Czym jest Zero Trust?

Zero Trust (ZT) to infrastrukturalne podejście i cel bezpieczeństwa sieci zakładający, że żadna transakcja, jednostka i tożsamość nie są godne zaufania, dopóki nie zostaną zweryfikowane i jeśli ten stan nie będzie się utrzymywał. Strategie ZT kontrastują z wcześniej stosowanym poglądem, według którego sieć jest bezpieczna, chyba że systemy zabezpieczające zidentyfikują naruszenie zabezpieczeń.

Zabezpieczenia wykraczające poza sieć obwodową

Cyfryzacja przedsiębiorstw znacznie przyspieszyła w ostatniej dekadzie. Teraz korzystają one z architektury chmurowej, kolejnych modeli pracy zdalnej, z rozwiązań jako usług i innych nowości. Zespoły ds. bezpieczeństwa odpowiednio skalowały zabezpieczenia sieci, często wzmacniając ochronę poprzez jej podział na mniejsze strefy.

Ta strategia stworzyła jednak więcej okazji dla atakujących. Gdy uzyskają oni dostęp do danych logowania użytkownika, mogą penetrować sieć i rozprzestrzeniać ransomware, dodając uprawnienia.

Uwierzytelnianie wieloskładnikowe (MFA) podniosło efektywność poświadczeń, ale dodało tylko jedną warstwę uwierzytelniania. Gdy hakerzy dostaną się do systemu, mają stały dostęp, dopóki ich on nie wyloguje lub jeśli nie wylogują się sami.

Nowe modele pracy, w tym możliwość przynoszenia własnych urządzeń (BYOD), praca zdalna i architektura chmurowa, wprowadziły nowy zestaw luk w zabezpieczeniach. Jednak nawet nowe, silniejsze zabezpieczenia cybernetyczne zapewniające większą widoczność na obwodzie sieci przedsiębiorstwa poza nim stają się ślepe.

Model zabezpieczeń Zero Trust

Podejście ZT do cyberbezpieczeństwa odwraca stary model o 180 stopni. Cyberbezpieczeństwo nie jest już definiowane przez segmenty sieci ani w granicach sieci przedsiębiorstwa. Zaufania nie zapewnia przynależność połączenia lub zasobu do przedsiębiorstwa lub użytkownika. Nie zdobywa się go też na podstawie lokalizacji fizycznej czy sieciowej – w Internecie lub sieci LAN.

Zamiast tego ZT skupia się na poszczególnych zasobach, użytkownikach i aktywach, przy czym nie ma znaczenia, do kogo należą ani gdzie się znajdują. Uwierzytelnianie jest wykonywane indywidualnie dla zasobu przedsiębiorstwa, zanim użytkownik uzyska dostęp.

Ostatecznym celem jest zerowe zaufanie dla dowolnego elementu sieciowego do chwili, gdy zostanie zweryfikowany.

Standardy Zero Trust

Odpowiedź na pytanie o certyfikaty i standardy Zero Trust zawiera się w krótkim stwierdzeniu – nie ma żadnych. National Institute of Standards and Technology (NIST) założony w 1901 r. i będący obecnie częścią Departamentu Handlu Stanów Zjednoczonych zapewnia informacje na temat technologii, miar i standardów w USA. Jego celem jest zwiększenie konkurencyjności technologii.

NIST tworzy standardy praktyk telekomunikacyjnych, technologicznych i cyberbezpieczeństwa. Grupa nie opracowała jeszcze standardów ani certyfikatów na potrzeby Zero Trust, ale przygotowała specjalną publikację, w której omówiono cele architektury ZT.

Jej streszczenie zawiera następujący opis Zero Trust: „Zero Trust to termin określający ewoluujący zestaw modeli zabezpieczeń, które przenoszą ochronę ze statycznych obwodów sieci na użytkowników, zasoby i aktywa”. Podejście Zero Trust zostało dokładnie opisane w dalszej części dokumentu.

Problemy z Zero Trust

W świecie zabezpieczeń cybernetycznych występują pewne problemy związane z definicją ZT. Niektórzy dostawcy wykorzystują to zamieszanie, aby sprzedawać produkty z oznaczeniem ZT. Osoby niedoinformowane mogą to źle zrozumieć i myśleć, że ZT zależy od konkretnych produktów.

ZT nie wiąże się z konkretnymi produktami, chociaż nowe i starsze produkty mogą stać się elementami konstrukcyjnymi architektury ZT. ZT to rewolucyjne podejście do cyberbezpieczeństwa. Jest częścią tego, w jaki sposób organizacje i pracownicy obecnie łączą się oraz współpracują ze sobą.

Kierunek Zero Trust

Jeśli przedsiębiorstwo buduje infrastrukturę od podstaw, zidentyfikowanie podstawowych procesów i komponentów oraz tworzenie czystej architektury ZT jest możliwe, a może nawet prostsze. W miarę zmian w firmie i infrastrukturze rozwój nadal może być długoterminowo zgodny z zasadami ZT.

W praktyce większość implementacji ZT będzie procesem długotrwałym. Organizacje będą przez pewien czas utrzymywać równowagę między ZT a zabezpieczeniami obwodowymi, stopniowo wprowadzając inicjatywy modernizacyjne.

