Principiul “Zero Trust” în cybersecurity

În peisajul digital actual, marcat de amenințări sofisticate și perimetre de cybersecurity tot mai greu de definit, se poate spune că intrăm într-o nouă eră a securității cibernetice, în care presupunerea implicită de încredere dispare complet. Astfel, principiul Zero Trust a devenit o strategie esențială pentru protejarea datelor și a sistemelor. În loc să acorde încredere implicită utilizatorilor sau dispozitivelor dintr-o rețea, indiferent de locația lor, Zero Trust se bazează pe verificarea explicită a fiecărei încercări de acces, minimizând astfel riscul de breșe de securitate și oferind o abordare mai robustă și adaptabilă la provocările cibernetice contemporane.

Zero Trust (ZT) este o paradigmă de securitate cibernetică axată pe protecția resurselor, în care încrederea nu este niciodată implicită, ci evaluată în permanență. Conceptul a fost introdus în 2009 de John Kindervag, absolvent al Forrester, pornind de la convingerea sa că “încrederea este o vulnerabilitate”. Securitatea, spune Kindervag, trebuie concepută pe baza strategiei „Niciodată să nu acorzi implicit încredere, întotdeauna să verifici”.

Ce înseamnă Zero Trust și ce beneficii aduce în securitatea cibernetică?

ZT devine, progresiv, modelul de securitate preferat de instituțiile guvernamentale și de marile companii. 

Securitatea tradițională, bazată pe perimetru, acordă acces larg odată ce un subiect se află în rețeaua internă, ceea ce poate duce la probleme legate de mișcările laterale (de exemplu, atunci când un angajat care deține privilegii de acces pentru un anumit departament se mută în altul).  Încrederea zero, ca paradigmă a securității cibernetice, mută focusul apărării de la perimetrele statice, bazate pe rețea, către utilizatori, active și resurse. 

Aceasta funcționează pe baza presupunerii că nu se acordă nicio încredere implicită bazată exclusiv pe localizarea rețelei sau pe proprietatea asupra activelor. ZT urmărește să minimizeze incertitudinea prin aplicarea unor decizii de acces precise, cu cele mai puține privilegii pe cerere, într-o rețea considerată în principiu compromisă. 

Accentul se pune pe importanța verificării continue și pe necesitatea de a proiecta sisteme în care o breșă într-o componentă nu le compromite pe celelalte.

Principiile de bază ale paradigmei Zero Trust

Modelul Zero Trust se bazează pe trei principii de bază:

Verificarea explicită

Fiecare cerere de acces trebuie să fie complet autentificată, autorizată și criptată.

Accesul cu privilegii minime

Utilizatorii trebuie să primească doar accesul minim care le este necesar pentru sarcinile lor.

Presupunerea încălcării securității

Fiecare solicitare este tratată ca și cum ar proveni de la o rețea nesigură.

Abordarea Zero Trust aduce beneficii importante pentru securitatea rețelelor publice sau private, printre care:

• Reducerea riscului – prin presupunerea breșei și verificarea fiecărei cereri, organizațiile pot reduce riscul general.
• Consolidarea încrederii – implementarea principiilor Zero Trust contribuie la consolidarea încrederii în întregul patrimoniu digital.
• Răspunsul în timp real – telemetria și analiza se utilizează pentru a detecta amenințările și a răspunde rapid la ele.

Conform unui ghid al NIST US, Zero Trust operează în baza unui set mai extins de principii de aplicare, printre care:

Toate sursele de date și serviciile de calcul sunt considerate resurse. 

Aceasta include diferite tipuri de dispozitive ale companiei, precum și dispozitivele deținute personal care accesează resursele întreprinderii.

Toate comunicațiile sunt securizate, indiferent de locația rețelei. 

Încrederea nu este conferită implicit de locația în rețea. Toate comunicările ar trebui să protejeze confidențialitatea și integritatea prin autentificarea sursei.

Accesul la resursele individuale ale companiei este acordat pe sesiune și determinat de politica dinamică. 

Politica include starea observabilă a identității clientului, a aplicației/serviciului, a activelor solicitante și a altor atribute comportamentale și de mediu. Politicile se bazează pe nevoile afacerii și pe nivelurile acceptabile de risc.

Organizația monitorizează și măsoară integritatea și postura de securitate a tuturor activelor. Niciun activ nu este în mod inerent de încredere. Un sistem continuu de diagnosticare și atenuare (CDM) ar trebui să monitorizeze starea dispozitivelor și aplicațiilor, aplicând corecții după cum este necesar.

