Czym jest architektura typu „Zero Trust”?
Zero-trust to model bezpieczeństwa typu „zakładane naruszenie” stworzony dla architektów rozwiązań cyberbezpieczeństwa, integratorów systemów i zespołów DevOps w celu zintegrowania podstawowych możliwości w zakresie cyberbezpieczeństwa we wszechobecnym środowisku IT, które wzmacnia planowanie i podejmowanie decyzji w zakresie cyberbezpieczeństwa.
Wcześniej: ufanie wszystkim wewnątrz sieci
Historycznie, organizacje wykorzystywały model „zamku i fosy” do zapewnienia bezpieczeństwa sieci. Wszyscy użytkownicy i urządzenia znajdujące się wewnątrz sieci były domyślnie zaufane, co oznaczało, że nie wymagały uwierzytelnienia przed uzyskaniem dostępu do zasobów organizacyjnych. Jedynie użytkownicy i urządzenia znajdujące się poza obwodem sieci były zobowiązane do uwierzytelnienia. Było to logiczne rozwiązanie w sytuacji, gdy praktycznie wszyscy pracownicy i urządzenia znajdowały się w obrębie budynku biurowego, zapewniając wyraźnie zdefiniowany obwód sieci.
Jeszcze przed pandemią COVID-19 chmura obliczeniowa i mobilność naruszały koncepcję „obwodu sieci”. Następstwa pandemicznych nakazów lockdownów zniszczyły ją całkowicie. Aby umożliwić pracę wszystkim swoim pracownikom rozpoczynającym pracę zdalną, organizacje były zmuszone przyspieszyć swoje plany cyfrowej transformacji o miesiące lub lata. Firmy szybko migrowały do środowisk opartych na chmurze (najczęściej wielochmurowych lub hybrydowych), aby ich pracownicy mogli uzyskać dostęp do zasobów pracy z dowolnego miejsca. Oznaczało to, że liczba punktów końcowych, stron internetowych, systemów, baz danych i aplikacji wymagających uwierzytelniania i pełnego szyfrowania zwielokrotniła się wykładniczo.
Administratorzy IT próbowali wcisnąć różne rozwiązania zbudowane dla jednorodnych infrastruktur na miejscu do heterogenicznych środowisk opartych na chmurze, ale nie udało im się osiągnąć kompleksowej widoczności, bezpieczeństwa i kontroli sieci i punktów końcowych. Model „zamku i fosy” rozpadł się, a cyberataki nasiliły się, gdy osoby atakujące wykorzystały niewystarczające zabezpieczenia organizacji.
Obecnie: nie ufać nikomu
W przeciwieństwie do modelu „zamku i fosy”, architektura typu „zero-trust” nie ufa żadnym użytkownikom ani urządzeniom, niezależnie od tego, gdzie się znajdują. W środowisku typu „zero-trust” wszyscy użytkownicy i urządzenia muszą zostać uwierzytelnieni, zanim uzyskają dostęp do zasobów organizacyjnych. Zamiast opierać się na tym, gdzie są użytkownicy, architektura typu „zero-trust” zmusza ich do udowodnienia, kim są.
Prawidłowo wdrożony dostęp do sieci typu „zero-trust” zapewnia administratorom IT pełną widoczność wszystkich użytkowników, systemów i urządzeń. Ludzie, aplikacje i usługi mogą się bezpiecznie komunikować, nawet w różnych środowiskach sieciowych. Nie ma znaczenia, czy użytkownicy łączą się z domu, hotelu, kawiarni lub lotniska, a nawet czy używają własnych urządzeń. Administratorzy widzą dokładnie, kto i skąd łączy się z siecią oraz do czego uzyskuje dostęp, a użytkownicy nie mogą się do niej dostać, dopóki nie udowodnią, że są tymi, za których się podają.
Trzy zasady przewodnie tworzą rdzeń zabezpieczeń typu „zero-trust”:
Założenie naruszenia.
Każdy człowiek lub urządzenie może być potencjalnie narażone na niebezpieczeństwo, nawet jeśli łączy się z wnętrza biura, dlatego druga zasada przewodnia to…
Jednoznaczna weryfikacja.
