Zero Trust / ZTNA

Zero Trust / ZTNA


Pasitikėjimą pakeiskite nuolatiniu patikrinimu

Tradicinis tinklo saugumo modelis ilgą laiką buvo paremtas aiškia riba tarp patikimo vidinio tinklo ir nepatikimo interneto. Vartotojui patekus į organizacijos tinklą dažnai buvo suteikiama plati prieiga prie vidinių sistemų.

Šiuolaikinėje IT infrastruktūroje tokio modelio nebepakanka.

Darbuotojai dirba nuotoliniu ir hibridiniu būdu, aplikacijos veikia debesijoje, prie sistemų jungiasi partneriai ir rangovai, o kompromituota vartotojo paskyra ar įrenginys gali suteikti užpuolikui kelią į vidinę infrastruktūrą.

Zero Trust keičia pagrindinį saugumo principą – prieiga suteikiama ne todėl, kad vartotojas ar įrenginys jau yra organizacijos tinkle, o tik patikrinus jo tapatybę, įrenginio būklę, prieigos teises ir kontekstą.

AVEDUS projektuoja ir diegia Zero Trust bei ZTNA sprendimus, padedančius organizacijoms pereiti nuo tradicinio tinklo perimetro prie identitetu ir rizika pagrįstos prieigos kontrolės.

Kas yra Zero Trust?

Zero Trust – kibernetinio saugumo modelis, paremtas principu:

Never trust, always verify – nepasitikėk automatiškai, visada patikrink.

Zero Trust nereiškia, kad organizacija nepasitiki savo darbuotojais.

Tai reiškia, kad joks vartotojas, įrenginys ar sistema neturėtų automatiškai gauti prieigos vien dėl savo fizinės vietos ar buvimo organizacijos vidiniame tinkle.

Kiekvienas prieigos prašymas turi būti vertinamas pagal nustatytus saugumo kriterijus.

Pagrindiniai Zero Trust principai

Patikrinkite vartotojo tapatybę

Prieš suteikiant prieigą būtina patikimai nustatyti, kas jungiasi prie sistemos.

Tam naudojamas centralizuotas identiteto valdymas, daugiafaktorė autentifikacija (MFA), SSO ir kitos autentifikavimo technologijos.

Patikrinkite įrenginį

Teisėtas vartotojas nebūtinai reiškia saugų įrenginį.

Prieš suteikiant prieigą gali būti vertinama, ar įrenginys:

  • priklauso organizacijai;

  • yra valdomas;

  • turi veikiančią endpoint apsaugą;

  • turi įdiegtus reikalingus atnaujinimus;

  • nėra kompromituotas;

  • atitinka organizacijos saugumo politiką.

Suteikite tik būtiną prieigą

Zero Trust remiasi Least Privilege principu.

Vartotojui suteikiama tik tokia prieiga, kurios reikia jo darbo funkcijoms atlikti.

Tai sumažina galimą kompromituotos paskyros poveikį.

Vertinkite kontekstą

Prieigos sprendimas gali priklausyti ne tik nuo vartotojo vardo ir slaptažodžio.

Gali būti vertinama vartotojo lokacija, įrenginys, prisijungimo laikas, prašoma aplikacija, ankstesnis elgesys ir kiti rizikos požymiai.

Nuolat stebėkite

Vienkartinis vartotojo patikrinimas prisijungimo metu ne visada pakankamas.

Pasikeitus rizikai ar įrenginio būklei, prieiga gali būti apribota arba vartotojo gali būti paprašyta iš naujo patvirtinti tapatybę.

Kas yra ZTNA?

ZTNA (Zero Trust Network Access) – technologinis prieigos modelis, padedantis praktiškai įgyvendinti Zero Trust principus.

Tradicinis VPN dažniausiai sukuria saugų ryšį tarp vartotojo įrenginio ir organizacijos tinklo. ZTNA veikia kitaip.

Vartotojui suteikiama prieiga prie konkrečios aplikacijos ar paslaugos, o ne prie viso vidinio tinklo.

Tai padeda sumažinti atakos paviršių ir apriboti užpuoliko galimybes judėti tarp organizacijos sistemų.

ZTNA ir tradicinis VPN

VPN išlieka tinkama technologija daugeliui naudojimo scenarijų, tačiau tradicinis nuotolinės prieigos modelis gali suteikti vartotojui platesnį tinklo pasiekiamumą, nei jam iš tikrųjų reikia.