Autentificarea și autorizarea resurselor sunt dinamice și strict impuse înainte de acces. 

Aceasta implică un ciclu constant de obținere a accesului, scanare pentru amenințări, adaptare și reevaluare a încrederii. Se utilizează sisteme de gestionare a identității, acreditărilor și accesului (ICAM) și de gestionare a activelor, inclusiv multi-factor authentication.

Organizația colectează informații despre active, infrastructura de rețea și comunicații pentru a îmbunătăți postura de securitate. 

Datele despre securitatea activelor, traficul în rețea și cererile de acces sunt colectate, procesate și utilizate pentru a îmbunătăți crearea și aplicarea politicilor.

Abordări în arhitectura de securitate Zero Trust

Organizațiile pot implementa Zero Trust Architecture (ZTA) în mai multe moduri, concentrându-se pe diferite aspecte ca determinant al formulării politicilor de securitate. O soluție ZT completă va încorpora elemente din toate cele trei abordări de mai jos.  

• ZTA utilizând o guvernanță îmbunătățită a identității

Utilizează identitatea actorilor ca principală componentă pentru crearea politicilor. Politicile de acces la resurse se bazează pe identitate și pe atributele utilizate. Această abordare funcționează bine cu modelul portalului de resurse și cu aplicațiile bazate pe cloud.  

• ZTA utilizând microsegmentarea 

Plasează resurse individuale sau grupuri de resurse pe segmente de rețea unice protejate de componente de securitate de tip gateway (Policy Enforcement Points – PEP). Aceasta necesită adesea un program de guvernanță a identității pentru a funcționa pe deplin.  

• ZTA prin utilizarea infrastructurii de rețea și a perimetrelor definite de software

Utilizează infrastructura de rețea pentru a implementa ZTA, adesea prin intermediul rețelelor suprapuse sau al abordărilor de tip perimetru definit de software (SDP). Policy Administrator (PA) acționează ca controlor de rețea, configurând rețeaua pe baza deciziilor luate de Policy Engine (PE).

Algoritmul de încredere

Algoritmul de încredere (Algorithm of Trust, AT) este procesul utilizat de PE pentru a acorda sau a refuza accesul la resurse pe baza datelor primite din diverse surse. 

Intrări pentru algoritmul de încredere:

• Solicitare de acces – cererea specifică din partea subiectului, incluzând resursa solicitată și informații despre solicitant (versiunea sistemului de operare, software-ul utilizat, nivelul patch-ului).
• Baza de date și istoricul subiectelor – informații despre subiecții organizației (oameni și procese), atributele și privilegiile acestora. Unele variante pot include comportamentul observat în trecut.
• Baza de date a activelor (și starea observabilă) – conține starea cunoscută a activelor deținute de organizație (versiunea sistemului de operare, software-ul, integritatea, locația, nivelul patch-ului) pentru comparare cu starea activului solicitant.
• Cerințe de resurse – politici care definesc cerințele minime pentru accesarea unei resurse, cum ar fi nivelurile de asigurare a autentificatorului, locația rețelei, sensibilitatea datelor și configurația activelor.
• Informații despre amenințări – fluxuri despre amenințări generale, programe malware active și comunicări suspecte, potențial de la servicii externe sau scanări interne.

Scenarii de implementare a arhitecturii Zero Trust

ZTA poate fi aplicată în diverse medii organizaționale. Următoarele scenarii presupun un mediu hibrid în care ZTA și infrastructurile bazate pe perimetru pot coexista. 

1. Organizație cu facilități-satelit

Angajații care lucrează de la distanță sau filialele au nevoie de acces la resursele organizației. PE/PA este adesea găzduit în cloud cu agenți pe activele finale sau pe un portal de resurse.  

2. Organizație multi-cloud/cloud-to-cloud

O organizație utilizează mai mulți furnizori de cloud pentru aplicații și date. PEP (Policy Enforcement Points) sunt plasate la punctele de acces ale fiecărei resurse, cu PE/PA potențial în cloud.  

3. Organizație cu servicii contractate și/sau acces din partea persoanelor care nu sunt angajate

Vizitatorii la fața locului sau contractorii au nevoie de acces limitat. ZTA poate oferi acces la intranet în timp ce ascunde resursele organizației, diferențiind dispozitivele angajaților de cele ale vizitatorilor.  

