Kiến trúc Zero Trust là gì: trụ cột, thiết kế và các phương pháp hay nhất

Informatec Digital » Recursos » Kiến trúc Zero Trust là gì: trụ cột, thiết kế và các phương pháp hay nhất

Trong những năm gần đây, thuật ngữ Zero Trust đã len lỏi vào mọi cuộc thảo luận về an ninh mạng, và không chỉ là hình thức: nó đáp ứng nhu cầu thực sự về bảo vệ môi trường lai và phân tán, nơi mà sự tin tưởng ngầm không còn được chấp nhận. Ý tưởng cốt lõi rất dễ nói nhưng khó thực hiện: "không bao giờ tin tưởng, luôn luôn xác minh".

Phương pháp này chuyển đổi an ninh mạng bằng cách loại bỏ hoàn toàn tiêu chí tin tưởng trước đó như một tiêu chí truy cập. Thay vì giả định rằng những gì "bên trong" là an toàn, Zero Trust yêu cầu xác minh mọi yêu cầu, mọi thiết bị và mọi kết nối. Điều này ngăn chặn sự di chuyển ngang, giảm bề mặt tấn công và cho phép kiểm soát truy cập lớp 7 chi tiết , liên tục kiểm tra lưu lượng và ngữ cảnh.

Kiến trúc Zero Trust là gì và tại sao nó lại xuất hiện?

Zero Trust là một chiến lược đặt các biện pháp kiểm soát an ninh xung quanh các tài nguyên cụ thể thay vì bảo vệ một hệ thống mạng tổng thể. John Kindervag, khi đó làm việc tại Forrester, đã phổ biến khái niệm này bằng cách chứng minh rằng sự tin tưởng ngầm trong mạng là một lỗ hổng mà kẻ tấn công có thể khai thác để di chuyển ngang và đánh cắp dữ liệu.

Chuyển đổi số đã phá vỡ ranh giới truyền thống: ngày nay, trung tâm dữ liệu, đám mây công cộng và tư nhân, SaaS, di động, IoT/OT và truy cập từ xa cho nhân viên và đối tác đều cùng tồn tại. Bức tranh khảm này làm tăng thêm các lỗ hổng nếu chúng ta tiếp tục cho rằng bảo mật "nội bộ" vốn dĩ đáng tin cậy , bởi vì chỉ cần một điểm truy cập bị xâm phạm cũng có thể mở ra cánh cửa cho toàn bộ mạng lưới.

Phương pháp Zero Trust giả định rằng mọi yêu cầu (từ người dùng, thiết bị hoặc dịch vụ) đều tiềm ẩn rủi ro. Do đó, nó yêu cầu xác thực, ủy quyền và đánh giá ngữ cảnh cho mọi truy cập vào mọi tài nguyên , ngăn chặn tình trạng xâm nhập tự do sau khi "vượt qua" ranh giới bảo mật. Và đúng vậy, nó đòi hỏi kỷ luật về mặt kỹ thuật và văn hóa.

Bề mặt bảo vệ, vi chu vi và lớp 7

Yếu tố nền tảng là xác định "bề mặt bảo vệ": các DAAS (dữ liệu, tài sản, ứng dụng và dịch vụ) có giá trị nhất đối với tổ chức. Bằng cách tập trung vào bề mặt dễ quản lý và được xác định rõ ràng này, việc kiểm soát hiệu quả và có thể đo lường được sẽ đạt được mà không cần cố gắng bao phủ toàn bộ bề mặt tấn công.

Sau khi xác định khu vực được bảo vệ, bước tiếp theo là hiểu các luồng xung quanh khu vực đó: ai truy cập, từ thiết bị nào, lưu lượng truy cập đi về đâu và có những mối liên hệ phụ thuộc nào. Bản đồ này xác định một vùng vi mô di chuyển cùng với tài nguyên, bất kể nó được đặt ở đâu, dù là cục bộ hay trên đám mây.

Vành đai vi mô này được triển khai bằng cổng phân đoạn ( tường lửa thế hệ tiếp theo cổ điển , NGFW) hoặc proxy nội tuyến thực hiện kiểm tra sâu. Chính sách được thể hiện ở Lớp 7 và tuân theo phương pháp Kipling: ai, cái gì, khi nào, ở đâu, tại sao và bằng cách nào truy cập. Mức độ chi tiết này, tập trung vào ứng dụng và nội dung, là điều làm cho mô hình Zero Trust trở nên khả thi.

