Семь раз проверь: Zero Trust и аутентификация

Дмитрий Грудинин, 23/03/23
В основе концепции Zero Trust лежит простая идея: субъекты инфраструктуры, будь то пользователи, устройства или приложения, не могут доверять друг другу только на основании того, что находятся в пределах одного периметра. Субъектам необходимо постоянно подтверждать свое право на доступ к корпоративным ресурсам. Что такое Zero Trust и какую роль в этом играет аутентификация – рассмотрим подробнее.
Автор: Дмитрий Грудинин, системный архитектор компании Аванпост”


Традиционный взгляд на ИБ предусматривает, что корпоративные устройства, пользователи и приложения находятся внутри одного защищенного контура, а данные хранятся в инфраструктуре on-premise. Так создается безопасная среда, внутри которой субъекты могут без каких-либо границ взаимодействовать друг с другом. Фокус при этом переносится на "поверхности атаки", то есть на потенциальные внешние уязвимости инфраструктуры.
Такой подход работал, пока доверенная зона ограничивалась локальной сетью, а сотрудники выполняли рабочие задачи исключительно из офиса. Но времена изменились — и они потребовали нового взгляда на информационную безопасность организаций. В ответ на современные вызовы в 2010 г. зародилась концепция Zero Trust.

Подробнее о Zero Trust

Концепция нулевого доверия ставит под сомнение существование надежной внутренней сети: больше нет разделения на внешние или внутренние ресурсы и безграничной свободы действий внутри доверенной среды. Вместо этого Zero Trust подвергает проверке любые действия приложений, устройств и пользователей. Прежде чем получить доступ к тем или иным ресурсам, необходимо подтвердить свои права на это.
Кажется, что Zero Trust создает искусственные ограничения. Но на практике эта концепция открывает новые возможности: теперь подключаться к защищенному периметру могут не только сотрудники компании, но и партнеры, клиенты и подрядчики, при этом безопасно для всех сторон. Каждый получает ровно столько прав, чтобы эффективно выполнять свои задачи, а если злоумышленник получит доступ к учетной записи, это не приведет к компрометации всей инфраструктуры.
Конечно, доступ разных групп пользователей будет различаться в зависимости от прав, ресурсов и контекста (например, времени суток, устройства, геолокации). Каждый получает ровно столько прав, чтобы эффективно выполнять свои задачи. Если злоумышленник получит доступ к его учётной записи, это не приведёт к компрометации всей инфраструктуры.
При этом права доступа постоянно пересматриваются. Критически важно, чтобы политики безопасности были динамичными и базировались на как можно большем количестве источников данных. Это помогает сохранять актуальность и гибко управлять защитой в зависимости от изменений ИТ-инфраструктуры.
Кроме того, в модели Zero Trust корпоративная сеть и другие ресурсы разделены на отдельные узлы. Благодаря этому создается множество отдельных периметров с собственными политиками и правами доступа – такими узлами легче управлять и обнаруживать угрозу, если она вдруг возникает внутри сети.

Роль аутентификации в Zero Trust

Увы, нет универсальных инструментов, которые помогли бы организации внедрить Zero Trust. Однако легко указать на основной обязательный элемент концепции – процесс аутентификации. Именно он помогает достоверно определять, что за пользователь, устройство или приложение пытается получить доступ к данным. В основе нулевого доверия лежит презумпция виновности: предполагается, что в любой попытке получить доступ к корпоративному ресурсу таится угроза, пока не будет доказано обратное.
Аутентификация должна проводиться абсолютно при всех взаимодействиях субъектов. Взаимодействия могут усложняться, их может становиться больше, и именно нулевое доверие помогает сохранить порядок в сложных процессах. Получается, аутентификация позволяет обеспечивать безопасность, не жертвуя удобством для пользователей. Да, им нужно подтверждать свою личность, что с первого взгляда кажется усложнением. Но процесс остается четким и прозрачным, ведь в основе Zero Trust – сформулированные критерии доверия.
Процесс проверки обеспечивают системы единой аутентификации. Они позволяют аутентифицировать пользователей и любые элементы инфраструктуры. Это может происходить и без участия человека, когда системы взаимодействуют между собой для обмена данными. Главная задача – создать универсальную централизованную платформу аутентификации, которая обеспечит единые правила входа во все приложения вне зависимости от технологии их исполнения. Именно так инфраструктура становится более безопасной.

