Что такое нулевое доверие?
Нулевое доверие – это модель безопасности, исходящая из предположения нарушения и созданная для архитекторов решений в области кибербезопасности, системных интеграторов и команд DevOps для интеграции основных возможностей кибербезопасности во всеобъемлющую ИТ-среду, которая расширяет возможности планирования кибербезопасности и принятия решений.
Ранее: Доверять всем внутри сетевого периметра
Исторически сложилось так, что организации использовали модель «замок и ров» для обеспечения сетевой безопасности. Всем пользователям и оборудованию, находящимся внутри периметра сети, по умолчанию доверяли, а это означало, что им не нужно было проходить аутентификацию перед доступом к ресурсам организации. Аутентификацию требовалось проходить только пользователям и устройствам, расположенным за периметром сети. Это была логично, когда практически все сотрудники и оборудование находились в пределах офисного здания, что обеспечивало четко определенный сетевой периметр.
Еще до пандемии COVID-19 облачные вычисления и мобильность подрывали концепцию «сетевого периметра». Последствия распоряжений о карантине в связи с пандемией полностью уничтожили ее. Чтобы обеспечить всех своих сотрудников, перешедших на дистанционную работу, организации были вынуждены ускорить свои планы цифровой трансформации на месяцы или годы. Предприятия быстро перешли на облачные среды (чаще всего мультиоблачные или гибридные), чтобы их сотрудники могли получать доступ к рабочим ресурсам из любого места. Это означало, что количество конечных точек, веб-сайтов, систем, баз данных и приложений, для которых требуется аутентификация и сквозное шифрование, стало расти в геометрической прогрессии.
ИТ-администраторы пытались втиснуть разрозненные решения, созданные для однородных локальных инфраструктур, в разнородные облачные среды, но не смогли добиться полной видимости, безопасности и контроля над сетями и конечными точками. Модель «замок и ров» рухнула, а число кибератак резко возросло, поскольку злоумышленники стали пользоваться недостаточной защитой организаций.
Теперь: Не доверять никому
В отличие от модели «замок и ров», в концепции нулевого доверия изначально нет доверия никаким пользователям или устройствам, независимо от того, где они находятся. В среде с нулевым доверием все пользователи и устройства должны пройти аутентификацию, прежде чем они смогут получить доступ к ресурсам организации. Вместо того, чтобы полагаться на то, где находятся пользователи, нулевое доверие вынуждает их доказывать, кто они.
При правильной реализации доступ к сети с нулевым доверием предоставляет ИТ-администраторам полную информацию обо всех пользователях, системах и устройствах. Люди, приложения и службы могут безопасно взаимодействовать даже через сетевые среды. Неважно, подключаются ли пользователи из своих домов, отелей, кафе или аэропортов или даже используют свои собственные устройства. Администраторы могут точно видеть, кто подключается к сети, откуда и к чему они обращаются, а пользователи вообще не могут войти, пока они не докажут, что являются теми, за кого себя выдают.
В основе безопасности с нулевым доверием лежат три руководящих принципа:
Предполагать взлом.
Любой человек или устройство потенциально могут быть скомпрометированы, даже если они подключаются из офиса, поэтому второй руководящий принцип гласит:
Проверять явно.
Все люди и машины должны доказывать, что они являются теми, за кого себя выдают, прежде чем они смогут получить доступ к сетевым ресурсам. И это еще не все…
Предоставлять минимальные права.
Даже после того, как пользователь прошел явную верификацию, у него должен быть только минимальный доступ к сети, необходимый для выполнения его работы, и ни на йоту больше.
Шесть столпов безопасности с нулевым доверием
Корпорация Майкрософт рекомендует планировать реализацию нулевого доверия на основе следующих шести основных элементов, каждый из которых необходимо оценить, а затем соответствующим образом обновить или заменить.3
Идентификация
В модели нулевого доверия каждый пользователь, как человек, так и машина, должен иметь уникальную цифровую идентификацию. Всякий раз, когда пользователь запрашивает доступ к ресурсу, система должна проверить его с помощью строгой аутентификации, подкрепленной поведенческим анализом, чтобы гарантировать, что запрос на доступ не является аномальным для этого пользователя. После проведения идентификации доступ к сети должен осуществляться в соответствии с принципом наименьших привилегий.