Sau khi chính sách được triển khai, nhiệm vụ vẫn chưa kết thúc: nó đòi hỏi sự quan sát, điều chỉnh và phát triển. Giám sát liên tục giúp phát hiện các mối phụ thuộc mới và cho phép tinh chỉnh các quy tắc để ngăn chặn rò rỉ dữ liệu và giảm thiểu các cảnh báo sai , mà không làm gián đoạn hoạt động kinh doanh.

Các yếu tố chính của Kiến trúc Zero Trust hiện đại

Một Vùng Ngưỡng (Zone of Threshold - ZTA) mạnh mẽ không chỉ đơn thuần là một sản phẩm; nó là sự kết hợp của các khả năng được phối hợp nhịp nhàng. Đây là những yếu tố thường thấy, khi được phối hợp tốt, sẽ đưa chiến lược đến thành công :

Quản lý danh tính và truy cập (IAM)

Xác thực danh tính là ranh giới mới. Xác thực đa yếu tố (MFA), đăng nhập một lần (SSO) và kiểm soát truy cập dựa trên vai trò hoặc thuộc tính là rất cần thiết để xác minh danh tính và quyền hạn của họ. Triển khai MFA giúp giảm thiểu việc lạm dụng thông tin đăng nhập, còn SSO cải thiện trải nghiệm người dùng mà không làm giảm tính bảo mật.

Phân đoạn mạng và phân đoạn vi mô

Việc chia mạng thành các miền riêng biệt giúp hạn chế sự di chuyển ngang và cho phép áp dụng các chính sách cụ thể theo từng khu vực. Các phân đoạn quan trọng được kiểm soát chặt chẽ hơn, trong khi các môi trường ít nhạy cảm hơn có được sự linh hoạt để tránh ảnh hưởng đến năng suất.

Bảo mật điểm cuối

Máy tính xách tay, điện thoại di động và máy tính bảng là những điểm truy cập thường xuyên. Các biện pháp kiểm soát EDR/XDR , mã hóa, đánh giá trạng thái và cập nhật liên tục cho phép bạn yêu cầu chỉ những thiết bị tuân thủ mới được truy cập vào các tài nguyên được bảo vệ.

Bảo mật dữ liệu

Mục tiêu tối thượng là bảo mật dữ liệu: kiểm soát truy cập, mã hóa đầu cuối và che giấu dữ liệu, cùng với các chính sách DLP để ngăn chặn rò rỉ. Những biện pháp này giúp đảm bảo tuân thủ quy định và củng cố niềm tin của khách hàng và đối tác.

SIEM và phân tích

Hệ thống SIEM tổng hợp và đối chiếu các sự kiện trong thời gian thực để phát hiện và phản hồi nhanh chóng. Hơn nữa, phân tích lịch sử giúp xác định các mô hình và xu hướng để liên tục cải thiện khả năng kiểm soát và khắc phục các lỗ hổng về khả năng hiển thị thông tin.

AI và tự động hóa

Các mô hình AI/ML phân tích lượng lớn tín hiệu để phát hiện các bất thường và ưu tiên xử lý sự cố. Tự động hóa giúp tăng tốc các phản hồi lặp đi lặp lại và cho phép các nhóm tập trung vào các mối đe dọa phức tạp cần đến sự phán đoán của con người.

ZTNA hoặc chu vi được xác định bằng phần mềm

Giao thức truy cập mạng Zero Trust thay thế quyền truy cập VPN thông thường bằng các phiên tùy chỉnh cho các ứng dụng cụ thể. Nó đánh giá danh tính và ngữ cảnh trong mỗi yêu cầu và thiết lập các đường hầm mã hóa tại một thời điểm nhất định với việc xác minh và giám sát liên tục.

Làm thế nào để triển khai Zero Trust mà không thất bại trong quá trình thực hiện

Mô hình Zero Trust không nhất thiết phải tốn kém hay gây khó khăn. Nó thường tận dụng các khả năng hiện có, ưu tiên các trường hợp sử dụng có tác động cao và mở rộng quy mô một cách dần dần. Phương pháp năm bước giúp vạch ra lộ trình:

1. Xác định phạm vi bảo vệ . Xác định các DAAS quan trọng thực sự có ý nghĩa. Bắt đầu với "viên ngọc quý" nơi bạn sẽ nhận được giá trị cao nhất.