Ustanowienie pełnej infrastruktury ZT prawdopodobnie zajmie kilka lat i będzie się wiązało z wieloma osobnymi projektami, które będą musiały zostać zrealizowane, zanim uda się osiągnąć poziom Zero Trust. W ZT nie ma nic nagłego. Chodzi tu o ciągłe implementowanie i egzekwowanie strategii ZT w czasie z uwzględnieniem przyszłych zmian biznesowych i infrastrukturalnych.

Opracowanie planu przed podjęciem działań może rozbić proces na mniejsze części, a z czasem pomóc w wykazaniu pozytywnych wyników. Rozpoczęcie od gruntownego skatalogowania obiektów zmian, procesów biznesowych, kierunków ruchu i map zależności przygotowuje do obsługi docelowych obiektów, aktywów i procesów biznesowych.

Zasady Zero Trust

Architektura ZT to cel i podejście, których wdrożenie wymaga czasu i uwagi. Nie jest to jednorazowa instalacja, którą można przeprowadzić, aby zaraz potem przejść do następnej. To filozofia bezpieczeństwa cybernetycznego opierająca się na czterech głównych zasadach. Dana zasada może zależeć od konkretnej techniki zabezpieczeń, np. MFA w przypadku tożsamości, ale technika może się z czasem zmienić.

U podstaw podejścia ZT leżą trzy podstawowe funkcje.

  • Stan – w zabezpieczeniach obwodowych sprzed ZT weryfikacja tożsamości, rzadkość występowania, czarno-biały bezpieczny lub nie. Podejście ZT oznacza ocenę tożsamości, urządzeń, aplikacji i wykorzystania danych pod kątem możliwych i poważnych zagrożeń. Stan jest jakościowy i daje obraz całości.
  • Ocena ciągła – podejście ZT polega na ciągłej ocenie wszystkich transakcji. Poprzednie podejście obejmujące kontrolę wstępu do sieci (network admission contol – NAC) było korzystne do pewnego stopnia, ale stanowiło tylko jeden punkt kontrolny, sprawdzana była tylko niewielka liczba kryteriów, po czym przyznawano dostęp. W architekturze ZT każda próba uzyskania dostępu stanowi jednocześnie punkt kontrolny.
  • Kompromis założeń – zespoły centrów bezpieczeństwa (SOC) często działają na zasadzie „zweryfikuj, a później ufaj”. Zakłada się, że wszystko jest w porządku, dopóki system bezpieczeństwa nie zgłosi zagrożenia. ZT rozpoczyna się od założenia, że nic nie jest bezpieczne i niczego nie można kontynuować, jeśli nie zostało sprawdzone.

Droga do Zero Trust

ZT należy wdrażać progresywnie i stale egzekwować. Nie jest to całkowita wymiana ani jednorazowe wdrożenie, które będzie funkcjonować przez cały okres eksploatacji sieci. To wieloletni i obejmujący liczne projekty proces przyrostowy, który wiąże się z wieloma aspektami sieci i będzie wymagał ciągłej oceny, ponieważ sposoby pracy, technologie i zagrożenia się zmieniają.

Sposób wdrożenia podejścia ZT przez daną organizację zależy od jej działalności operacyjnej. Warto zacząć od aktywów o najwyższej wartości.

Droga do ZT obejmuje cztery komponenty:

  • Zarządzanie tożsamością i dostępem (IAM) – użytkownicy chcą jednokrotnego logowania, a administratorzy – skonsolidowanego zarządzania użytkownikami. Aby projekt IAM zakończył się powodzeniem, musi równoważyć potrzebę bezpieczeństwa organizacji z dostępnością, łatwością obsługi i ekonomicznością. Zaczyna się od zmapowania użytkowników i zasobów, do których potrzebują oni dostępu, następnie dodawane jest MFA, jeśli ochrona poufności zasobu jest szczególnie istotna.
  • Zarządzanie uprzywilejowanym dostępem (PAM) – w przypadku najbardziej poufnych zasobów narzędzie PAM, takie jak CyberArk, BeyondTrust lub Thycotic, wprowadza dodatkowy poziom ochrony. Powoduje to podniesienie bezpieczeństwa i zwiększenie widoczności.
  • Hasła – zasady dotyczące haseł z czasem się zmieniają, a NIST niedawno opublikował nowe wytyczne. Na podstawie własnych analiz zaleca długie hasła zawierające znane użytkownikowi wyrazy zamiast grup losowych znaków, które trudno zapamiętać. Dodatkowo atakujący potrafią szybko wykorzystać uzyskane hasła, a według opinii NIST zmiana haseł co 90 dni nie obniża ryzyka, w przeciwieństwie do uwierzytelniania wieloskładnikowego (MFA).
  • Stałe monitorowanienależy zdefiniować zasady dostępu organizacji, np. zależne od czasu, żądań nowych zasobów, modyfikacji zasobów lub anomalii. Uwierzytelnianie i autoryzacja muszą być ściśle egzekwowane przed przyznaniem dostępu.

Powiązane badania

Dokument na temat podejścia Zero Trust