Стратегия нулевого доверия (zero trust)
Что такое нулевое доверие (zero trust)?
Важно понимать, что архитектура нулевого доверия (zero trust) - это не продукт или набор продуктов, а стратегия, которую предприятия могут и должны развивать с течением времени. Национальный институт стандартов и технологий (NIST) описывает нулевое доверие как "развивающийся набор парадигм кибербезопасности, которые переносят защиту со статических, сетевых периметров на пользователей, активы и ресурсы". Представьте "нулевое доверие" как живую стратегию защиты, которая предвидит и реагирует на вражеские атаки, а не как нереактивную стационарную защиту.
В 2009 году нулевое доверие впервые появилось в качестве модели информационной безопасности в компании Forrester, которая назвала ее Zero Trust Model. Со временем она получила широкое признание. Высшие руководители кибербезопасности федерального правительства решили принять подход нулевого доверия. Сегодня модель нулевого доверия поддерживается тремя столпами: все динамично, разрешить наименьшее количество привилегий, наблюдать и проверять все.
Наши цифровые среды стали гораздо более динамичными, изменчивыми и сложными. Политика нулевого доверия актуальна как никогда, потому что ставки сейчас выше, чем когда-либо. Логично возникает вопрос: как организации перейти к модели нулевого доверия?
Руководство по продвижению к модели нулевого доверия
Поскольку zero trust - это стратегия, имеющая множество применений и практик, она может показаться чрезмерно сложной, если рассматривать ее со стороны. Однако в основе модели лежат простые концепции, которые легко разделить на десять рекомендаций:
• Доступ с наименьшими привилегиями / доступ только "по необходимости": Ограничьте доступ с самого начала и разрешайте доступ только тем авторизованным пользователям, которым он действительно необходим.
• Постоянно проверяйте и используйте меньшие единицы: Маркеры доступа должны регулярно проверяться. Предприятия могут разделить более крупные единицы работы, чтобы уменьшить единовременные потери, что также поможет усилиям групп обнаружения и реагирования.
• Автоматизируйте и микросегментируйте сеть, рабочую нагрузку и данные: Безопасность должна быть вплетена в бизнес-процессы и архитектуру с самого начала, а не добавлена впоследствии, как нечто второстепенное. Сеть, рабочая нагрузка и данные должны быть изолированы и сегментированы, чтобы минимизировать радиус поражения при киберинциденте и ускорить локализацию. Кроме того, автоматизация должна применяться везде, где это возможно.
• Защитите конечные точки: Исходите из того, что взлом - это вопрос не "как", а "когда". Аналогично, организации никогда не должны полагать, что конечные точки клиентов безопасны, предварительно не убедившись. Предприятия должны передавать на конечные точки только необходимую информацию.
• Проверяйте службы: Статические, а также "по умолчанию доверенные" привязки не должны использоваться в сервисах - в качестве альтернативы компании должны согласовывать модель доступа к ресурсам со стратегией управления доступом к идентификационным данным (IAM) во всех SaaS, API-провайдерах и онлайн-приложениях.
• Пересмотрите корпоративные службы: Независимо от того, является ли SaaS-хост внутренним или внешним, все корпоративные инструменты должны быть объединены с корпоративной моделью идентификации, поддерживая при этом тотальный контроль.
• Безопасные методы разработки: Наряду с неизменяемой инфраструктурой, две модели, которые помогут предприятиям привести свои системы в соответствие с принципом нулевого доверия, - это модель безопасной разработки программного обеспечения (SSDM) и конвейер непрерывной интеграции/непрерывной доставки (CI/CD).
• Не доверять сети: Компания никогда не должна полагать, что сеть неприступна, даже если ее сотрудники используют виртуальную частную сеть (VPN), находясь в корпоративной сети. Компании должны внедрять многофакторную авторизацию (MFA) наряду с многоуровневыми средствами контроля безопасности.
• Думайте как хакер: Компании должны думать как злоумышленники, чтобы понять, как они действуют. Изучая собственную систему с точки зрения хакера, корпорации могут увидеть слабые места и проблемы, которые они могли не заметить.
По мере усложнения цифровых технологий традиционная кибербезопасность теряет свою силу, оставляя многие предприятия уязвимыми. Цифровая трансформация усугубляться кибератаками, частота и сложность которых продолжает расти.
Предприятия любого размера и отрасли больше не могут позволить себе полагаться на устаревшие методы обеспечения безопасности, в то время как ущерб от киберпреступлений непрерывно растет.
Широко распространенная модель работы на дому еще больше усугубила и без того устаревшую модель защиты периметра. Еще до пандемии COVID-19 компании все чаще обращались к BYOD, открывая новые точки входа в свои системы. В новой гибридной рабочей среде практически невозможно добиться успеха с традиционной системой безопасности, даже с помощью управления мобильными устройствами (MDM) и защиты конечных точек.
Четыре модели концепции нулевого доверия
Существует четыре модели концепции нулевого доверия, и хотя советы о том, какой из них лучше, различны, все они схожи на фундаментальном уровне.
• Модель, ориентированная на личность: Эта модель является стандартной отправной точкой и основой четырех путей. Предприятия могут даже добавлять части других трех путей, где это уместно. Она идеальна, поскольку объединяет идентификационные данные для контроля всей экосистемы, включая партнеров, клиентов и сотрудников. Поскольку многие бизнес-операции требуют доступа к Интернету, проверка учетных данных может стать невозможной. Связывая личность пользователя, устройство, услугу или сеть с запрашиваемой операцией, а также используя многофакторную аутентификацию (MFA) и аутентификацию "вызов-ответ" (CR), эта модель устанавливает необходимый контроль.
• Сетецентрическая модель: Основа этой модели заключается в том, что компания создает распределенные и многоуровневые сетевые структуры изоляции. Создание таких структур зависит от микросегментации или процесса установления небольших и четко определенных границ с помощью брандмауэра нового поколения, который логически распространяется на все предприятие, охватывая как локальные, так и гибридные облака.
• Модель, ориентированная на рабочую нагрузку: Как и в сетецентрической модели, основной принцип этого пути заключается в том, что все, особенно API, разбивается на более мелкие единицы, которые многоуровневой защищены. Режимы выполнения, например, разбиваются на отдельные микросегменты, содержатся на правильно настроенных узлах и тестируются в "песочницах" для целей мониторинга. Другим компонентом этого пути является контейнеризация или разбиение операционной системы на части для дальнейшей сегрегации, что не позволяет злоумышленникам получить доступ ко всем частям системы.
• Модель, ориентированная на данные: Шифрование жизненно важно для защиты от несанкционированного доступа и видимости активов, но оно является настолько надежным, насколько позволяет политика управления ключами. С помощью этой четвертой модели предприятия могут понять, какие данные поступают в систему и откуда они берутся, разбив данные на более мелкие единицы и присвоив им специальные метки - точно так же, как и в предыдущих моделях. При использовании zero trust злоумышленники должны расшифровывать каждую единицу при проникновении в систему, а не иметь неограниченный доступ ко всему.
Большинство компаний комбинируют все четыре модели для наиболее оптимального решения, называемого гибридным подходом к нулевому доверию. Кибератаки будут становиться все более распространенными и еще более дорогостоящими, поэтому компании должны привнести в архитектуру безопасности ту же гибкость, которая используется в бизнесе. Понимая, что ничто не может быть на 100% безопасным, и приняв образ мышления нулевого доверия, команды безопасности повысят уровень защиты бизнеса - от клиентов до сотрудников и, в конечном итоге, до конечного результата.