2. Xác định luồng giao dịch . Lập bản đồ ai truy cập, từ đâu và các ứng dụng và dữ liệu có mối liên hệ với nhau như thế nào. Kiến thức này vô cùng quan trọng để xây dựng các chính sách hiệu quả.

3. Thiết kế kiến ​​trúc . Đặt các cổng và bộ điều khiển càng gần bề mặt bảo vệ càng tốt. Ưu tiên kiểm tra lớp 7 và khả năng quan sát toàn diện.

4. Hãy xây dựng chính sách Zero Trust . Sử dụng phương pháp Kipling và nguyên tắc đặc quyền tối thiểu. Chỉ cho phép những quyền cần thiết, trong khoảng thời gian chính xác và với các điều kiện rõ ràng.

5. Giám sát và liên tục cải tiến . Điều chỉnh các quy tắc, tích hợp các phụ thuộc mới và xác nhận rằng không có sự rò rỉ dữ liệu hoặc lỗ hổng truy cập.

Chu trình này mang tính lặp đi lặp lại: nó được nhân rộng cho từng hệ thống DAAS cho đến khi bao phủ được toàn bộ các nguồn lực quan trọng. Tiến độ tăng dần giúp giảm thiểu rủi ro ngay từ đầu và tránh các dự án "đột phá" không bao giờ kết thúc.

Hoạt động liên tục: khả năng hiển thị, ghi nhật ký và mã hóa theo mặc định

Mô hình CISA nhấn mạnh rằng các tổ chức lớn thường mang trong mình sự tin tưởng ngầm và các hệ thống cũ. Phá vỡ khuôn mẫu đó đòi hỏi đầu tư, sự hỗ trợ và trên hết là dữ liệu có thể hành động để hướng dẫn các quyết định.

Việc giám sát liên tục, được thực hiện bởi SIEM và hệ thống đo từ xa của các thiết bị đầu cuối, mạng và đám mây, là rất cần thiết. Nhật ký phải có ngữ cảnh (danh tính, thiết bị, tài nguyên, thời gian và vị trí) để cho phép kiểm toán và phát hiện hiệu quả.

Việc cấp quyền tối thiểu và xác minh trạng thái thiết bị hoàn thiện bức tranh tổng thể. Một thiết bị đầu cuối không tuân thủ chính sách đơn giản là không được phép truy cập, chấm hết , đảm bảo an ninh mạng một cách chắc chắn.

Các phương pháp thực hành tốt nhất về Zero Trust phù hợp với CISA

Việc hình thành những thói quen nhất quán cho phép bạn duy trì mô hình Zero Trust lâu dài. Những thực hành này, được lấy cảm hứng từ khuôn khổ CISA, là một danh sách kiểm tra mức độ trưởng thành tốt :

• Xác minh và xác thực mọi thao tác truy cập : danh tính, quyền hạn và tình trạng thiết bị được kiểm tra liên tục, chứ không chỉ một lần mỗi ngày.

• Phân đoạn vi mô dựa trên đầu : giảm chuyển động ngang mà không làm quá tải mạng; sử dụng SDN, mã hóa đông/tây và ranh giới tức thời.

• Giám sát và phát hiện liên tục : học hỏi hành vi bình thường và cảnh báo các bất thường với sự hỗ trợ của trí tuệ nhân tạo.

• Hồ sơ theo ngữ cảnh và có thể kiểm toán : ghi lại ai, cái gì, khi nào và từ đâu; rất cần thiết cho việc tuân thủ quy định và điều tra pháp lý.

• Mã hóa mặc định : bảo vệ cả dữ liệu đang truyền tải và dữ liệu được lưu trữ; giám sát các truy cập bất thường.

• Nguyên tắc quyền hạn tối thiểu : chỉ cấp quyền cần thiết và thu hồi quyền khi bối cảnh thay đổi hoặc nhiệm vụ hoàn thành.

• Độ tin cậy của thiết bị : đảm bảo các yêu cầu về trạng thái hoạt động (vá lỗi, EDR, mã hóa) và kiểm tra chúng trong mỗi phiên.