Для достижения этого убедитесь, что все ваши пользователи используют надежные уникальные пароли для каждой учетной записи и включают многофакторную аутентификацию (MFA) везде, где она поддерживается. Кроме того, разверните решения обнаружения в реальном времени, автоматического исправления и подключенной аналитики для отслеживания компрометации учетных записей и реагирования на потенциальные проблемы.
Конечные точки
Доступ к данным должен быть разрешен только совместимым и надежным приложениям и устройствам. Прежде чем разрешить сотрудникам доступ к корпоративным приложениям на мобильных устройствах, попросите их зарегистрировать свои устройства в системе управления мобильными устройствами (MDM) и проверить их на предмет общего состояния и соответствия политикам безопасности компании. Решения MDM также дают администраторам представление о работоспособности и соответствии устройств, а также возможность применять политики и средства управления безопасностью, такие как блокировка копирования/вставки или загрузки/передачи.
Ресурсы_htimzt_0032
Данные
Ресурсы_htimzt_0032
Приложения
Доступ к приложениям и привилегии должны контролироваться и ограничиваться так же строго, как и данные. Контролируйте доступ к приложениям, следите за использованием приложений на предмет аномального поведения и используйте управление доступом на основе ролей (RBAC), чтобы убедиться, что разрешения пользователей в приложении адекватны и соответствуют принципам наименьших привилегий.
Инфраструктура
Управление разрешениями как для локальной инфраструктуры, так и для облачных виртуальных машин, контейнеров и микросервисов может оказаться сложной задачей. Автоматизируйте как можно больше процессов. Используйте доступ «точно в срок» (JIT) для усиления защиты, развертывайте аналитику безопасности для обнаружения аномалий и атак, а также автоматически блокируйте и помечайте рискованное поведение для дальнейшего расследования и исправления.
Сеть
Сегментируйте сети, чтобы злоумышленники не могли перемещаться в горизонтальном направлении и получать доступ к конфиденциальным ресурсам. Используйте встроенные элементы управления сетевой безопасностью для улучшения видимости, включая инструменты для защиты от угроз в режиме реального времени, сквозного шифрования, мониторинга и аналитики.
Рекомендации по развертыванию архитектуры с нулевым доверием
Одна из самых больших проблем при внедрении нулевого доверия — понять, с чего начать, поскольку не существует универсальных стандартов «внедрения нулевого доверия». Вот несколько рекомендаций по планированию перехода вашей организации к нулевому доверию.
Осознайте, что нулевое доверие — это долгосрочная ориентация, а не разовое решение.
По мере того, как меняются технологии, рабочие процессы и среда угроз, меняется и ваша архитектура с нулевым доверием.
Заручитесь поддержкой со стороны высшего руководства.
Для внедрения нулевого доверия требуется установка «все или ничего» и твердая приверженность руководства и команд на всех уровнях. Поддержка со стороны высшего руководства была обычным явлением среди «чемпионов» CRA, тогда как отсутствие поддержки стало главным камнем преткновения, на который ссылались организации, продолжающие бороться с трудностями при внедрении нулевого доверия.4
Начните с малого.
Чтобы избежать сбоев в работе бизнеса, NIST рекомендует начинать развертывание нулевого доверия с переноса бизнес-ресурсов с низким уровнем риска, а затем перейти к более важным ресурсам после того, как ваша команда наберется опыта работы с нулевым доверием.5
В случае сомнений сосредоточьтесь в первую очередь на IAM.
Среди «чемпионов» CRA по нулевому доверию управление идентификацией и доступом (IAM) было наиболее часто внедряемым компонентом нулевого доверия: 86% применили стратегии нулевого доверия к своим процессам и элементам управления IAM.6
Рекомендации по выбору решений с нулевым доверием
Некоторые люди называют нулевое доверие парадигмой, тогда как другие называют это философией, концепцией, моделью или даже движением. Как бы это ни называлось, вывод заключается в том, что конечной целью нулевого доверия является не развертывание конкретных продуктов, а достижение желаемых результатов. В этом отношении нулевое доверие для кибербезопасности — это то же самое, что DevOps для разработки программного обеспечения: фундаментальный сдвиг в том, как организации подходят к безопасности.
