Організації все частіше застосовують модель Zero Trust для покращення своєї кібербезпеки та кіберстійкості. У цій статті пояснюється:
- Що таке нульова довіра?
- Ключові переваги та виклики Zero Trust.
- Сім основних принципів впровадження нульової довіри.
Що таке нульова довіра?
Традиційна стратегія кібербезпеки була побудована за структурою периметра: основна увага приділялася запобіганню проникненню зловмисників у мережу. Користувачам, процесам, пристроям та іншим об’єктам в межах периметра, з іншого боку, надавався широкий доступ до ІТ-ресурсів. Вислів «у нас досить плоска мережа» використовувався, щоб описати ситуацію, коли всі всередині периметра могли бачити та мати доступ до всього (або майже всього), та внутрішні межі не були встановлені.
Однак з роками різниця між мережевими та позамережевими об’єктами стає все більш розмитою. На це впливають такі фактори, як віддалена робота, політика використання власних пристроїв (BYOD) та складні ланцюги постачань. Більше того, експертиза інцидентів показала, що зловмисники, які проникають в мережу, викрадаючи або вгадуючи облікові дані законних користувачів, часто переховуються всередині тижнями, місяцями або навіть роками, непомітно просуваючись углиб і розширюючи свої права, поки не отримають доступ до конфіденційних систем або даних. Крім того, самі власники облікових даних можуть завдати шкоди, як навмисно, так і через помилки чи недбалість.
Щоб протистояти цим реаліям, Zero Trust пропонує новий підхід до кібербезпеки, який можна сформулювати так: «Ніколи не довіряй, завжди перевіряй». На практиці нульова довіра містить в собі різноманітні засоби контролю безпеки, в тому числі наступні:
- Повторна автентифікація на основі оцінки ризиків. Жоден користувач, процес або інша ідентичність не мають проходити автентифікацію один раз, а потім отримувати вільний доступ до ІТ-ресурсів, навіть якщо початковий доступ підтверджено за допомогою багатофакторної автентифікації (MFA). Замість цього, ризик кожного запиту на доступ повинен оцінюватися на основі ряду факторів. Якщо ризик перевищує встановлений поріг, слід вимагати додаткову автентифікацію. Приклади факторів включають час і місце запиту, класифікацію запитуваних ресурсів (наприклад, публічні, секретні або надсекретні), характеристики пристрою, з якого здійснюється запит (наприклад, дані про версію програмного забезпечення), а також поведінкову аналітику щодо звичайних моделей активності суб’єкта.
- Суворе дотримання принципу найменших привілеїв. Крім того, Zero Trust вимагає, щоб доступ надавався лише до ресурсів, необхідних для виконання конкретного завдання, і був обмеженим у часі. Це обмежує шкоду, яку може завдати будь-яка ідентичність в мережі, незалежно від того, чи використовується вона законним власником, чи була скомпрометована зловмисником.
- Ретельний моніторинг активності. Щоб забезпечити оперативне виявлення загроз, нульова довіра вимагає постійного моніторингу активності в ІТ-інфраструктурі. Це включає дії кінцевих користувачів, адміністраторів, службових облікових записів, пристроїв і так далі.
Що таке 7 принципів нульової довіри?
«Еталонна архітектура нульової довіри» визначає сім взаємопов’язаних засад для реалізації принципів нульової довіри:
- Користувачі. Ця область включає всі процеси, пов’язані з автентифікацією ідентичності користувачів та управлінням їхніми привілеями. Приклади включають управління ідентифікацією та доступом (IAM), управління привілейованим доступом (PAM) і багатофакторну автентифікацію.
- Пристрої. Цей компонент передбачає автентифікацію пристроїв та забезпечення відповідності пристроїв стандартам безпеки. До цих стандартів входять, зокрема, наявність сучасного програмного забезпечення та відсутність несанкціонованих компонентів. Інструменти для забезпечення захищеності пристроїв включають системи безперервної діагностики та усунення наслідків (CDM), рішення для управління мобільними пристроями (MDM) та модулі довірених платформ (TPM).
- Мережа/середовище. Ця сфера містить в собі ізоляцію та контроль мережі, включаючи як локальні, так і віддалені середовища. Ключові стратегії мережевої безпеки включають детальний розподіл прав доступу та мікро- і макросегментацію.
- Програми та робоче навантаження. Цей компонент включає всі завдання, що виконуються програмним забезпеченням. Тут можуть бути корисними проксі-технології.
- Дані. Ця сфера включає всі дані, які організація зберігає та обробляє. Комплексна стратегія управління даними включає такі засоби контролю, як перевірка доступу до даних для забезпечення найменших привілеїв і шифрування для захисту даних, які потрапляють до чужих рук.
- Видимість та аналітика. Цей компонент передбачає аналіз мережевої та системної активності для виявлення загроз. Відповідні технології включають журнали мережевої та системної активності, канали розвідки загроз та інструменти SIEM.
- Автоматизація та управління. Цей напрямок передбачає автоматизацію процесів безпеки, таких як виявлення загроз і реагування на них, щоб підвищити швидкість і послідовність впровадження політики безпеки.