• Kiểm soát truy cập mạnh mẽ cho ứng dụng : đặc biệt là trong mô hình SaaS và điện toán đám mây; chỉ những ứng dụng có quyền truy cập được phê duyệt mới được phép sử dụng.

• ZTNA tốt hơn một mạng VPN thông thường : truy cập kịp thời vào các tài nguyên cụ thể với xác thực liên tục; tạm biệt mạng "tự do" kiểu cũ.

• Quản lý điểm cuối : tuân thủ là điều không thể thương lượng; không có hồ sơ bảo mật, không có quyền truy cập.

• Đào tạo và văn hóa : giải thích lý do, giảm thiểu xung đột và tạo dựng mối quan hệ hợp tác với các bộ phận kinh doanh và CNTT.

Đánh giá các nền tảng và nhà cung cấp Zero Trust

Việc lựa chọn nền tảng không chỉ đơn thuần là chọn logo; mà còn là chọn nền tảng phù hợp với rủi ro và hoạt động kinh doanh của bạn. Nên cân nhắc các tiêu chí này trước khi ký kết bất kỳ thỏa thuận nào :

• Mô hình cần bao quát toàn diện các thực thể : con người, ứng dụng, điện toán đám mây, IoT/OT và các đối tác.

• Sức mạnh tài chính của nhà cung cấp : sự ổn định để phát triển dịch vụ một cách suôn sẻ.

• Thành tích đã được chứng minh : các trường hợp thực tế trong lĩnh vực và quy mô của bạn chứng minh hiệu quả.

• Khả năng mở rộng và hiệu suất tổng thể : độ trễ thấp, tính khả dụng cao và khả năng hoạt động ở bất cứ đâu.

• Khả năng thích ứng với những tình huống bất ngờ : đáp ứng nhu cầu cao điểm, sự cố và các mối đe dọa mới mà không gây gián đoạn dịch vụ.

• Trí tuệ nhân tạo tích hợp : phát hiện bất thường nhanh hơn và chính xác hơn, thực thi chính sách và ra quyết định hiệu quả hơn.

Các trường hợp sử dụng và lợi ích hữu hình

Trong môi trường làm việc kết hợp, việc truy cập an toàn vào các ứng dụng của công ty là điều thiết yếu. Việc tập trung xác thực giúp giảm thiểu rủi ro, đơn giản hóa việc truy cập và cải thiện khả năng theo dõi ai truy cập vào những gì.

Kiểm soát truy cập mạng (NAC) giúp xác minh rằng các thiết bị đáp ứng các yêu cầu bảo mật trước khi kết nối. Nếu một thiết bị không vượt qua kiểm tra, nó sẽ bị cách ly hoặc bị từ chối truy cập , ngăn chặn điểm cuối dễ bị tổn thương gây nguy hiểm cho phần còn lại của mạng.

Phân vùng vi mô áp dụng nguyên tắc quyền hạn tối thiểu ở cấp độ ứng dụng và dữ liệu: chỉ những người cần mới có quyền truy cập và chỉ trong thời gian cần thiết mới được phép sử dụng. Tự động thu hồi quyền giúp giảm nguy cơ lạm dụng nội bộ hoặc tái sử dụng thông tin đăng nhập.

Trong các dịch vụ trực tuyến hướng đến khách hàng, mô hình Zero Trust là một lợi thế. Xác thực đa yếu tố (MFA), xác minh liên tục và các biện pháp kiểm soát dựa trên ngữ cảnh giúp bảo mật các giao dịch nhạy cảm mà không làm cho trải nghiệm của khách hàng trở nên khó khăn.

Việc "chấm dứt tất cả các kết nối" bằng cách sử dụng proxy trực tuyến cho phép kiểm tra theo thời gian thực trước khi chuyển tiếp lưu lượng truy cập đến đích. Nếu ngữ cảnh thay đổi hoặc thời gian chờ phiên hết hạn, danh tính sẽ được xác thực lại hoặc phiên sẽ bị chấm dứt để ngăn chặn việc chiếm đoạt và giả mạo.

