Kas yra nulinio pasitikėjimo architektūra: ramsčiai, dizainas ir geriausia praktika

Informatec Digital » Ištekliai » Kas yra nulinio pasitikėjimo architektūra: ramsčiai, dizainas ir geriausia praktika

Pastaraisiais metais terminas „nulinis pasitikėjimas“ persmelkė visus pokalbius apie kibernetinį saugumą ir ne tik dėl vaizdo: jis reaguoja į realų poreikį apsaugoti hibridines ir paskirstytas aplinkas, kuriose numanomas pasitikėjimas nebėra priimtinas. Pagrindinė idėja yra paprasta pasakyti, bet sunkiai įgyvendinama: „niekada nepasitikėk, visada tikrink“.

Šis metodas transformuoja tinklo saugumą, visiškai neįtraukdamas išankstinio pasitikėjimo kaip prieigos kriterijaus. Užuot darius prielaidą, kad tai, kas yra „viduje“, yra saugu, „Zero Trust“ reikalauja patikrinti kiekvieną užklausą, kiekvieną įrenginį ir kiekvieną ryšį. Tai apsaugo nuo šoninio judėjimo, sumažina atakos paviršių ir įgalina detalų 7 sluoksnio prieigos valdymą, kuris nuolat tikrina srautą ir kontekstą.

Kas yra „Zero Trust“ architektūra ir kodėl ji atsirado?

Nulinis pasitikėjimas – tai strategija, pagal kurią saugumo kontrolės priemonės taikomos konkretiems ištekliams, o ne monolitiniam perimetrui apsaugoti. Johnas Kindervagas, tuomet dirbęs „Forrester“, išpopuliarino šią koncepciją, parodydamas, kad numanomas pasitikėjimas tinkle yra pažeidžiamumas , kurį užpuolikai gali išnaudoti, kad perkeltų duomenis į išorę ir juos išfiltruotų.

Skaitmeninė transformacija sugriovė tradicines ribas: šiandien duomenų centrai, viešieji ir privatūs debesys, SaaS, mobilumas, daiktų internetas/OT ir nuotolinė prieiga darbuotojams bei partneriams egzistuoja kartu. Ši mozaika padidina pažeidžiamumą, jei ir toliau manysime, kad „vidinis“ saugumas yra savaime patikimas , nes vienas pažeistas prieigos taškas gali atverti duris į visą tinklą.

Nulinio pasitikėjimo metodas daro prielaidą, kad kiekviena užklausa (iš vartotojo, įrenginio ar paslaugos) yra potencialiai rizikinga. Todėl kiekvienai prieigai prie kiekvieno ištekliaus reikalingas autentifikavimas, autorizavimas ir konteksto įvertinimas, užkertant kelią klasikinei laisvei „peršokus“ už ribos. Ir taip, tam reikalinga techninė ir kultūrinė disciplina.

Apsauginis paviršius, mikroperimetras ir 7 sluoksnis

Svarbiausias elementas yra „apsaugos paviršiaus“ nustatymas: vertingiausios organizacijos duomenų, išteklių, programų ir paslaugų sistemos (DAAS). Sutelkiant dėmesį į šį valdomą ir aiškiai apibrėžtą paviršių, pasiekiama veiksminga ir išmatuojama kontrolė, nebandant aprėpti viso atakos paviršiaus.

Apibrėžus saugomą teritoriją, kitas žingsnis – suprasti ją supančius srautus: kas prie jos prisijungia, iš kokių įrenginių, kur teka srautas ir kokios yra priklausomybės. Šis žemėlapis apibrėžia mikroperimetrą, kuris juda kartu su ištekliumi, kad ir kur jis būtų – lokaliai arba debesyje.

Šis mikroperimetras įgyvendinamas naudojant segmentavimo šliuzą (klasikinę naujos kartos užkardą , NGFW) arba integruotą tarpinį serverį, kuris taiko gilų patikrinimą. Politika išreiškiama 7 sluoksnyje ir atitinka Kiplingo metodą: kas, ką, kada, kur, kodėl ir kaip gauna prieigą. Šis detalumo lygis, orientuotas į programas ir turinį, yra tai, kas leidžia naudoti nulinį pasitikėjimą.

Įdiegus politiką, užduotis nėra baigta: ją reikia stebėti, koreguoti ir tobulinti. Nuolatinis stebėjimas atskleidžia naujas priklausomybes ir leidžia patikslinti taisykles, kad būtų išvengta informacijos nutekėjimo ir sumažintas klaidingų teigiamų rezultatų skaičius , netrikdant verslo operacijų.

