Co je to Zero Trust Security? Úvodní příručka

Koncept Zero Trust, tedy „nulová důvěra“, je proaktivní strategií obrany, která získává na popularitě v reakci na rostoucí obavy o bezpečnost. Technologie, které tuto strategii podporují, jsou stále častěji nasazovány.

Důvěra se stala klíčovým tématem v diskusích o kybernetické bezpečnosti. Základní prvky, jako jsou síťová infrastruktura, uživatelé, zařízení, koncoví uživatelé a dodavatelé, jsou tradičně považovány za "důvěryhodné".

Tento přístup, který dříve efektivně chránil firmy, data i jednotlivce, je však v dnešním technicky vyspělém světě stále častěji zneužíván kyberútočníky. To je způsobeno několika faktory:

Zastaralý model zabezpečení "hrad a příkop", kde je bezpečnostní perimetr umístěn pouze kolem budovy, ve které podnik operuje. Pokud se útočníkovi podaří tento perimetr prolomit, může způsobit značné škody.
Nepřiměřené řízení přístupu, jako jsou síťové firewally bez možnosti dohledu nad uživatelskými aplikacemi a službami. V případě průniku do sítě mají hackeři snadný přístup k těmto aplikacím.
Technologie VPN jsou užitečné pro zabezpečení datové komunikace, ale autorizace a autentizace nejsou vždy spolehlivé.
Změny v pracovních postupech, jako jsou zásady BYOD a práce na dálku, při kterých zaměstnanci používají svá zařízení. Pokud není zaveden robustní bezpečnostní systém, hrozí úniky dat.

Všechny tyto bezpečnostní výzvy vedly k poptávce po flexibilním, dynamickém a jednoduchém systému, který by poskytoval vysokou úroveň zabezpečení jak interně, tak externě.

Odpovědí je model Zero Trust Security.

V tomto článku se seznámíme s principy Zero Trust Security, jeho implementací a dalšími relevantními informacemi.

Začněme!

Co znamená nulová důvěra?

Zero Trust je moderní bezpečnostní přístup, který vyžaduje, aby všichni uživatelé, ať už jsou uvnitř, nebo vně firemní sítě, byli před udělením přístupu k síti, datům a aplikacím autorizováni, autentizováni a průběžně ověřováni z hlediska jejich bezpečnostního stavu a konfigurace.

Tento přístup využívá moderní technologie, jako je vícefaktorová autentizace, zabezpečení koncových bodů nové generace a správa identit a přístupu (IAM) pro ověření identity uživatele a současné udržování vysoké úrovně zabezpečení.

Kromě přísného ověřování identity chrání Zero Trust uživatele i aplikace před sofistikovanými online hrozbami.

Termín "nulová důvěra" se zpopularizoval díky Johnu Kindervagovi ze společnosti Forrester, ale jeho skutečným autorem je Stephen Paul Marsh. Ten jej definoval ve své diplomové práci o počítačové bezpečnosti na University of Stirling již v dubnu 1994.

Většina konceptů Zero Trust není tedy ve skutečnosti nová. Marsh ve své práci uvedl, že důvěra je koncept přesahující lidské aspekty jako etika, morálka, spravedlnost a zákonnost a lze ji chápat jako matematický konstrukt.

Cílem Zero Trust je šířit myšlenku, že organizace nesmí automaticky důvěřovat žádným zařízením ani uživatelům, i když jsou připojeni k firemní LAN nebo byli ověřeni v minulosti. Tento model se opírá o průběžný přehled o atributech uživatele v reálném čase, jako jsou identita uživatele, verze firmwaru, typ koncového hardwaru, verze OS, zranitelnosti, úroveň oprav, přihlášení uživatelů, nainstalované aplikace, detekce incidentů atd.

Díky svým robustním bezpečnostním schopnostem získává Zero Trust na popularitě a stále více organizací, včetně společnosti Google s projektem BeyondCorp, jej začíná implementovat.

Hlavním důvodem této rostoucí adopce je nárůst kybernetických útoků, které se zaměřují na koncové body, lokální zařízení, sítě, data, cloudové aplikace a další IT infrastrukturu. Navíc pandemie COVID-19 a s ní spojená práce z domova dále zvýšily počet online útoků po celém světě.