Wszyscy ludzie i urządzenia muszą udowodnić, że są tym, za kogo się podają, zanim uzyskają dostęp do zasobów sieciowych. A to nie wszystko…
Zapewnienie najmniejszych uprawnień.
Nawet po jednoznacznym zweryfikowaniu użytkownika, powinien on mieć tylko minimalny dostęp do sieci, jaki jest mu potrzebny do wykonywania pracy i ani trochę więcej.
6 filarów zabezpieczeń typu „zero-trust”
Microsoft zaleca zaplanowanie wdrożenia architektury typu „zero-trust” wokół następujących sześciu filarów, z których wszystkie muszą zostać ocenione, a następnie odpowiednio zaktualizowane lub zastąpione3.
Tożsamość
W modelu typu „zero-trust” każdy użytkownik, zarówno człowiek, jak i urządzenie, musi posiadać unikalną tożsamość cyfrową. Za każdym razem, gdy ta tożsamość żąda dostępu do zasobu, system musi ją zweryfikować za pomocą silnego uwierzytelnienia, wspartego analizą behawioralną, aby upewnić się, że żądanie dostępu nie jest dla tego użytkownika anomalne. Po uwierzytelnieniu tożsamości dostęp do sieci musi być zgodny z zasadą najmniejszych uprawnień.
Aby to osiągnąć, upewnij się, że wszyscy użytkownicy używają silnych, unikatowych haseł do każdego konta i włączają uwierzytelnianie wieloskładnikowe (MFA) wszędzie tam, gdzie jest ono obsługiwane. Ponadto należy wdrożyć rozwiązania do wykrywania w czasie rzeczywistym, automatycznego naprawiania i połączonej analizy, aby monitorować zagrożenia dla kont i reagować na potencjalne problemy.
Punkty końcowe
Dostęp do danych powinny mieć tylko zgodne i zaufane aplikacje i urządzenia. Zanim zezwolisz pracownikom na dostęp do firmowych aplikacji na urządzeniach mobilnych, wymagaj od nich, aby zapisali swoje urządzenia w systemie zarządzania urządzeniami mobilnymi (MDM) i poddali je weryfikacji pod kątem ogólnej kondycji i zgodności z firmowymi zasadami bezpieczeństwa. Rozwiązania MDM dają również administratorom wgląd w stan urządzeń i ich zgodność oraz możliwość egzekwowania zasad i kontroli bezpieczeństwa, takich jak blokowanie kopiowania/wklejania lub pobierania/transferu.
W dzisiejszych środowiskach opartych na chmurze dane znajdują się wszędzie i wszędzie muszą być zarządzane. Wiąże się to ze ścisłą kontrolą i ograniczeniem dostępu do danych zgodnie z zasadami najmniejszych uprawnień oraz zapewnieniem, że dane są szyfrowane zarówno w stanie spoczynku, jak i w trakcie przesyłania.
Dane
W dzisiejszych środowiskach opartych na chmurze dane znajdują się wszędzie i wszędzie muszą być zarządzane. Wiąże się to ze ścisłą kontrolą i ograniczeniem dostępu do danych zgodnie z zasadami najmniejszych uprawnień oraz zapewnieniem, że dane są szyfrowane zarówno w stanie spoczynku, jak i w trakcie przesyłania.
Aplikacje
Dostęp do aplikacji i uprawnienia muszą być kontrolowane i ograniczane równie rygorystycznie jak w przypadku danych. Należy blokować dostęp do aplikacji, monitorować ich użycie pod kątem anomalii i stosować kontrolę dostępu opartą na rolach (RBAC), aby upewnić się, że uprawnienia użytkowników w aplikacji są odpowiednie i zgodne z zasadami najmniejszych uprawnień.
Infrastruktura
Zarządzanie uprawnieniami zarówno dla infrastruktury lokalnej, jak i chmurowych maszyn wirtualnych, kontenerów i mikroserwisów może być wyzwaniem. Zautomatyzuj jak najwięcej procesów. Korzystaj z dostępu just-in-time (JIT), aby wzmocnić obronę, a także wdróż analizy bezpieczeństwa, aby wykrywać anomalie i ataki oraz automatycznie blokować i oznaczać ryzykowne zachowanie w celu dalszego zbadania i naprawy.