Tradicinis VPN:

Vartotojas → Autentifikacija → VPN → Vidinis tinklas → Sistemos

ZTNA:

Vartotojas → Identiteto patikrinimas → Įrenginio patikrinimas → Prieigos politika → Konkreti aplikacija

ZTNA modelyje vartotojui nebūtina matyti visos vidinės infrastruktūros.

Jis gauna prieigą tik prie autorizuotų resursų.

Identitetas – Zero Trust pagrindas

Zero Trust architektūroje vartotojo identitetas tampa vienu pagrindinių saugumo perimetrų.

Todėl ZTNA glaudžiai integruojamas su:

  • Identity and Access Management (IAM);

  • daugiafaktore autentifikacija (MFA);

  • Single Sign-On (SSO);

  • privilegijuotų prieigų valdymu (PAM);

  • vartotojų katalogais;

  • kitomis autentifikavimo sistemomis.

Kuo patikimiau nustatoma vartotojo tapatybė, tuo tiksliau galima valdyti jo prieigą.

Įrenginio būklė

Vartotojo tapatybė yra tik viena prieigos sprendimo dalis.

Jeigu darbuotojas jungiasi iš užkrėsto ar neatnaujinto kompiuterio, net ir teisinga autentifikacija gali kelti riziką.

Todėl ZTNA gali būti integruojamas su galinių įrenginių apsaugos ir valdymo sistemomis.

Prieiga gali būti suteikiama tik tada, kai įrenginys atitinka nustatytus saugumo kriterijus.

Pasikeitus jo būklei, prieiga gali būti automatiškai apribota.

Mikrosegmentacija

Zero Trust principas taikomas ne tik vartotojų prieigai.

Svarbu kontroliuoti ir ryšius tarp skirtingų sistemų bei tinklo segmentų.

Mikrosegmentacija leidžia kurti smulkesnes saugumo zonas ir tiksliai nustatyti, kokios sistemos gali komunikuoti tarpusavyje.

Jeigu viena sistema būtų kompromituota, segmentavimas padeda sumažinti užpuoliko galimybes judėti infrastruktūroje.

Apsauga nuo lateral movement

Patekęs į organizacijos tinklą užpuolikas dažnai siekia judėti iš vienos sistemos į kitą, ieškoti privilegijuotų paskyrų ir pasiekti kritinius duomenis.

Šis procesas vadinamas lateral movement.

Zero Trust architektūra padeda jį riboti, nes kiekviena prieiga yra kontroliuojama atskirai.

Kompromitavus vieną vartotoją ar įrenginį, užpuolikas automatiškai negauna prieigos prie kitų organizacijos sistemų.

Saugus nuotolinis darbas

ZTNA ypač tinkamas organizacijoms, kuriose darbuotojai dirba iš skirtingų vietų.

Prieigos politika gali būti taikoma vienodai nepriklausomai nuo to, ar vartotojas yra:

  • organizacijos biure;

  • namuose;

  • kitame padalinyje;

  • komandiruotėje;

  • kitame išoriniame tinkle.

Svarbiausia tampa ne vartotojo fizinė vieta, o jo identitetas, įrenginio būklė ir prieigos rizika.

Trečiųjų šalių prieiga

Išoriniams IT specialistams, rangovams ir partneriams dažnai reikalinga laikina prieiga prie konkrečių organizacijos sistemų.

Tradiciniame modelyje jiems gali būti suteikiamas VPN ryšys į vidinį tinklą.

ZTNA leidžia taikyti daug tikslesnę kontrolę.

Partneriui galima suteikti prieigą tik prie vienos konkrečios aplikacijos, ribotam laikotarpiui ir tik iš saugumo reikalavimus atitinkančio įrenginio.

Tai padeda sumažinti trečiųjų šalių prieigos keliamą riziką.

Zero Trust debesijos aplinkoje

Organizacijos aplikacijos vis dažniau paskirstytos tarp vietinių duomenų centrų, privačios ir viešosios debesijos bei SaaS paslaugų.

Zero Trust leidžia formuoti vieningą prieigos politiką nepriklausomai nuo to, kur fiziškai veikia aplikacija.

Tai ypač svarbu hibridinėje infrastruktūroje, kur tradicinė organizacijos tinklo riba tampa vis mažiau aiški.

Zero Trust ir SASE

Zero Trust ir SASE yra glaudžiai susiję, tačiau tai nėra tas pats.