Pagrindiniai šiuolaikinės nulinio pasitikėjimo architektūros elementai

Tvirta slenksčio zona (ZTA) yra ne tik produktas; tai suderintų pajėgumų derinys. Štai įprasti elementai, kurie, gerai suderinti, įgyvendina strategiją :

Tapatybės ir prieigos valdymas (IAM)

Tapatybė yra naujas perimetras. MFA, SSO ir vaidmenimis arba atributais pagrįsta prieigos kontrolė yra būtini norint patikrinti, kas yra kas ir ką jie gali daryti. MFA įdiegimas sumažina piktnaudžiavimą kredencialais, o SSO pagerina naudotojo patirtį neprarandant saugumo.

Tinklo segmentavimas ir mikrosegmentavimas

Tinklo padalijimas į izoliuotus domenus riboja horizontalų judėjimą ir leidžia taikyti konkrečias politikas pagal zonas. Svarbiausi segmentai gauna griežčiau kontroliuojamą kontrolę, o mažiau jautrios aplinkos įgyja lankstumo, kad nebūtų paveiktas produktyvumas.

Galinių taškų saugumas

Nešiojamieji kompiuteriai, mobilieji telefonai ir planšetiniai kompiuteriai yra dažni prieigos taškai. EDR/XDR valdikliai , šifravimas, būsenos vertinimas ir nuolatiniai atnaujinimai leidžia reikalauti, kad prieiga prie apsaugotų išteklių būtų teikiama tik reikalavimus atitinkantiems įrenginiams.

Duomenų saugumas

Galutinis tikslas – duomenų saugumas: prieigos kontrolė, ištisinis šifravimas ir maskavimas, taip pat DLP politika, skirta užkirsti kelią duomenų nutekėjimui. Šios priemonės padeda užtikrinti atitiktį teisės aktams ir stiprinti klientų bei partnerių pasitikėjimą.

SIEM ir analitika

SIEM sistemos realiuoju laiku kaupia ir koreliuoja įvykius, kad galėtų juos aptikti ir greitai reaguoti. Be to, istorinė analizė nustato modelius ir tendencijas, kad būtų galima nuolat tobulinti kontrolę ir šalinti matomumo spragas.

Dirbtinis intelektas ir automatizavimas

Dirbtinio intelekto / mašininio mokymosi modeliai analizuoja didelius signalų kiekius, kad aptiktų anomalijas ir nustatytų incidentų prioritetus. Automatizavimas pagreitina pasikartojančius reagavimus ir leidžia komandoms sutelkti dėmesį į sudėtingas grėsmes , kurioms spręsti reikia žmogaus sprendimo.

ZTNA arba programinės įrangos apibrėžtas perimetras

„Zero Trust Network Access“ pakeičia plačią VPN prieigą pritaikytais seansais konkrečioms programoms. Ji įvertina kiekvienos užklausos tapatybę ir kontekstą bei sukuria konkrečiu momentu užšifruotus tunelius su nuolatiniu tikrinimu ir stebėjimu.

Kaip įdiegti nulinio pasitikėjimo principą nenumiriant bandymo metu

Nulinio pasitikėjimo sistema nebūtinai turi būti brangi ar traumuojanti. Paprastai ji išnaudoja esamas galimybes, teikiant pirmenybę didelio poveikio naudojimo atvejams ir iteratyviai pritaikant mastą. Penkių žingsnių metodika padeda suplanuoti kelią:

1. Apibrėžkite apsaugos paviršių . Nustatykite išties svarbias DAAS. Pradėkite nuo „karūnos brangakmenio“, iš kurio gausite daugiausia naudos.

2. Nustatyti operacijų srautus . Nubraižyti, kas, iš kur ir kaip programos bei duomenys yra susiję. Šios žinios yra neįkainojamos kuriant veiksmingas politikas.

3. Suprojektuokite architektūrą . Padėkite šliuzus ir valdiklius kuo arčiau apsauginio paviršiaus. Pirmenybę teikite 7 lygmens patikrinimui ir visiškam matomumui.

4. Sukurkite nulinio pasitikėjimo politiką . Naudokite Kiplingo metodą ir mažiausių privilegijų principą. Leidžiate tik tai, kas būtina, tiksliam laikotarpiui ir su aiškiomis sąlygomis.

5. Stebi ir nuolat tobulina . Koreguoja taisykles, įtraukia naujas priklausomybes ir tikrina, ar nėra išgavimo ar prieigos spragų.

Šis ciklas yra iteracinis: jis kartojamas kiekvienam DAAS, kol aprėpiamas pagrindinių išteklių rinkinys. Laipsniška pažanga sumažina riziką ankstyvoje stadijoje ir padeda išvengti „didžiojo sprogimo“ projektų, kurie niekada nesibaigia.

Nuolatinis veikimas: matomumas, registravimas ir šifravimas pagal numatytuosius nustatymus

CISA modelis pabrėžia, kad didelės organizacijos turi numanomą pasitikėjimą ir senąsias sistemas. Norint nutraukti šį modelį, reikia investicijų, rėmimo ir, svarbiausia, praktinių duomenų, kuriais remiantis būtų galima priimti sprendimus.