На рынке существует множество решений, совместимых с нулевым доверием, но не все из них подходят для вашей конкретной среды данных и бизнес-потребностей. NIST7 рекомендует учитывать следующее при выборе инструментов с нулевым доверием:
Требуется ли для решения, чтобы компоненты были установлены на клиентском устройстве?
Решения на стороне клиента могут ограничивать бизнес-процессы и снижать производительность. Они также порождают дополнительные административные издержки для вашей ИТ-команды.
Работает ли решение в тех случаях, когда ресурсы бизнес-процессов размещены локально?
В некоторых решениях предполагается, что запрошенные ресурсы находятся в облаке (так называемый трафик "север-юг"), а не в пределах периметра организации (трафик "восток-запад"). Это создает проблему в гибридных облачных средах, где устаревшие бизнес-приложения, выполняющие критически важные функции, могут выполняться локально, поскольку их перенос в облако невозможен.
Предоставляет ли решение средства регистрации взаимодействий для анализа?
Решения о доступе с нулевым доверием в значительной степени зависят от сбора и использования данных, связанных с потоком процессов, особенно для учетных записей с привилегированным доступом.
Обеспечивает ли решение широкую поддержку различных приложений, служб и протоколов?
Некоторые решения могут поддерживать широкий спектр протоколов прикладного уровня (SSH, веб и т. д.) и транспортных протоколов (IPv4 и IPv6), а другие могут работать только с веб или электронной почтой.
Требует ли решение изменений в поведении субъекта?
Для некоторых решений могут потребоваться дополнительные шаги для выполнения данного рабочего процесса, что может потребовать от вашей организации внесения изменений в существующие рабочие процессы.
Как Keeper может помочь вашей организации перейти на нулевое доверие
Пакет кибербезопасности Keeper с нулевым доверием и с нулевым разглашением данных позволяет организациям внедрить удаленный доступ с нулевым доверием для своих распределенных сотрудников с надежной аутентификацией и детализированной видимостью и контролем. Объединив управление корпоративными паролями (EPM), управление секретами (SM) и управление привилегированными подключениями (PCM), Keeper предоставляет ИТ-администраторам и специалистам по безопасности всеобъемлющую единую панель для отслеживания, регистрации, мониторинга и защиты каждого пользователя на каждом устройстве из любого места, когда они взаимодействуют со всеми разрешенными сайтами, системами и приложениями.
- Платформа управления корпоративными паролями Keeper предоставляет организациям полную видимость и контроль над использованием паролей сотрудниками, что им необходимо для успешного внедрения модели безопасности с нулевым уровнем доверия. ИТ-администраторы могут отслеживать и контролировать использование паролей во всей организации и применять политики безопасности и средства контроля, такие как MFA, RBAC и доступ с наименьшими привилегиями.
- Keeper Secrets Manager предоставляет командам DevOps, ИТ-безопасности и разработки программного обеспечения облачную платформу для управления всеми секретами вашей инфраструктуры, от ключей SSH и API до паролей баз данных и учетных данных RDP. Все серверы, конвейеры CI/CD, среды разработки и исходный код извлекают секреты из защищенной конечной точки API. Каждый секрет шифруется 256-разрядным ключом AES, а затем снова шифруется другим ключом приложения AES-256. Клиентское устройство извлекает зашифрованный текст из облака Keeper, и секреты расшифровываются локально на устройстве, а не на сервере.
- Keeper Connection Manager – это безагентный шлюз удаленного рабочего стола, который предоставляет специалистам DevOps и ИТ-специалистам простой сетевой доступ с нулевым доверием (ZTNA) к RDP, SSH, базам данных и конечным точкам Kubernetes через веб-браузер. Все пользователи и устройства проходят строгую проверку подлинности, прежде чем им будет разрешен доступ к ресурсам организации.
