Sieci Zero Trust | Teleinf Edu

Ograniczenia bezpieczeństwa opartego na obwodzie

Przez dziesięciolecia bezpieczeństwo sieci opierało się na podziale na sieć wewnętrzną i internet. Organizacja traktowała własny segment jako zaufany, a ruch z zewnątrz filtrowała na granicy za pomocą zapory sieciowej (firewall). Reguły obwodowe miały ograniczać dostęp do usług i systemów znajdujących się wewnątrz. Po przejściu kontroli granicznej użytkownik lub urządzenie często otrzymywało szerszy dostęp, ponieważ lokalizacja adresu IP była używana jako sygnał zaufania. Reguły zapory chroniły granicę, lecz zwykle nie opisywały uprawnień do pojedynczej aplikacji, bazy danych albo usługi.

To podejście ma słaby punkt. Gdy atakujący wykorzysta wiadomość phishingową, skompromitowany laptop lub lukę w publicznie dostępnym serwerze, może uzyskać dostęp do segmentu wewnętrznego. Dalsze ruchy boczne ułatwia szeroki zakres uprawnień oraz wzajemne zaufanie systemów. W takiej sytuacji atakujący może próbować docierać do serwerów, baz danych i informacji chronionych, mimo że pierwsze naruszenie dotyczyło pojedynczego konta, urządzenia albo usługi. Skutki zależą od segmentacji, uprawnień oraz jakości monitorowania, dlatego sama kontrola wejścia nie wystarcza do oceny całej sesji.

Chmura obliczeniowa, praca zdalna, urządzenia mobilne (BYOD) i usługi połączone przez internet zatarły praktyczną granicę między "wewnątrz" i "na zewnątrz". Dane znajdują się w wielu lokalizacjach, a użytkownicy korzystają z nich z różnych sieci. Sama kontrola obwodowa nie opisuje już warunków dostępu do konkretnego zasobu. Zero Trust przenosi decyzję na tożsamość, stan urządzenia, kontekst żądania i politykę dostępu. NIST opisuje ochronę zasobów i usług, niezależnie od tego, czy znajdują się w centrum danych organizacji, w chmurze czy poza jej siecią.

Model Zero Trust: "Nigdy nie ufaj, zawsze weryfikuj"

nie jest pojedynczą technologią ani produktem. Jest modelem bezpieczeństwa, w którym każde żądanie dostępu wymaga oceny. Hasło "Nigdy nie ufaj, zawsze weryfikuj" opisuje brak zaufania wynikającego wyłącznie z lokalizacji użytkownika lub urządzenia. Model określa zasady podejmowania decyzji, a konkretne mechanizmy zależą od chronionych zasobów i środowiska organizacji.

W architekturze Zero Trust lokalizacja nie nadaje automatycznie statusu zaufania. Tożsamość użytkownika, urządzenia, aplikacji lub usługi jest sprawdzana razem z warunkami żądania. Żądanie z komputera w siedzibie firmy, laptopa pracownika w sieci publicznej albo serwera w centrum danych chmury podlega uwierzytelnieniu i autoryzacji zgodnie z polityką przed ustanowieniem sesji. Uwierzytelnienie potwierdza podmiot, natomiast autoryzacja rozstrzyga, do którego zasobu i w jakim zakresie może on uzyskać dostęp.

Kontrola może dotyczyć kolejnych zasobów w jednej sesji. Dostęp do aplikacji wymaga sprawdzenia tożsamości, dostęp do danych wymaga dodatkowej oceny uprawnień, a zmiana stanu urządzenia może spowodować ponowne uwierzytelnienie lub zakończenie sesji. Polityka określa wymagane czynniki, zakres zasobu i warunki użycia. W ten sposób decyzja pozostaje związana z konkretnym żądaniem, a przyznane uprawnienia można ponownie ocenić podczas sesji. Zmiana tożsamości, stanu punktu końcowego lub warunków sieci może uruchomić dodatkowe sprawdzenie zgodnie z regułami organizacji.

Trzy zasady stosowane w modelu Zero Trust

Hasło "Nigdy nie ufaj, zawsze weryfikuj" można ująć w trzy praktyczne zasady opisane poniżej. Stanowią one skrót reguł dostępu, które w implementacji są powiązane z polityką, telemetrią i egzekwowaniem decyzji.

1. Weryfikuj jawnie

Każde żądanie dostępu jest uwierzytelniane i autoryzowane zgodnie z aktualną polityką przed ustanowieniem sesji. Ocena może być kontynuowana podczas sesji. Lokalizacja sieciowa użytkownika lub urządzenia nie wystarcza jako sygnał zaufania. Żądanie z wewnętrznego adresu IP, takiego jak $10.1.1.25$ , również wymaga sprawdzenia. Polityka może uwzględniać rolę, rodzaj zasobu, stan uwierzytelnienia, aktualne zagrożenia i poprzednie zdarzenia w sesji.