Nuolatinis stebėjimas, kurį įgalina SIEM ir galinių įrenginių, tinklų ir debesų telemetrija, yra būtinas. Žurnalai turi būti kontekstiniai (tapatybė, įrenginys, išteklius, laikas ir vieta), kad būtų galima efektyviai atlikti auditą ir aptikimą.

Mažiausių privilegijų prieiga ir įrenginio padėties patikrinimas užbaigia vaizdą. Politikos neatitinkantis galinis taškas tiesiog neleidžiamas, taškas , užtikrinant saugumo higieną be jokių klausimų.

Nulinio pasitikėjimo geriausia praktika, suderinta su CISA

Nuolatinių įpročių laikymasis leidžia laikui bėgant išlaikyti nulinio pasitikėjimo principą. Ši praktika, įkvėpta CISA sistemos, yra geras brandos kontrolinis sąrašas :

• Patikrinkite ir autentifikuokite kiekvieną kartą prisijungus : tapatybė, teisės ir įrenginio būklė tikrinami nuolat, o ne tik kartą per dieną.

• Galvos valdoma mikrosegmentacija : sumažina šoninį judėjimą neapkraunant tinklo; naudoja SDN, rytų/vakarų šifravimą ir „just-in-time“ perimetrus.

• Nuolatinis stebėjimas ir aptikimas : išmokite įprastą elgesį ir įspėkite apie anomalijas naudodami dirbtinio intelekto palaikymą.

• Kontekstinis ir audituojamas įrašas : fiksuoja kas, ką, kada ir iš kur; tai būtina atitikčiai ir teismo ekspertizei.

• Numatytasis šifravimas : apsaugo tiek perduodamus, tiek saugomus duomenis; stebi netipinę prieigą.

• Mažiausia privilegija : suteikia tik tai, kas būtina, ir atšaukia, kai pasikeičia kontekstas arba užduotis atliekama.

• Įrenginio patikimumas : užtikrinkite tinkamumo reikalavimų (pataisų, EDR, šifravimo) laikymąsi ir patikrinkite juos kiekvieno seanso metu.

• Tvirtas programų prieigos valdymas : ypač SaaS ir debesijos sistemose; tik programos su patvirtintomis prieigos pozicijomis.

• ZTNA yra geriau nei platus VPN : savalaikė prieiga prie konkrečių išteklių su nuolatiniu patikrinimu; atsisveikinimas su „nemokamu“ tinklu.

• Galinių įrenginių valdymas : atitiktis yra nederybų objektas; nėra saugumo profilio – nėra prieigos.

• Mokymai ir kultūra : paaiškinkite priežastis, sumažinkite trintį ir įtraukite sąjungininkus iš verslo ir IT sričių.

Įvertinkite „Zero Trust“ platformas ir teikėjus

Renkantis platformą svarbu ne logotipas, o tai, kiek ji atitinka jūsų riziką ir veiklą. Prieš pasirašant bet ką, patartina atsižvelgti į šiuos kriterijus :

• Į modelį turi būti įtraukta išsami subjektų aprėptis : žmonės, programos, debesys, daiktų internetas / operacinė sistema ir partneriai.

• Paslaugų teikėjo finansinis pajėgumas : stabilumas, leidžiantis sklandžiai plėtoti paslaugą.

• Patikrinta patirtis : realūs atvejai jūsų sektoriuje ir jūsų dydžio srityje, patvirtinantys efektyvumą.

• Mastelio keitimas ir bendras našumas : mažas delsos laikas, didelis prieinamumas ir buvimas bet kurioje jūsų veiklos vietoje.

• Atsparumas netikėtumams : naudojimo pikams, gedimams ir naujoms grėsmėms be paslaugų teikimo sutrikimų.

• Integruotas dirbtinis intelektas : greitesnis ir tikslesnis anomalijų aptikimas, politikos vykdymas ir sprendimų priėmimas.

Naudojimo atvejai ir apčiuopiama nauda

Hibridinėse darbo aplinkose saugi prieiga prie įmonės programų yra būtina. Centralizuotas autentifikavimas sumažina pažeidžiamumą, supaprastina prieigą ir pagerina atsekamumą , kas prie ko prisijungia.

Tinklo prieigos kontrolė (NAC) padeda patikrinti, ar įrenginiai atitinka saugumo reikalavimus prieš prijungiant. Jei įrenginys neatitinka patikros, jis izoliuojamas arba prieiga uždrausta , taip užkertant kelią pažeidžiamam galiniam taškui kelti pavojų likusiam tinklui.

Mikrosegmentacija taiko mažiausių privilegijų principą programos ir duomenų lygmeniu: prieiga suteikiama tik tiems, kuriems jos reikia, ir tik tiek laiko, kiek būtina. Leidimų atšaukimo automatizavimas sumažina vidinio piktnaudžiavimo ar pakartotinai panaudotų prisijungimo duomenų riziką.

