Zero Trust: nigdy nie ufaj, zawsze weryfikuj

Problem bezpieczeństwa opartego na perymetrze

Przez dekady bezpieczeństwo firm opierało się na modelu „zamku z fosą”. Wszystko wewnątrz sieci firmowej było zaufane, wszystko na zewnątrz — nie. Pracownicy logowali się przez VPN, uzyskiwali dostęp do zasobów wewnętrznych, a zapora trzymała złoczyńców na zewnątrz.

Ten model załamał się z kilku powodów. Atakujący nauczyli się dostawać do środka — przez phishing, skradzione dane logowania i ataki na łańcuch dostaw. Przejście do chmury wyprowadziło dane i aplikacje całkowicie poza sieć. Praca zdalna rozproszyła pracowników po domowych sieciach i kawiarniach. Fosa nie otacza już niczego.

Gdy jedno przejęte konto wewnątrz perymetru daje dostęp do wszystkiego, cały model zawodzi. Dokładnie tak było przy włamaniu do SolarWinds, ataku na Colonial Pipeline i większości dużych incydentów w firmach w ostatniej dekadzie.

Co naprawdę oznacza Zero Trust

Zero Trust to filozofia bezpieczeństwa, a nie produkt. Jej główna zasada, sformułowana w 2010 roku przez analityka Forrester Johna Kindervaga, jest prosta: nigdy nie ufaj, zawsze weryfikuj.

Zamiast ufać użytkownikowi dlatego, że jest w sieci, każde żądanie dostępu jest oceniane indywidualnie na podstawie:

• Tożsamości — kim jest ten użytkownik? Czy tożsamość potwierdzono silnym uwierzytelnianiem?
• Stanu urządzenia — czy urządzenie jest zarządzane, załatane i zgodne z polityką bezpieczeństwa?
• Kontekstu — skąd pochodzi żądanie? Która jest godzina? Czy to zachowanie jest normalne dla tego użytkownika?
• Najmniejszych uprawnień — czy ten użytkownik naprawdę potrzebuje dostępu do tego konkretnego zasobu?

Dostęp jest przyznawany na sesję i na zasób, a odbierany natychmiast, gdy zmienią się warunki.

Trzy podstawowe zasady

Weryfikuj jawnie

Zawsze uwierzytelniaj i autoryzuj na podstawie wszystkich dostępnych danych: tożsamości użytkownika, lokalizacji, zgodności urządzenia, usługi lub obciążenia, klasyfikacji danych i anomalii. Uwierzytelnianie wieloskładnikowe (MFA) to minimalny punkt wyjścia — ale Zero Trust idzie dalej, stale oceniając zaufanie przez całą sesję, a nie tylko przy logowaniu.

Stosuj dostęp z najmniejszymi uprawnieniami

Ograniczaj dostęp zgodnie z zasadami „just-in-time” i „just-enough-access”. Analityk marketingu nie powinien mieć dostępu do bazy danych zespołu inżynierów. Konsultant obsługi klienta nie powinien móc wyeksportować całej listy klientów. Dostęp powinien obejmować dokładnie to, co jest potrzebne do danego zadania — i nic więcej.

To minimalizuje zasięg szkód, gdy dane logowania zostaną przejęte. Atakujący, który ukradnie dane logowania programisty, uzyska dostęp do tego, do czego miał dostęp ten programista — a nie do całej firmy.

Zakładaj włamanie

Projektuj systemy tak, jakby atakujący już był w środku. Segmentuj sieci, by przejęcie jednego systemu nie dawało dostępu do innych. Szyfruj dane w transmisji i w spoczynku. Zbieraj logi wszędzie. Monitoruj ruch boczny — wzorzec przechodzenia atakujących z systemu do systemu po uzyskaniu początkowego dostępu.

Zero Trust w praktyce

Zarządzanie tożsamością i dostępem (IAM)

Fundamentem jest silna tożsamość. Oznacza to:

• MFA wymuszone dla wszystkich użytkowników, łącznie z administratorami
• Jednokrotne logowanie (SSO) centralizujące uwierzytelnianie
• Zarządzanie dostępem uprzywilejowanym (PAM) dla kont administracyjnych — z wymogiem akceptacji i logowaniem wszystkich działań uprzywilejowanych
• Zasady dostępu warunkowego blokujące logowania z nierozpoznanych lokalizacji lub urządzeń

Zaufanie do urządzeń

Urządzenia zarządzane, zarejestrowane w systemie MDM (Mobile Device Management), można zweryfikować pod kątem zgodności przed przyznaniem dostępu. Niezarządzane urządzenie prywatne dostaje ograniczony dostęp do zasobów firmowych lub żaden. Zajmują się tym m.in. Microsoft Intune i Jamf.

Segmentacja i mikrosegmentacja sieci

Zamiast płaskiej sieci, w której każde urządzenie może połączyć się z każdym innym, mikrosegmentacja dzieli sieć na małe strefy. Stacja robocza w dziale sprzedaży nie może komunikować się z serwerami w segmencie inżynierów, chyba że pozwala na to jawna reguła. To skutecznie zatrzymuje ruch boczny.

Programowo definiowany perymetr

Narzędzia takie jak Google BeyondCorp (obecnie BeyondCorp Enterprise), Cloudflare Access i Zscaler Private Access zastępują VPN-y dostępem do poszczególnych aplikacji. Użytkownicy uwierzytelniają się w serwerze proxy świadomym tożsamości, który sprawdza zgodność urządzenia i tożsamość, zanim przekaże ruch do aplikacji. Aplikacja nigdy nie ma publicznego adresu IP — jest niewidoczna z internetu.

Stopniowe wdrażanie Zero Trust

Zero Trust to nie przełącznik, który się przestawia. Organizacje zwykle zaczynają od:

1. Wymuszenia MFA wszędzie — pojedynczego kroku o najwyższym zwrocie z inwestycji
2. Inwentaryzacji zasobów i użytkowników — nie da się chronić tego, czego się nie widzi
3. Zastosowania najmniejszych uprawnień najpierw w najbardziej wrażliwych systemach
4. Wdrożenia dostępu warunkowego dla aplikacji chmurowych
5. Rozszerzenia kontroli zaufania do urządzeń
6. Stopniowej segmentacji sieci

Zero Trust dla osób prywatnych

Te same zasady sprawdzają się na poziomie osobistym:

• Używaj unikalnych, silnych haseł do każdej strony (zakładaj, że każda strona może zostać zhakowana)
• Włącz MFA na każdym ważnym koncie
• Traktuj każdy link w e-mailu jako niezaufany, dopóki go nie zweryfikujesz
• Rozdzielaj ryzyko: używaj osobnych adresów e-mail i przeglądarek do różnych zastosowań

Dlaczego to ważne właśnie teraz

Infrastruktura oparta na chmurze, praca zdalna i eksplozja aplikacji SaaS trwale rozpuściły firmowy perymetr. Zero Trust to nie chwilowa moda — to jedyny spójny model bezpieczeństwa dla tego, jak organizacje faktycznie dziś działają. Pytanie nie brzmi, czy go wdrożyć, ale jak szybko.