero-knowledge zijn verschillende, maar elkaar aanvullende concepten. Als het motto van zero-trust 'Vertrouw niemand' is, dan is het motto van zero-knowledge 'We kennen uw gegevens niet omdat we er geen toegang tot hebben'.

Zero-trust zorgt ervoor dat alleen bevoegde gebruikers toegang hebben tot netwerkbronnen en gegevens door gebruikers en apparaten met de juiste attributen en privileges doorlopend te monitoren en valideren.

Zero-knowledge maakt gebruik van een uniek versleutelings- en gegevenssegregatiekader. Dit voorkomt dat IT-serviceproviders kennis hebben van wat er is opgeslagen op hun servers. Keeper is een zero-knowledge beveilgingsprovider, en al onze producten worden gebouwd met een zero-knowledge architectuur. Dit betekent dat:

• Klantgegevens worden versleuteld en ontcijferd op het apparaatniveau (niet op de server).
• De app slaat nooit gegevens in platte tekst opslaat (door mensen leesbaar).
• Keeper's servers ontvangen nooit gegevens in platte tekst en slaan die ook nooit zo op.
• De sleutels om gegevens te versleutelen en ontcijferen worden verkregen via het hoofdwachtwoord van de gebruiker.
• Meerlaagse versleuteling biedt toegangscontrole op gebruikers-, groep- en beheerdersniveau.
• Bij het delen van gegevens wordt openbare sleutelcryptografie gebruikt voor veilige sleuteldistributie.
• Gegevens worden versleuteld op het apparaat van de gebruiker voordat ze worden verzonden en opgeslagen in de digitale kluis van Keeper. Wanneer gegevens worden gesynchroniseerd met een ander apparaat, blijven ze versleuteld totdat ze worden ontcijferd op het andere apparaat.

Zero-knowledge ondersteunt zero-trust door het 'inslagbereik' van een extern gegevenslek te beperken. In het zeer onwaarschijnlijke geval dat Keeper ooit getroffen wordt door een gegevenslek, kunnen de criminelen geen toegang krijgen tot de kluizen van onze klanten, want wij hebben dat niet eens!