Proto se bezpečnostní postupy jako Zero Trust jeví jako životaschopná volba.

Zpráva předpokládá, že globální trh se zabezpečením Zero Trust poroste o 17,4 % CAGR a dosáhne v roce 2026 hodnoty 51,6 miliard USD oproti 19,6 miliardám USD v roce 2020.

Mezi populární termíny související s Zero Trust Access patří Zero Trust Application Access (ZTAA), Zero Trust Network Access (ZTNA), Zero Trust Identity Protection (ZTIP) atd.

Jaké jsou hlavní principy nulové důvěry?

Koncept Zero Trust Security je založen na následujících principech, které pomáhají zabezpečit síť organizace:

Přístup s minimálními privilegii 🔐

Tento základní koncept spočívá v udělování uživatelům pouze takové úrovně přístupu, kterou potřebují pro svou práci a plnění svých rolí. Tím se snižuje expozice uživatele citlivým komponentám sítě.

Identifikace uživatele ✔️

Je nutné mít přehled o všech uživatelích, kteří mají přístup do sítě, aplikací a dat. Důsledné ověřování a autorizace při každé žádosti o přístup zajistí silnější zabezpečení organizace.

Mikrosegmentace 🍱

Rozdělení bezpečnostního perimetru na menší zóny je zásadní. Tento proces, známý také jako zónování, zajišťuje samostatný přístup pro různé části sítě.

Mezi těmito zónami je nutné neustále spravovat a monitorovat data. To nabízí detailní řízení přístupu a eliminuje nadbytečná oprávnění.

Využití pokročilých preventivních technik 🛑

Zero Trust doporučuje používat pokročilé preventivní techniky, které dokážou zastavit online narušení a minimalizovat škody.

Vícefaktorová autentizace (MFA) je technika pro potvrzení identity uživatele a posílení zabezpečení sítě. Funguje tak, že uživateli klade bezpečnostní otázky, odesílá potvrzovací SMS/e-maily, nebo hodnotí uživatele pomocí logických cvičení. Čím více ověřovacích bodů, tím silnější je zabezpečení organizace.

Monitorování přístupu zařízení v reálném čase 👁️

Kromě řízení přístupu uživatelů je nutné sledovat a řídit přístup zařízení v reálném čase. Všechna tato zařízení musí být autorizována, aby se minimalizovala možnost útoků.

Jaké jsou výhody Zero Trust?

Zero Trust poskytuje robustní strategii pro zabezpečení a odolnost organizace a nabízí firmám řadu výhod:

Ochrana před vnějšími i vnitřními hrozbami

Zero Trust nabízí přísné zásady pro zastavení externích hrozeb a ochranu před škodlivými interními aktéry, kteří využívají důvěru, kterou v ně máte.

Podle zprávy společnosti Verizon se zhruba 30 % všech úniků dat týká interních osob.

Zero Trust proto používá koncept „nikdy nedůvěřuj, vždy ověřuj“.

Implementací rozšířené a explicitní autentizace a monitorováním a ověřováním každého přístupu k datům, zařízením, serverům a aplikacím se zamezí zneužití oprávnění ze strany interních uživatelů.

Ochrana dat

Zero Trust brání malwaru a zaměstnancům v přístupu k rozsáhlým částem sítě. Omezením jejich přístupu a doby jeho trvání se snižuje počet útoků a v případě průniku se omezí jeho dopad, čímž se předejde větším škodám.

V důsledku toho jsou firemní data chráněna před hackery. I pokud malware pronikne přes firewall, má přístup pouze k omezené části dat na omezenou dobu.

Zero Trust chrání nejen firemní data, ale také duševní vlastnictví a data zákazníků. Ochrana před útoky chrání reputaci firmy a důvěru zákazníků, a zároveň se předchází finančním ztrátám.

Lepší viditelnost sítě

Vzhledem k tomu, že Zero Trust neumožňuje důvěřovat nikomu a ničemu, můžete si vybrat, které aktivity a zdroje chcete mít pod dohledem. Intenzivní monitorování všech firemních zdrojů, včetně počítačů a dat, umožňuje získat kompletní přehled o tom, která zařízení a uživatelé mají přístup k síti.