Zero Trust – saugumo principai ir architektūrinis modelis.

ZTNA – viena iš technologijų, padedančių šiuos principus įgyvendinti.

SASE – platesnė tinklo ir saugumo architektūra, kurioje ZTNA gali būti derinama su SD-WAN, SWG, CASB, FWaaS ir kitomis saugumo funkcijomis.

Todėl ZTNA dažnai tampa vienu svarbiausių SASE architektūros komponentų.

Zero Trust ir saugumo stebėjimas

Prieigos sprendimai turi būti pagrįsti ne tik statinėmis taisyklėmis, bet ir realia rizika.

Informacija iš ZTNA, identiteto, endpoint ir kitų sistemų gali būti perduodama į SIEM bei SOC/MDR platformas.

Tai leidžia analizuoti vartotojų veiklą ir identifikuoti galimus paskyros kompromitavimo požymius.

Pavyzdžiui, neįprastas prisijungimas kartu su įtartina veikla galiniame įrenginyje gali lemti aukštesnį rizikos vertinimą ir griežtesnę prieigos kontrolę.

Zero Trust ir NIS2

Zero Trust nėra atskiras NIS2 reikalavimas.

Tačiau Zero Trust principai gali padėti įgyvendinti įvairias organizacijos kibernetinių rizikų valdymo priemones.

Identiteto valdymas, daugiafaktorė autentifikacija, mažiausių privilegijų principas, tinklo segmentavimas ir nuolatinė saugumo stebėsena gali būti platesnės organizacijos NIS2 pasirengimo ir kibernetinio saugumo architektūros dalis.

Kaip pereiti prie Zero Trust?

Zero Trust nėra vienas produktas, kurį galima tiesiog įdiegti. Tai architektūrinis modelis, kurį organizacija gali įgyvendinti etapais.

1. Identifikuojame vartotojus ir sistemas

Nustatome, kas jungiasi prie organizacijos infrastruktūros ir kokių sistemų vartotojams realiai reikia.

2. Sustipriname identiteto apsaugą

Diegiame MFA, centralizuotą identiteto valdymą ir kitas reikalingas autentifikavimo priemones.

3. Įvertiname įrenginių patikimumą

Prieigos sprendimą susiejame ne tik su vartotoju, bet ir su jo naudojamo įrenginio saugumo būkle.

4. Mažiname perteklines prieigas

Taikome Least Privilege principą ir suteikiame prieigą tik prie reikalingų sistemų.

5. Diegiame ZTNA ir segmentavimą

Tradicinę plačią tinklo prieigą palaipsniui keičiame tikslesne prieiga prie konkrečių aplikacijų.

6. Integruojame saugumo stebėjimą

Prieigos įvykius integruojame su SIEM, SOC/MDR ir kitomis saugumo sistemomis.

Nuo tinklo perimetro prie identiteto perimetro

Tradicinis saugumo modelis pirmiausia klausia:

Ar vartotojas yra mūsų tinkle?

Zero Trust modelis klausia:

Kas yra vartotojas?

Kokį įrenginį jis naudoja?

Ar įrenginys saugus?

Kokios sistemos jam reikia?

Ar jis turi teisę ją pasiekti?

Ar šis prisijungimas atitinka įprastą elgseną?

Tik įvertinus šiuos kriterijus priimamas sprendimas dėl prieigos.

Kodėl AVEDUS?

Tinklo ir identiteto saugumo kompetencija

Zero Trust apjungia tinklo, identiteto, galinių įrenginių ir saugumo stebėjimo technologijas. AVEDUS kompetencija apima visas šias sritis.

Nuo MFA iki ZTNA

Galime pradėti nuo bazinių identiteto apsaugos priemonių ir palaipsniui pereiti prie pažangesnės Zero Trust architektūros.

Integracija su esama infrastruktūra

Zero Trust sprendimus integruojame su organizacijos identiteto sistemomis, tinklo infrastruktūra, endpoint apsauga, SIEM ir kitomis saugumo platformomis.

Etapinis įgyvendinimas

Zero Trust nereikia įgyvendinti vienu projektu. Parengiame architektūrą ir migracijos planą, leidžiantį saugumo modelį keisti palaipsniui.

Nuo architektūros iki priežiūros

AVEDUS gali įvertinti esamą prieigos modelį, suprojektuoti Zero Trust architektūrą, įdiegti ZTNA ir kitas reikalingas technologijas bei užtikrinti jų tolesnę priežiūrą.