Sieć
Wprowadź segmentację sieci w celu uniemożliwienia atakującym się osobom przemieszczania się na boki i uzyskiwania dostępu do wrażliwych zasobów. Wykorzystaj zabezpieczenia sieciowe „w rurze” w celu zwiększenia widoczności, w tym narzędzia do ochrony przed zagrożeniami w czasie rzeczywistym, pełne szyfrowanie, monitorowanie i analizy.
Najlepsze praktyki wdrażania architektury typu „zero-trust”
Jednym z największych wyzwań związanych z wdrażaniem architektury typu „zero-trust” jest wiedza, od czego zacząć. Taka architektura ma wiele ruchomych części i nie ma uniwersalnych standardów jej wdrożenia. Poniżej przedstawiamy kilka najlepszych praktyk dotyczących planowania drogi do architektury typu „zero-trust” w Twojej organizacji.
Uświadom sobie, że środowisko typu „zero-trust” to długoterminowe zobowiązanie, a nie jednorazowa poprawka.
Wraz z rozwojem technologii, przepływów pracy i środowiska zagrożeń, zmianie ulega również architektura typu „zero-trust”.
Upewnij się, że masz zgodę kierownictwa wyższego szczebla.
Środowisko typu „zero-trust” wymaga nastawienia typu „wszystko albo nic” i zdecydowanego zaangażowania wszystkich szczebli kierownictwa i zespołów. Wsparcie ze strony kierownictwa wyższego szczebla było często wymieniane przez specjalistów CRA, podczas gdy brak wsparcia był główną przeszkodą podawaną przez organizacje, które nadal zmagają się z przyjęciem architektury typu „zero-trust”4.
Zacznij od małych rzeczy.
Aby uniknąć zakłóceń w działalności biznesowej, NIST zaleca rozpoczęcie wdrażania architektury typu „zero-trust” od migracji zasobów biznesowych o niskim ryzyku, a następnie przejście do bardziej krytycznych zasobów po zdobyciu przez zespół większego doświadczenia z tym rozwiązaniem5.
W razie wątpliwości skup się na zarządzaniu tożsamością i dostępem.
Wśród specjalistów CRA w zakresie architektury typu „zero-trust”, zarządzanie tożsamością i dostępem (IAM) było najczęściej wdrażanym elementem tej architektury, przy czym 86% z nich zastosowało strategie typu „zero-trust” w swoich procesach i kontrolach IAM6.
Najlepsze praktyki w zakresie wyboru rozwiązań typu „zero-trust”
Niektórzy nazywają architekturę typu „zero-trust” paradygmatem, inni filozofią, środowiskiem, modelem lub nawet ruchem. Niezależnie od tego, jak się go nazywa, wniosek jest taki, że celem końcowym architektury typu „zero-trust” nie jest wdrożenie konkretnych produktów, ale osiągnięcie pożądanych rezultatów. Pod tym względem architektura typu „zero-trust” jest dla cyberbezpieczeństwa tym, czym DevOps dla rozwoju oprogramowania: fundamentalną zmianą w podejściu organizacji do bezpieczeństwa.
Na rynku istnieje wiele rozwiązań zgodnych z architekturą typu „zero-trust”, ale nie wszystkie z nich są odpowiednie dla konkretnego środowiska danych i potrzeb biznesowych. NIST7 zaleca, aby przy wyborze narzędzi typu „zero-trust” wziąć pod uwagę następujące kwestie:
Czy rozwiązanie wymaga, aby komponenty były instalowane na zasobach klienta?
Rozwiązania po stronie klienta mogą ograniczać procesy biznesowe i zmniejszać wydajność. Tworzą one również dodatkowe koszty administracyjne dla zespołu IT.
Czy rozwiązanie sprawdza się w przypadkach, gdy zasoby procesów biznesowych istnieją w siedzibie firmy?
