Zero Trust: четыре шага к успеху

Согласно отчету Fortinet «The State of Zero Trust Report», большинство организаций заявляют о наличии или активном внедрении стратегии доступа с нулевым доверием (zero trust access, ZTA) или сетевого доступа с нулевым доверием (zero trust network access, ZTNA). Однако большинство организаций также сообщают, что они не могут последовательно аутентифицировать пользователей или устройства и с трудом отслеживают пользователей после аутентификации. Кроме того, внедрение нулевого доверия в расширенной сети является сложной задачей для многих организаций, сообщает портал The New Stack.

Вот четыре шага, которые рекомендуют эксперты для внедрения Zero Trust.

1. Начните с малого

Защита по модели нулевого доверия — это не всеобъемлющая архитектура. Наиболее успешные внедрения системы Zero Trust начинались с малого, концентрируясь на критически важных активах с самым высоким профилем риска, а затем использовали философию обнаружения, наблюдения и контроля. «Это позволяет организациям не тратить понапрасну силы и не пытаться слишком быстро внедрять односторонние средства контроля, а вместо этого заблокировать свои ключевые объекты и понять взаимосвязь этих активов для поэтапного планирования устойчивости», — сказал Кейт Кюн, старший вице-президент компании vArmour.

Одной из самых больших ошибок при внедрении нулевого доверия является недостаточное инвестирование в наблюдаемость и аналитику в рамках всей организации. «Без наблюдаемости компании ограничены и не могут быстро мобилизоваться для выявления или предотвращения угроз для всего предприятия, — добавил Кюн. — Нулевое доверие станет нормой: хотя это только первый шаг к динамичной, проактивной безопасности, это необходимая основа, которая нужна каждой организации для модернизации ее системы безопасности».

2. Аутентификация людей и устройств

Модель внедрения нулевого доверия должна включать аутентификацию пользователей, машин и других компонентов, в идеале на основе учетных данных, а также других факторов, таких как идентификатор устройства и его местоположение. «Она также должна включать в себя четкие представления об авторизации для понимания того, какие разрешения имеет данная личность. Кроме того, авторизация должна использовать старательно определенные минимальные привилегии. Это означает, что кто-то должен тщательно определить, что личности должны иметь возможность делать, а что нет», — сказал Джейкоб Ансари, аналитик Schellman по безопасности.

По его словам, некоторых быстрых успехов можно добиться на ниве обеспечения безопасности удаленного доступа. Хотя это и не нулевое доверие как таковое, использование безопасного удаленного доступа с хорошей многофакторной аутентификацией является важным компонентом функциональной модели Zero Trust. Далее следует обратить внимание на машинные идентификаторы, такие как учетные записи служб или непользовательские принципалы (non-user principals) для систем, облачных служб и API. Убедитесь, что кто-то знает, что делают эти идентификаторы, какие права они должны иметь и как они аутентифицируются. Если конечные точки API и т. п. не требуют аутентификации или токены или другие учетные данные были открыты через публичные репозитории, требуйте более строгой аутентификации. Если учетные записи служб требуют привилегий root-пользователя, начните инженерные работы по изменению работы этих приложений, чтобы больше не полагаться на такие рискованные элементы, как привилегии суперпользователя для учетных записей служб.

3. Используйте комплексные процессы

По словам Аруна «Рака» Рамчандрана, руководителя Hexaware по трансформации цифрового ядра, для успешного внедрения нулевого доверия организация должна иметь комплексную стратегию, охватывающую технологии, процессы и людей.

«Сегодня технологии меняются быстрее, чем человек успевает их понять, — сказал он. — Например, искусственный интеллект и машинное обучение эволюционировали до такой степени, что эффективно развиваются сами по себе, при нулевом участии человека».

Рамчандран добавил, что для обеспечения надежного функционирования системы нулевого доверия организации должны периодически проводить аудит и перекалибровку, чтобы увидеть, как необходимо обновить среду Zero Trust. «В сети всегда есть субъекты, которые могут ее скомпрометировать», — отметил он.

Наибольшую угрозу для системы представляют люди — те, кто создают программы для компрометации сети с нулевым доверием, и те, кто проявляют благодушие в отношении ее защиты. Человеческая самоуверенность — враг номер один в обеспечении защиты данных в системе Zero Trust.

4. Включите технологии автоматизации политик

По словам Яша Пракаша, директора по стратегии компании Saviynt, нулевое доверие становится все более широко распространенным стандартом. Многие руководители и специалисты по безопасности сосредоточили свое внимание на развертывании решений на основе идентификации и построении архитектур, ориентированных на идентификацию. Для внедрения Zero Trust политики организации должны включать три основных компонента:

• Механизм политик, который принимает решение о предоставлении, отказе или отзыве доступа к ресурсам для всех субъектов, которые запрашивают его. Оценка риска и доверия проводится в режиме реального времени и служит основой для каждого решения.
• Механизм администрирования политик, который может устанавливать и разрывать соединение между субъектом и ресурсом. Опираясь на решения, принятые механизмом политик, администратор генерирует токены аутентификации или учетные данные для каждого сеанса.
• Точка реализации политики для установления и контроля текущих соединений между субъектами и ресурсами предприятия.

Как построить и внедрить архитектуру нулевого доверия

Сети нулевого доверия повышают безопасность за счет внедрения контроля доступа с самыми минимальными привилегиям и устранения необходимости в доверенных инсайдерах, объясняет Никола Даволио, генеральный директор компании Hupry. Каждый пользователь и устройство должны быть проверены и аутентифицированы, прежде чем им будет предоставлен доступ к любому ресурсу. Такой подход устраняет зависимость от защиты периметра, который может быть нарушен, и вместо этого создает внутреннюю защиту, которую гораздо сложнее преодолеть.

Такой подход имеет множество преимуществ, главным из которых является то, что он помогает предотвратить утечку данных и ограничивает ущерб, который может быть нанесен, даже если утечка произошла. Значительное сокращение числа пользователей, имеющих неограниченный доступ к вашим системам и данным, значительно затрудняет действия злоумышленников после проникновения.

Внедрение архитектуры нулевого доверия требует согласования операционной стратегии, политик, продуктов и интеграций, говорит Брайон Хандли, вице-президент Retail & Hospitality ISAC. Процесс внедрения системы Zero Trust в каждой организации будет отличаться, но обычно он включает следующие шаги:

• Определение конфиденциальных данных и сегментирование сети.
• Классификация и картирование приемлемых маршрутов доступа к данным.
• Создание микросегментации конфиденциальных данных.
• Мониторинг среды с помощью аналитики безопасности.

«Нулевое доверие обобщает идею о том, что ни одно устройство, пользователь, сеть или другая система или ресурс не могут действовать без подтверждения своей личности и могут выполнять только те действия, на которые они авторизованы, — сказал Ансари. — Идея о том, что именно сегмент, обращенный к Интернету, подвергается всем рискам, а внутренняя часть организации менее подвержена компрометации или вредоносной деятельности, дискредитирована. Сеть организации лишена непроницаемых границ после того, как пользователи забрали свои ноутбуки домой в конце рабочего дня».