Decyzja korzysta z sygnałów określonych w polityce dostępu. Mogą one obejmować sygnały z systemu tożsamości, urządzenia, sieci, aplikacji oraz analityki bezpieczeństwa:

Tożsamość użytkownika: Weryfikacja tożsamości przy użyciu silnych metod uwierzytelniania, w tym uwierzytelniania wieloskładnikowego (MFA), gdy wymaga tego polityka. System może również sprawdzać przypisaną rolę i uprawnienia.
Stan urządzenia: Sprawdzenie stanu bezpieczeństwa urządzenia. Polityka może uwzględniać zarządzanie przez organizację, aktualność ochrony antywirusowej, szyfrowanie i poprawki systemu operacyjnego. Rejestr urządzeń i dane EDR dostarczają informacji do takiej oceny.
Lokalizacja: Uwzględnienie geograficznej lokalizacji żądania. Polityka może ocenić logowanie z nietypowego kraju jako obarczone wyższym ryzykiem. Sama lokalizacja nie zastępuje uwierzytelnienia.
Kontekst behawioralny: Analiza wzorców zachowania użytkownika. Nagły masowy transfer danych może zostać oznaczony jako anomalia wymagająca sprawdzenia. Wynik analizy może ograniczyć sesję albo wymusić ponowne uwierzytelnienie.

2. Stosuj minimalne uprawnienia

Użytkownikom i urządzeniom przyznaje się zakres uprawnień potrzebny do wykonania konkretnego zadania lub funkcji. Uprawnienia powinny obejmować wymagane zasoby oraz czynności. Po zakończeniu zadania zakres można zmniejszyć albo całkowicie odebrać.

W modelu opartym na obwodzie dostęp do sieci mógł obejmować duży segment po pomyślnym przejściu kontroli granicznej. Kontrahent naprawiający system klimatyzacji mógł wtedy uzyskać łączność z serwerami działu finansów. W modelu Zero Trust jego dostęp ogranicza się do systemu klimatyzacji, czasu wykonywania zadania i określonego urządzenia roboczego. Taka reguła zmniejsza liczbę dostępnych ścieżek do innych usług. To jest .

W praktyce stosuje się dwie strategie:

Dostęp na żądanie (JIT, Just-in-Time Access): Uprawnienia są przyznawane dla konkretnej sesji i odbierane po zakończeniu zadania. Okres ważności wynika z polityki i stanu sesji.
Dostęp wystarczający (JEA, Just-Enough Access): Zakres uprawnień odpowiada zasobowi i czynności potrzebnej do wykonania zadania. Pozostałe zasoby pozostają poza zakresem decyzji.

3. Zakładaj możliwość naruszenia

Model Zero Trust zakłada, że atakujący może uzyskać dostęp do systemu, a sieć może zostać naruszona. Polityki i kontrole muszą więc ograniczać skutki pojedynczego przejęcia oraz utrudniać ruch boczny. Założenie dotyczy planowania kontroli, nie stwierdzenia, że każde środowisko jest już przejęte.

Zapobieganie naruszeniom pozostaje potrzebne. Równocześnie trzeba ograniczać skutki incydentu, wykrywać podejrzane działania i reagować po zmianie oceny ryzyka. Obejmuje to segmentację, rejestrowanie zdarzeń, analizę telemetrii i ochronę komunikacji:

Ogranicz promień skutków: Używaj mikrosegmentacji do podziału sieci na małe, odseparowane strefy. Przejęcie jednego serwera nie powinno otwierać łatwej drogi do pozostałych zasobów. Reguły powinny określać dozwolone połączenia między usługami.
Wzmocnij wykrywanie i reagowanie: Zbieraj i analizuj logi, ruch sieciowy oraz dane z punktów końcowych. Nietypowe zachowanie może wskazywać na aktywne naruszenie. Zespół może wtedy ograniczyć dostęp, odizolować urządzenie i rozpocząć obsługę incydentu.
Szyfruj dane w spoczynku i tranzycie: Szyfrowanie danych na serwerach oraz podczas przesyłania przez sieć, także wewnętrzną, ogranicza skutki przejęcia. Zakres ochrony wynika z polityki i wymagań zasobu. Mechanizm powinien chronić klucze oraz umożliwiać ich odwołanie.

Obszary wdrożenia modelu Zero Trust

Wdrożenie Zero Trust nie polega na zakupie jednego produktu. Obejmuje integrację technologii i procesów, które egzekwują politykę w środowisku IT. CISA wyróżnia pięć obszarów: tożsamość, urządzenia, sieć, aplikacje i obciążenia oraz dane. Widoczność i analityka, automatyzacja i orkiestracja oraz zarządzanie są zdolnościami przekrojowymi dla tych obszarów. W modelu NIST Policy Engine podejmuje decyzję, Policy Administrator ustanawia lub kończy ścieżkę sesji, a Policy Enforcement Point egzekwuje tę decyzję.