Získáte tak detailní informace o aplikacích, uživatelích, umístění a čase souvisejících s každou žádostí o přístup. Jakékoli neobvyklé chování je okamžitě detekováno a veškerá aktivita je sledována v reálném čase, což zajišťuje komplexní zabezpečení.

Zabezpečení vzdálené pracovní síly

Vzdálená práce se stala běžnou ve všech odvětvích, zejména po pandemii COVID-19. S tím se však zvýšila i kybernetická rizika a zranitelnosti, které vyplývají ze slabých bezpečnostních opatření na zařízeních a sítích zaměstnanců. Dokonce i firewally jsou neefektivní a ohrožují data uložená v cloudu.

Implementací Zero Trust se koncept perimetru "hrad a příkop" nahrazuje identifikací a ověřováním uživatelů na každé úrovni. Identita se spojuje s každým zařízením, uživatelem a aplikací, která chce vstoupit do sítě.

Tímto způsobem poskytuje Zero Trust robustní ochranu pro všechny zaměstnance bez ohledu na jejich lokaci nebo umístění dat.

Usnadnění správy IT

Zabezpečení Zero Trust spoléhá na nepřetržité monitorování, kontrolu a analýzu. Automatizace usnadňuje vyhodnocování žádostí o přístup. Pokud by se vše dělalo manuálně, schvalování každé žádosti by zabralo mnoho času a zpomalilo pracovní postupy, což by ovlivnilo obchodní cíle a příjmy.

Automatizace, jako například správa privilegovaného přístupu (PAM), umožňuje posuzování žádostí o přístup na základě bezpečnostních identifikátorů a automatické udělování přístupu. Tím se minimalizuje nutnost zapojení IT týmu a předchází se lidským chybám.

Pokud systém označí požadavek jako podezřelý, správci mohou zasáhnout. To umožňuje zaměstnancům soustředit se na inovace a zlepšování namísto vykonávání rutinních úkolů.

Zajištění souladu

Každá žádost o přístup je nejprve vyhodnocena a poté protokolována. To zajišťuje dodržování předpisů. Systém sleduje čas, aplikaci a umístění každého požadavku a vytváří auditní záznam, který slouží jako řetězec důkazů.

Zjednodušuje se tak správa a minimalizují se rizika spojená s dodržováním předpisů.

Jak zavést Zero Trust?

Každá organizace má jedinečné potřeby a výzvy, ale určité aspekty jsou společné. Proto lze Zero Trust implementovat v různých organizacích bez ohledu na odvětví či typ podnikání.

Zde je návod, jak implementovat Zero Trust zabezpečení ve vaší organizaci:

Identifikace citlivých dat

Identifikace citlivých dat, jejich umístění a toku, pomůže určit nejlepší bezpečnostní strategii.

Je také nutné identifikovat aktiva, služby a aplikace, prozkoumat stávající nástroje a odhalit mezery v infrastruktuře, které mohou sloužit jako bezpečnostní mezery.

Zajistěte maximální úroveň ochrany pro nejdůležitější data a aktiva.
Klasifikujte data na: důvěrná, interní a veřejná. Využijte mikrosegmentaci nebo zónování a vytvářejte menší celky dat propojené v rámci rozšířeného síťového ekosystému.

Mapování toků dat

Zmapujte, jak data proudí sítí, včetně transakčních toků, které mohou být obousměrné. To pomůže optimalizovat tok dat a vytvářet mikrosítě.

Zajistěte detailní přehled o umístění citlivých dat a uživatelích, kteří k nim mají přístup, a implementujte přísnější bezpečnostní postupy.

Vytvoření Zero Trust mikrosítí

Na základě informací o toku dat vytvořte pro každý datový tok mikrosítě. Vytvořte je tak, aby se pro každý případ použití využily nejlepší bezpečnostní postupy.

V tomto kroku použijte virtuální a fyzické bezpečnostní prvky, jako například:

Zpevnění mikroobvodů pro zamezení neoprávněnému pohybu. Organizaci lze segmentovat podle umístění, uživatelských skupin, aplikací atd.
Implementujte vícefaktorovou autentizaci (MFA), jako je dvoufaktorová (2FA) nebo třífaktorová (3FA). Tyto bezpečnostní prvky nabízejí další vrstvu zabezpečení a ověření pro každého uživatele, ať už je v organizaci nebo mimo ni.
Zaveďte přístup s minimálními oprávněními, který je nezbytný pro plnění úkolů a rolí. Toto by mělo vycházet z umístění citlivých dat a jejich toku.