Новые вызовы безопасности

Почему концепция нулевого доверия приходит на смену традиционному подходу? Здесь есть три основные причины.
Во-первых, даже самый защищенный периметр не способен обезопасить компанию от внутренних рисков. Злоумышленник может узнать об уязвимостях и намеренно проникнуть в корпоративную сеть, где для него откроется безграничный доступ к данным. Бывает, что и сами сотрудники случайно раскрывают конфиденциальные ресурсы, компрометируют свои устройства или учетные данные. Отчет Symantec показывает [1], что в среднем одно из 36 устройств, используемых в организации, связано с высоким уровнем риска. А согласно оценкам Verizon [2], каждое четвертое нарушение корпоративной кибербезопасности в мире связано с украденными учетными данными.
Во-вторых, сегодня все большую популярность набирает on-cloud инфраструктура и гибридные форматы – когда часть данных хранится внутри периметра, а часть находится в облаках. В таком случае границы безопасного периметра организации стираются.
В-третьих, большую роль играет переход на гибридный формат работы. Теперь пользователи и их рабочие устройства могут находиться где угодно, в том числе в других городах и странах.
Сегодня Zero Trust, или концепция "нулевого доверия", – один из наиболее популярных подходов к защите корпоративной инфраструктуры. Особенно широко стратегия распространена за рубежом: согласно оценкам Ping Identity, 82% руководителей компаний по всему миру полагаются на Zero Trust при реализации инициатив цифровой трансформации.

Плюсы и минусы Zero Trust

Концепция нулевого доверия связана с усилением безопасности. Ведь работа с доверенной средой создаёт чувство защиты, которое может оказаться ложным. Администраторы могут даже не предполагать, что утечка произошла, и не предпринимать необходимые меры для решения ситуации.
Еще одно преимущество — благодаря Zero Trust бизнес становится более гибким. Компания может выбирать, как развёртывать инфраструктуру: в локальных центрах обработки данных, публичных или частных облаках. Это шанс сократить расходы на обслуживание инфраструктуры. Кроме того, переход в облака обеспечивает практически безграничные возможности для роста и масштабирования. А безопасность дистанционной работы даёт возможность усиливать найм удаленных сотрудников, расширять их функции и давать больше ресурсов для эффективной работы. Это приводит к росту производительности труда.
Конечно, у концепции есть и минусы. В первую очередь — сложность реализации. Переход на нулевое доверие у больших корпораций со сложной структурой и разветвлённой системой внутренних корпоративных ресурсов может занять годы. Нужно провести инвентаризацию устройств, с которых работают сотрудники, установить корпоративные политики.
Кроме того, Zero Trust подходит не для всех. Небольшим компаниям, которые развёртывают свою работу исключительно в локальной сети, нет смысла усложнять свои политики кибербезопасности. Для них будет достаточно традиционного подхода.

Заключение

Удаленные и гибридные форматы работы, внедрение облачных технологий и вычислений, BYOD — эти и многие другие тренды требуют пересмотра традиционных подходов к кибербезопасности. Существующие формы доверия и вытекающие из них права больше не работают, компании кардинально пересматривают формы взаимодействия между всеми объектами инфраструктуры. И в ответ на это появилась идея Zero Trust.
Модель нулевого доверия зародилась десять лет назад, и за это время приобрела только большую популярность. Но не все компании готовы внедрять так много ресурсов, чтобы обезопасить свою внутреннюю среду. Поэтому, возможно, совсем скоро и эта концепция будет переосмыслена, и мы увидим совершенно новые стратегии информационной безопасности.
https://www.broadcom.com/support/security-center
https://www.verizon.com/business/resources/reports/2021-data-breach-investigations-report.pdf

www.itsec.ru