1. Tożsamość i zarządzanie dostępem: Zarządzanie tożsamością i dostępem (IAM) dostarcza danych do decyzji o dostępie. Może obejmować centralnego dostawcę tożsamości (IdP), pojedyncze logowanie (SSO) oraz uwierzytelnianie wieloskładnikowe (MFA) wymagane przez politykę. Rejestry ról i przeglądy uprawnień wspierają kontrolę dostępu.
2. Bezpieczeństwo i zgodność urządzeń: Przed dopuszczeniem urządzenia do zasobu sprawdza się jego tożsamość i stan bezpieczeństwa. Zarządzanie urządzeniami mobilnymi (MDM) oraz wykrywanie i reagowanie na punktach końcowych (EDR) pomagają ocenić poprawki, ochronę antywirusową, szyfrowanie oraz stan urządzenia. Wynik może być przekazany do modułu podejmującego decyzję.
3. Sieć i mikrosegmentacja: ogranicza łączność do wymaganych usług i zmniejsza skutki przejęcia. Wykorzystuje zapory nowej generacji (NGFW), sieci definiowane programowo (SDN) oraz zapory hostowe do tworzenia reguł między aplikacjami i serwerami. Reguły mogą być przypisane do aplikacji, usługi albo konkretnego obciążenia.
4. Aplikacje i obciążenia: Polityka może ograniczać dostęp do konkretnej aplikacji lub usługi zamiast udostępniać cały segment sieci. Stosuje się bramy aplikacyjne, zapory aplikacji internetowych (WAF) i bezpieczne bramy API do kontroli na poziomie aplikacji. Tożsamość usługi może być jednym z warunków autoryzacji.
5. Bezpieczeństwo danych: Ochrona danych obejmuje klasyfikację według wrażliwości, szyfrowanie w spoczynku i tranzycie oraz polityki zapobiegania utracie danych (DLP), które monitorują i blokują nieautoryzowaną eksfiltrację. Reguły powinny uwzględniać typ danych i dozwolony kanał przekazywania.
6. Widoczność i analityka oraz zdolności przekrojowe: Logi i sygnały ze wszystkich obszarów można agregować w systemie SIEM. Analiza tych danych pozwala ustalać wzorce zachowań i wykrywać anomalie. Automatyzacja i orkiestracja mogą przekazywać sygnały do kontroli dostępu, a zarządzanie określa role, procedury i odpowiedzialność. Metody uczenia maszynowego mogą wspierać analizę, jeśli odpowiadają jakości i zakresowi zebranych danych. Ostateczna decyzja nadal wynika z polityki oraz dostępnych dowodów.

Etapy wdrożenia modelu Zero Trust

Wdrożenie modelu Zero Trust jest zmianą etapową. Organizacja rozpoczyna od zasobów o najwyższej wartości, a następnie rozszerza zakres polityk i kontroli. Każdy etap powinien opierać się na inwentaryzacji zasobów, obserwacji przepływów i pomiarze skutków reguł. Przykładowe etapy obejmują:

Zidentyfikuj powierzchnię ochrony: Najpierw określ zasoby wymagające ochrony. Obejmuje to najwrażliwsze dane, aplikacje i usługi. Dla każdego zasobu zapisz właściciela, użytkowników, zależności oraz wymagany poziom ochrony.
Zmapuj przepływy transakcji: Opisz, jak legalny ruch dociera do chronionych zasobów. Ustal, który użytkownik, urządzenie lub proces potrzebuje dostępu, do czego i z jakiej sieci. Zapisz także usługi zależne oraz protokoły wymagane przez aplikację.
Zaprojektuj sieć Zero Trust: Zastosuj mikrosegmentację i umieść kontrole blisko chronionych zasobów. Utwórz odseparowane segmenty oraz reguły dla wymaganych połączeń. Sprawdź, czy reguły blokują połączenia nieujęte w mapie przepływów.
Stwórz politykę Zero Trust: Zdefiniuj reguły dostępu za pomocą "Metody Kiplinga": Kto, Co, Kiedy, Gdzie, Dlaczego i Jak. Przykład: "Użytkownik z działu Kadr (Kto) może uzyskać dostęp do bazy danych wynagrodzeń pracowników (Co) w godzinach pracy (Kiedy) z urządzenia zarządzanego przez firmę (Gdzie) w celu wykonywania obowiązków służbowych (Dlaczego) przez szyfrowane połączenie (Jak)."
Monitoruj i utrzymuj: Monitoruj ruch, analizuj logi i wyszukuj oznaki zagrożeń. Polityki wymagają przeglądu po zmianie środowiska, zasobów albo warunków zagrożeń. Wyniki obserwacji powinny aktualizować inwentaryzację i reguły dostępu.