Průběžné monitorování Zero Trust systému

Monitorujte celou síť a mikroobvody, sledujte, zaznamenávejte a analyzujte veškerá data, provoz a aktivitu. Pomocí těchto informací lze detekovat škodlivou aktivitu a její zdroje a posílit zabezpečení.

To poskytuje širší pohled na udržování zabezpečení a na to, zda ve vaší síti funguje Zero Trust.

Využití automatizačních nástrojů a organizačních systémů

Automatizujte procesy pomocí automatizačních nástrojů a organizačních systémů. Tím se maximalizuje efektivita implementace Zero Trust, ušetří se čas a sníží se riziko lidských chyb.

Nyní, když máte lepší přehled o Zero Trust, o tom, jak funguje, jak jej implementovat a jaké jsou jeho výhody, podívejme se na některé nástroje, které vám mohou usnadnit implementaci.

Jaká jsou bezpečnostní řešení s nulovou důvěrou?

Mnoho prodejců nabízí řešení Zero Trust, jako jsou Akamai, Palo Alto, Cisco, Illumio, Okta, Unisys, Symantec, Appgate SDP a další.

Řešení nebo software pro Zero Trust Networking pomáhá implementovat model Zero Trust, spravovat identitu a zabezpečit síť. Umožňuje průběžně sledovat síťovou aktivitu i chování uživatelů a ověřuje každou žádost o přístup.

V případě pokusu o porušení oprávnění nebo neobvyklého chování je uživatel vyzván k provedení dalšího ověření. Software shromažďuje data z protokolů, chování uživatelů a přístupových bodů a poskytuje podrobnou analýzu.

Software může využívat autentizaci na základě rizik, zejména pro řízení přístupu k síti. Některé příklady síťového softwaru Zero Trust:

Okta: Využívá cloud a prosazuje přísnější bezpečnostní zásady. Software se integruje se stávajícími systémy identity a adresáři vaší organizace, a také s více než 4000 aplikacemi.
Perimeter 81: Využívá robustní softwarově definovanou architekturu perimetru, nabízí širokou viditelnost sítě, plnou kompatibilitu, bezproblémovou integraci a 256bitové šifrování na bankovní úrovni.
SecureAuth Identity Management: Nabízí flexibilní a bezpečné ověřování pro uživatele ve všech prostředích.

Dalšími významnými softwarovými řešeními Zero Trust Networking jsou BetterCloud, Centrify Zero Trust Privilege, DuoSecurity, NetMotion a další.

Jaké jsou výzvy při implementaci Zero Trust?

Implementace Zero Trust je pro mnoho organizací náročná z mnoha důvodů:

Starší systémy: Pro firemní operace se často používají starší systémy, nástroje, aplikace, síťové zdroje a protokoly. Ověření identity nemůže ochránit všechny a jejich přepracování by bylo nákladné.
Omezené ovládací prvky a viditelnost: Většina organizací nemá komplexní přehled o svých sítích a uživatelích a nemůže z jakéhokoli důvodu nastavit přísné protokoly.
Předpisy: Regulační orgány ještě nepřijaly Zero Trust. Organizace proto budou mít potíže při procházení bezpečnostních auditů.

Například PCI-DSS vyžaduje segmentaci a firewally pro ochranu citlivých dat. S modelem Zero Trust však nemáte firewall, což představuje riziko při dodržování předpisů. Pro přijetí Zero Trust zabezpečení jsou nutné významné změny v předpisech.

Závěr

Zero Trust je sice stále v růstové fázi, ale v bezpečnostním odvětví budí velký rozruch. Se stále rostoucím počtem kybernetických útoků po celém světě je potřeba mít robustní systém, jako je Zero Trust.

Zero Trust poskytuje silnější bezpečnostní architekturu s řízením identity a přístupu k datům a transakcím. Ověřuje všechna zařízení a uživatele v každém přístupovém bodě. Dokáže chránit organizace před všemi druhy online hrozeb – lidmi i programy, vnějšími i vnitřními v síti.