Що таке архітектура нульової довіри?
Для реалізації принципів нульової довіри організаціям необхідно побудувати архітектуру нульової довіри. Методична публікація від Національного інституту стандартів і технологій (NIST SP 800-207) «Архітектура нульової довіри» детально описує ключові компоненти:
У центрі рисунка – компоненти політики:
- Механізм політики (Policy engine (PE)). Збирає дані про запит і використовує політики підприємства, щоб визначити, чи схвалити запит.
- Адміністратор політики (Policy administrator (PA)). Приймає рішення про автентифікацію від PE і генерує (або не генерує) облікові дані або токени, щоб дозволити сеанс.
- Точка впровадження політики (Policy enforcement point (PEP)). Керує з’єднанням між пристроєм, що робить запит, і приватним ресурсом на основі команд, надісланих PA.
Ліворуч і праворуч розташовані джерела даних, які живлять РЕ:
- Система безперервної діагностики та пом’якшення наслідків (Continuous diagnostics and mitigation (CDM) system). Збирає інформацію про характеристики пристрою, що робить запит.
- Система галузевої відповідності (Industry compliance system). Кодує правила політики, щоб допомогти забезпечити відповідність чинним нормативним актам, таким як FISMA або HIPAA.
- Канали розвідки загроз (Threat intelligence feeds). Надають інформацію про атаки або вразливості, що мають відношення до процесу контролю доступу.
- Журнали мережевої та системної активності (Network and system activity logs). Реєструють інформацію про події в мережі для покращення виявлення загроз та вимірювання аномальної поведінки.
- Політика доступу до даних (Data access policies). Визначає фундаментальні правила, які визначають, яким суб’єктам дозволено мати доступ до певного ресурсу в певний час.
- Система управління інформацією та заходами безпеки (Security information and event management (SIEM) system). Збирає та аналізує дані з різних джерел для виявлення загроз безпеці.
- Система управління ідентифікацією (Identity management system). Керує записами ідентифікаційних даних для облікових записів, які запитують доступ до ресурсів
Які виклики стоять на шляху впровадження нульової довіри?
До ключових викликів у впровадженні моделі нульової довіри можна віднести наступні:
- Перехід із застарілих систем. Більшість організацій не можуть впровадити нульову довіру з початку; натомість вони повинні поступово замінити існуючі системи та процеси на альтернативні варіанти Zero Trust. Протягом усього періоду переходу вони повинні підтримувати високий рівень безпеки, забезпечуючи безперебійну роботу старих і нових компонентів.
- Створення надійних джерел даних. Ще одна проблема впровадження полягає у зборі достатньої кількості даних, які будуть передані РЕ для прийняття надійних рішень щодо автентифікації. Це вимагає детального знання активів, суб’єктів та бізнес-процесів підприємства.
- Захист компонентів політики. Щоб запобігти порушенню процесів автентифікації та, відповідно, бізнес-операцій, організаціям необхідно захистити PE, PA та PEP. Вони повинні бути розміщені в безпечному середовищі або продубльовані в декількох середовищах. Крім того, їх слід ретельно контролювати, а будь-які зміни конфігурації реєструвати та перевіряти.
- Сприяння прийняттю користувачами. Оскільки Zero Trust вимагає мінімізації дозволів і додаткового запиту на повторну автентифікацію для більш ризикованих запитів на доступ, користувачі можуть відчувати розчарування від змін. Щоб зменшити відчуття втомленості від таких заходів безпеки, потрібно не вилучати права доступу, які дійсно потрібні користувачам, і вимагати MFA лише тоді, коли це виправдано. У більш широкому сенсі, необхідно сприяти формуванню мислення нульової довіри шляхом пояснення переваг безпеки. Також варто розвіяти хибне уявлення про те, що «нульова довіра» означає відсутність довіри до працівників як до людей; пояснити, що вона просто означає відсутність автоматичної довіри до будь-якого пристрою, системи, користувача чи іншого суб’єкта.
- Керування правильним рівнем дозволів. Мінімізація дозволів не означає те, що їх більше не буде, користувачі все одно матимуть набір дозволів після автентифікації, але не повинні отримувати всі, які є в наявності. У звіті Microsoft за 2023 рік підкреслюється ризикований розрив між наданими дозволами та дозволами, що використовуються в хмарі, оскільки ідентичності використовують лише 1% наданих їм дозволів. Щоб впоратися з цим, слід переконатися, що роль (ролі) користувача і надані дозволи для цієї ролі добре керовані та зведені до мінімально можливого рівня. Крім того, наявність процесу, який дозволяє або робити винятки своєчасно, або здійснювати перевірений спосіб самообслуговування для присвоєння необхідного права, полегшить проведення операцій з нульовою довірою.
Висновок
Впровадження моделі безпеки нульової довіри не є швидким і простим завданням. Проте 7 принципів нульової довіри забезпечують міцний фундамент для визначення необхідних інструментів і процесів. Хороша новина полягає в тому, що не обов’язково впроваджувати всі з них, щоб побачити переваги: Кожен крок у створенні архітектури нульової довіри посилить кібербезпеку та кіберстійкість.