Klientams teikiamose internetinėse paslaugose „Zero Trust“ yra privalumas. Daugiafunkcinis autentifikavimas (MFA), nuolatinis tikrinimas ir kontekstu pagrįsta kontrolė apsaugo slaptus sandorius nepaversdami patirties kančia.

„Visų ryšių nutraukimas“ naudojant internetinį tarpinį serverį leidžia atlikti patikrinimą realiuoju laiku prieš perduodant srautą į paskirties vietą. Jei pasikeičia kontekstas arba baigiasi seanso skirtasis laikas, tapatybė iš naujo patvirtinama arba seansas nutraukiamas, siekiant užkirsti kelią užgrobimui ir klastojimui.

7-ojo sluoksnio politika ir Kiplingo metodas: praktikos taisyklės

Nulinio pasitikėjimo magija materializuojasi programų lygmenyje, kur suprantamas turinys, tapatybė ir ketinimas. Ten tampa įmanoma užduoti ir atsakyti į klausimus „kas“, „ką“, „kada“, „kur“, „kodėl“ ir „kaip“ kiekviename prieigos sprendime.

Gerai apibrėžtos politikos sumažina operacinę naštą: mažiau taisyklių, pagrįstų IP adresais ir prievadais, ir daugiau taisyklių, orientuotų į naudotojus, įrenginius, programas ir duomenis. Šis paradigmos pokytis sumažina ilgalaikį sudėtingumą ir pagerina saugumą, nes jis atitinka verslo veiklos principus.

Kaina, sudėtingumas ir kaip išvengti kliūčių

Susidaro įspūdis, kad „Zero Trust“ yra brangus ir sudėtingas sprendimas. Praktiškai daugelis organizacijų pakartotinai naudoja savo IAM, NGFW, EDR, SIEM ir debesijos sprendimus , etapais pridėdamos ZTNA ir tikslindamos politikas.

Norint tai atrakinti, geriausia pradėti nuo mažų dalykų (labai svarbus DAAS), išmatuoti rezultatus ir plėsti veiklą. Ankstyvieji sėkmės atvejai įtikina rėmėjus ir sumažina pasipriešinimą pokyčiams , įskaitant ir tuos, kurie bijo didesnės trinties.

Nepersistenkite: pernelyg griežta kontrolė stumia šešėlinę IT į pražūtį. Saugumo ir naudojimo patogumo subalansavimas, kontroliuojamos išimtys ir aiški komunikacija yra labai svarbus norint išvengti pavojingų trumpesnių kelių.

Tapatybė ir įgaliojimai: subtilus ryšys

Atakos, pagrįstos įgaliojimais, išlieka įprastos; rinkos tyrimai dokumentavo nuolatinį neteisėtą jų naudojimą net ir naudojant „patikimus“ modelius. „Zero Trust“ tikslas nėra padaryti sistemą „patikimą “, o veikiau pašalinti numanomą pasitikėjimą iš lygties.

Paslapčių rotacija, adaptyvus daugiafaktorinis autentifikavimas (MFA), anomalinio elgesio aptikimas ir griežta privilegijuotų paskyrų kontrolė yra gyvybiškai svarbūs. Jei tapatybė yra naujas perimetras, kredencialų higiena yra pirmoji gynybos linija.

Nulinis pasitikėjimas debesies ir kelių debesų įkėlimams

Darbo krūviai juda tarp vietinių, viešųjų, privačių ir hibridinių debesų, todėl šis dinamiškumas reikalauja išsamaus matomumo. Segmentavimo šliuzai ir jutikliai kiekvienoje aplinkoje tikrina šiaurės/pietų ir rytų/vakarų srautą, kad sumažintų grėsmes ir užtikrintų minimalią prieigą.

Politikos koordinavimas skirtingose ​​platformose padeda išvengti spragų ir dubliavimo. Nuosekli kontrolė, nepriklausomai nuo apkrovos vietos , supaprastina auditus ir pagreitina diegimą.

Pasaulinėse situacijose svarbus našumas: mažas delsos laikas ir didelis prieinamumas, siekiant išvengti naudotojo nuobaudų. Paskirstyta architektūra, esanti arti vartojimo vietos, lemia, ar saugumas yra naudingas, ar ignoruojamas.

Nulinio pasitikėjimo sistema prisitaiko prie verslo pulso, o ne atvirkščiai. Nuolatinis tikrinimas, prasmingas segmentavimas ir darbas su duomenimis leidžia gerokai pagerinti saugumo būklę nesumažinant produktyvumo.

Susijęs straipsnis:

Išsamus geriausių ugniasienių vadovas: atvirojo kodo, komercinės ir virtualios