Chính trị lớp 7 và phương pháp Kipling: quy tắc thực hành

Điều kỳ diệu của Zero Trust thể hiện rõ ở lớp ứng dụng, nơi nội dung, danh tính và ý định được hiểu rõ. Tại đó, việc đặt ra và trả lời các câu hỏi ai, cái gì, khi nào, ở đâu, tại sao và như thế nào trong mọi quyết định truy cập trở nên khả thi .

Các chính sách được xác định rõ ràng giúp giảm bớt gánh nặng vận hành: ít quy tắc dựa trên địa chỉ IP và cổng, và nhiều quy tắc hơn tập trung vào người dùng, thiết bị, ứng dụng và dữ liệu. Sự thay đổi mô hình này giúp giảm bớt sự phức tạp về lâu dài và cải thiện bảo mật vì nó phù hợp với cách thức hoạt động của doanh nghiệp.

Chi phí, độ phức tạp và cách tránh các rào cản

Có một quan niệm cho rằng Zero Trust rất tốn kém và phức tạp. Trên thực tế, nhiều tổ chức tái sử dụng các giải pháp IAM, NGFW, EDR, SIEM và điện toán đám mây hiện có , bổ sung Zero Trust Network (ZTNA) và tinh chỉnh các chính sách theo từng giai đoạn.

Để khai thác tối đa tiềm năng, tốt nhất nên bắt đầu từ quy mô nhỏ (một dịch vụ DAAS quan trọng), đo lường kết quả và mở rộng dần. Những thành công ban đầu sẽ thuyết phục các nhà đầu tư và giảm bớt sự phản kháng đối với sự thay đổi , kể cả từ những người dùng lo ngại về sự phức tạp hơn.

Hãy cẩn thận đừng lạm dụng: các biện pháp kiểm soát quá cứng nhắc sẽ đẩy Shadow IT đến bờ vực nguy hiểm. Cân bằng giữa bảo mật và khả năng sử dụng, với các ngoại lệ được kiểm soát và giao tiếp rõ ràng , là chìa khóa để tránh những lối tắt nguy hiểm.

Danh tính và thông tin xác thực: mối liên kết tinh tế

Các cuộc tấn công dựa trên thông tin xác thực vẫn còn phổ biến; nghiên cứu thị trường đã ghi nhận việc sử dụng bất hợp pháp dai dẳng ngay cả với các mô hình "đáng tin cậy". Mô hình Zero Trust không nhằm mục đích làm cho hệ thống "đáng tin cậy ", mà là loại bỏ sự tin tưởng ngầm định khỏi phương trình.

Việc xoay vòng khóa bí mật, xác thực đa yếu tố thích ứng, phát hiện hành vi bất thường và kiểm soát chặt chẽ các tài khoản đặc quyền là vô cùng quan trọng. Nếu danh tính là ranh giới mới, thì việc đảm bảo an toàn thông tin xác thực chính là tuyến phòng thủ đầu tiên.

Zero Trust cho việc tải lên đám mây và đa đám mây

Khối lượng công việc di chuyển giữa các môi trường tại chỗ, đám mây công cộng, đám mây riêng và đám mây lai, và tính năng động này đòi hỏi khả năng giám sát sâu sắc. Các cổng phân đoạn và cảm biến trong mỗi môi trường kiểm tra lưu lượng truy cập theo hướng bắc/nam và đông/tây để giảm thiểu các mối đe dọa và thực thi quyền truy cập tối thiểu.

Việc phối hợp các chính sách trên nhiều nền tảng giúp tránh được những lỗ hổng và sự trùng lặp. Các biện pháp kiểm soát nhất quán, bất kể tải trọng nằm ở đâu , giúp đơn giản hóa việc kiểm toán và đẩy nhanh quá trình triển khai.

Trong bối cảnh toàn cầu, hiệu năng là yếu tố quan trọng: độ trễ thấp và tính khả dụng cao để tránh gây thiệt hại cho người dùng. Kiến trúc phân tán với sự hiện diện gần điểm tiêu thụ tạo nên sự khác biệt giữa bảo mật có thể sử dụng được và bảo mật bị bỏ qua.

Mô hình Zero Trust thích ứng với nhịp độ kinh doanh, chứ không phải ngược lại. Áp dụng xác minh liên tục, phân khúc khách hàng có ý nghĩa và làm việc với dữ liệu cho phép bạn cải thiện đáng kể tư thế bảo mật mà không làm giảm năng suất.