4. Colaborarea dincolo de granițele organizației

Atunci când angajații din diferite organizații trebuie să colaboreze la un proiect, sistemele de gestionare a ID-urilor pot facilita accesul la resursele de date necesare fără reguli complexe de firewall.  

5. Organizație cu servicii orientate către public sau clienți

Serviciile orientate către public pot necesita sau nu înregistrarea utilizatorilor. Deși principiile ZTA nu se aplică în mod direct accesului public anonim, pot fi stabilite politici pentru utilizatorii înregistrați.  

Migrarea către o arhitectură Zero Trust

Implementarea ZTA este un proces care se desfășoară treptat. Majoritatea organizațiilor vor funcționa pentru o perioadă de timp într-un mod hibrid bazat pe încredere zero/perimetru.  

Arhitectura Zero Trust pură

Construirea unei ZTA de la zero este rareori viabilă pentru organizațiile cu rețele existente. Cu toate acestea, conceptele ZT pot fi introduse atunci când se construiește o nouă infrastructură pentru noi responsabilități.  

ZTA hibrid și arhitectură bazată pe perimetru

Fluxurile de lucru ZTA vor coexista probabil cu fluxurile de lucru non-ZTA pentru o perioadă extinsă. Elementele comune precum gestionarea ID-urilor și gestionarea dispozitivelor trebuie să fie suficient de flexibile pentru a funcționa în ambele arhitecturi. 

Pași pentru introducerea ZTA într-o rețea bazată pe perimetru:

1. Migrarea la ZTA necesită cunoștințe detaliate despre active, subiecte și procese de afaceri.
2. Identifică actorii din organizație: trebuie să deții un nivel bun de înțelegere al tuturor subiectelor, inclusiv care sunt utilizatorii umani și entitățile care nu sunt persoane (NPE), cum ar fi conturile de servicii.
3. Identifică activele deținute de organizație: cataloghează toate artefactele hardware, software și digitale, inclusiv dispozitivele care nu aparțin întreprinderii și IT-ul din umbră.
4. Identifică procesele-cheie și evaluează riscurile asociate cu procesul de execuție: identifică și clasifică procesele de afaceri, fluxurile de date și importanța acestora pentru misiunea organizației. Începe cu procese cu risc scăzut pentru tranziția ZTA inițială.
5. Formularea politicilor pentru candidatul ZTA: determină criteriile sau ponderile nivelului de încredere pentru resursele utilizate în procesul de afaceri ales.
6. Identifică soluțiile candidate: explorează soluțiile ZTA disponibile, luând în considerare factori precum cerințele de instalare la nivelul clientului, suportul pentru resursele locale, capabilitățile de înregistrare, suportul pentru protocol și impactul asupra comportamentului subiectului.
7. Implementare și monitorizare inițială: implementează politici folosind componente selectate, operând inițial într-un mod de observare și monitorizare pentru a asigura eficacitatea și funcționalitatea.
8. Extinderea ZTA: odată ce se câștigă suficientă încredere și politicile sunt rafinate, poți începe să planifici următoarea fază a implementării ZT, reevaluând procesul pentru orice modificare a fluxului de lucru.

Concluzii

Complexitatea în continuă creștere a infrastructurilor organizaționale, incluzând utilizatorii de la distanță, politica bring your own device (BYOD) și serviciile cloud, a făcut ca securitatea tradițională bazată pe perimetru să devină insuficientă.  

Principiul Zero Trust se axează pe protejarea resurselor mai degrabă decât a segmentelor de rețea.  O ZTA este o arhitectură de securitate cibernetică a organizației bazată pe principiile încrederii zero, concepută pentru a preveni încălcarea securității datelor și a limita mișcările laterale.  

ZT nu este o arhitectură unică, ci un set de principii directoare pentru fluxul de lucru, proiectarea sistemelor și operațiuni.  Tranziția către ZTA este o călătorie treptată care implică modificări ale proceselor și soluțiilor tehnologice.  

Dacă îți dorești să te afli printre cei care configurează rețelele conform principiilor Zero Trust, îți recomandăm cursul de IT și Cybersecurity de la NewTech Academy, în cadrul căruia vei dobândi o dublă formare: de administrator de rețea și specialist în securitatea cibernetică, ambele roluri fiind extrem de căutate în lumea IT actuală. Contactează-ne și hai să pornim împreună pe noul drum al carierei tale!