Niektóre rozwiązania zakładają, że żądane zasoby znajdują się w chmurze (tzw. ruch północ-południe), a nie w obrębie przedsiębiorstwa (ruch wschód-zachód). Stanowi to problem w środowiskach chmury hybrydowej, gdzie starsze aplikacje biznesowe, które wykonują krytyczne funkcje, mogą być uruchamiane w siedzibie firmy, ponieważ migracja do chmury jest niewykonalna.
Czy rozwiązanie zapewnia możliwość rejestrowania interakcji do analizy?
Decyzje o dostępie typu „zero-trust” w dużej mierze zależą od zbierania i wykorzystywania danych związanych z przepływem procesów, zwłaszcza w przypadku kont dostępu uprzywilejowanego.
Czy rozwiązanie zapewnia szerokie wsparcie dla różnych aplikacji, usług i protokołów?
Niektóre rozwiązania mogą obsługiwać szeroki zakres protokołów (SSH, internetowe itp.) i transportów (IPv4 i IPv6), ale inne mogą działać tylko z Internetem lub pocztą elektroniczną.
Czy rozwiązanie wymaga zmian w zachowaniu użytkowników?
Niektóre rozwiązania mogą wymagać dodatkowych kroków do wykonania danego przepływu pracy, co może wymagać od Twojej organizacji wprowadzenia zmian w istniejących przepływach pracy.
Jak Keeper może pomóc Twojej organizacji w przyjęciu architektury typu „zero-trust”
Pakiet cyberzabezpieczeń Keeper typu „zero-trust” i „zero-knowledge” umożliwia organizacjom przyjęcie zdalnego dostępu typu „zero-trust” dla ich rozproszonych pracowników, z silnym uwierzytelnianiem oraz szczegółową widocznością i kontrolą. Poprzez ujednolicenie zarządzania hasłami przedsiębiorstwa (EPM), zarządzania wpisami tajnymi (SM) i zarządzania połączeniami uprzywilejowanymi (PCM), Keeper zapewnia administratorom IT i zespołom ds. bezpieczeństwa wszechobecny, pojedynczy panel do śledzenia, rejestrowania, monitorowania i zabezpieczania każdego użytkownika na każdym urządzeniu z każdej lokalizacji, podczas gdy prowadzą oni interakcję ze wszystkimi dozwolonymi witrynami, systemami i aplikacjami.
- Platforma zarządzania hasłami przedsiębiorstwa Keeper Enterprise Password Management zapewnia organizacjom pełną widoczność i kontrolę nad praktykami dotyczącymi haseł pracowników, które są niezbędne do skutecznego wdrożenia modelu zabezpieczeń typu „zero-trust”. Administratorzy IT mogą monitorować i kontrolować użycie haseł w całej organizacji oraz egzekwować polityki i kontrole bezpieczeństwa, takie jak MFA, RBAC i dostęp na zasadzie najmniejszych uprawnień.
- Keeper Secrets Manager zapewnia zespołom DevOps, bezpieczeństwa IT i rozwoju oprogramowania opartą na chmurze platformę do zarządzania wszystkimi wpisami tajnymi infrastruktury, od kluczy SSH i API po hasła do baz danych i poświadczenia RDP. Wszystkie serwery, potoki CI/CD, środowiska programistyczne i kod źródłowy pobierają wpisy tajne z bezpiecznego punktu końcowego API. Każdy wpis tajny jest szyfrowany 256-bitowym kluczem AES, a następnie ponownie szyfrowany kolejnym kluczem AES-256 aplikacji. Urządzenie klienckie pobiera zaszyfrowane dane z chmury Keeper, a wpisy tajne są odszyfrowywane lokalnie na urządzeniu, a nie na serwerze.
- Keeper Connection Manager jest bramą pulpitu zdalnego bez agentów, która zapewnia zespołom DevOps i IT bezproblemowy dostęp sieciowy typu „zero-trust” do punktów końcowych RDP, SSH, baz danych i Kubernetes za pośrednictwem przeglądarki internetowej. Wszyscy użytkownicy i urządzenia muszą przejść silne uwierzytelnianie przed uzyskaniem pozwolenia na dostęp do zasobów organizacyjnych.
