Zero Trust architektúra

Az

Zero Trust Architecture (ZTA) egy olyan biztonsági modell, amely kifejezett ellenőrzést igényel minden egyes erőforráshoz való hozzáférési kísérletnél, anélkül, hogy a hálózati hely alapján adná meg a bizalmat. „Soha ne bízz, mindig ellenőrizd” – a hívószó elfáradt, de az elv érvényes. A modell John Kindervag 2010-es Forrester-kutatásából jött létre, és most a NIST SP 800-207 kóddal van kódolva.

Mit váltott fel?

A hagyományos modell – „kastély és vizesárok” – feltételezve:

• A fenyegetések kívülről származnak; ha már bent van, megbízik benned
• A tűzfalak és a VPN-ek határozzák meg a kerületet
• A hálózat a biztonsági határ.

Ez addig működött, amíg meg nem. Kompromittált hitelesítő adatok, ellátási lánc támadások, rosszindulatú bennfentesek és távoli munkavégzés mind megkerülték a határt. A 2010-es évek hírhedt jogsértései – Target, OPM, Anthem, Sony, Equifax – mind egy támadót érintettek, aki bejutott a kerületbe, majd szabadon mozgott. A kerület volt az egyetlen hibapont.

Zero Trust azt mondja: tételezzük fel, hogy a támadó már bent van. Hitelesítsen és engedélyezzen minden kérést, mintha ellenséges hálózatból származna. A védelem nem függ a kerülettől.

Az alapelvek

NIST hét alapelve:

1. Minden adatforrás és számítástechnikai szolgáltatás erőforrás. Nincs speciális rendszerállapot a „belső” számára. a kommunikáció a hálózati helytől függetlenül biztonságos. Mindig titkosítja az átvitelt; ne bízzon csak azért, mert a forgalom a tűzfalon belül van.
2. Az egyes erőforrásokhoz való hozzáférés munkamenetenkénti alapon történik. Erőforrásonkénti hitelesítés, kérésenként, hálózati bejegyzésenként nem egyszer.
3. A hozzáférési irányelvek +Z3 eszközkörnyezetX határozzák meg +PL3. kockázati pontszám, nem csak „a 10.0.x.x alhálózatban van”.
4. A vállalat felügyeli és méri az összes tulajdonban lévő és kapcsolódó eszköz integritását. Folyamatos eszközállapot-ellenőrzés.
5. Minden erőforrás4Z dinamikus hitelesítéshez és engedélyezéshez7 szigorúanX. A munkamenetek megszakíthatók, ha a testtartás megváltozik.
6. A vállalat a lehető legtöbb információt összegyűjti az eszközök állapotáról, a hálózati infrastruktúráról és a kommunikációról. A telemetria táplálja a kockázati döntést.

Hogyan néz ki valójában a gyakorlatban?Z5PLZ655AXX? egyesíti:

• Iidentitásszolgáltató (Okta, Microsoft Entra, Google Workspace) – az igazság egyetlen forrása, hogy ki vagy.
• Eszközkezelés (Jamf, Intune, Chrome Enterprise) – tudja, mely eszközök egészségesek, és kompatibilis.
• Access proxy (Cloudflare Access, Zscaler, Tailscale, BeyondCorp) – minden belső alkalmazás előtt áll, és minden kérésnél érvényesíti a szabályzatot.
• – A forgalom hitelesítése a megbízhatósághoz, a PLZ3-szolgáltatáshoz sem kapcsolódikX a hálózaton belül.
• Policy engine — minden kérést az identitást, eszközt és kontextust kombináló szabályok alapján értékel ki.

A felhasználók számára az eredmény láthatatlan: nyissa meg az Outlookot, nyomja meg a Salesforce-t, szerkesszen egy Confluence oldalt – minden tranzakció, amely a hozzáférési proxykon és az eszközökön áthalad. A felhasználó nem látja a házirend-motort; látják az egyszeri bejelentkezést, és az alkalmazások csak működnek.

BeyondCorp: a modell

A Google BeyondCorp kezdeményezése (2009-ben indult belsőleg, 2014–2017-ben jelent meg) volt az első nagyszabású Zero Trust bevezetés. A Google eltávolította a vállalati VPN-t, és minden belső alkalmazást közvetlenül elérhetővé tett a nyilvános interneten keresztül – amelyet egy identitástudatos proxy őrzött, amely minden kérésnél ellenőrizte a felhasználót, az eszközt és a környezetet. A modell bebizonyította, hogy a Zero Trust nagy méretekben is működhet, és a Google termékesítette, mivel a GCP.

BeyondCorp sikere hajtotta az iparágat. A legtöbb nagyvállalat legalább megkezdte a Zero Trust útját, még akkor is, ha az átállás lassú, mert sok örökölt dolog épült a régi peremmodell köré.

Zero Trust és VPNs

Zero Trust néha „a VPN halálaként” emlegetik. Részben igaz. A hagyományos vállalati VPN-ek hozzáférést biztosítanak a hálózathoz, amely után a felhasználó bármit elérhet, amire jogosult. A Zero Trust bizonyos alkalmazásokhoz biztosít hozzáférést, nem pedig a hálózathoz – jelentősen csökkentve a feltört felhasználó behatolási sugarát.

A modern alternatívák közé tartozik az Tailscale (amely VPN, de alkalmazásonkénti ACL-ekkel és identitástudatos hozzáféréssel – gyakorlatilag egy kisméretű Zero Trust), a Cloudflare Access és a különböző ZTNA (Zero Trust Network Access) termékek.

Ahol a Zero Trust keményXPLXZ4 részek:

• Régi alkalmazások. Azok az alkalmazások, amelyek elvárják, hogy megbízható hálózaton legyenek, gyakran nem rendelkeznek megfelelő hitelesítéssel. Utólag be kell szerelni vagy proxyzni kell őket.
• Szolgáltatások közötti hitelesítés. Az egymással beszélgető mikroszolgáltatások jelentős támadási felületet jelentenek, és az mTLS plusz identitástudatos szolgáltatási háló működési szempontból összetett.
• Policy-per-app-8 a kontextusonkénti irányelvek sok szabályt tartalmaznak. A kiforrott telepítések absztrakciókat (csoportokat, szerepköröket, attribútumokat) használnak, de a kognitív terhelés valós.
• Migrációs költség. A kerületi alapú vezérlők zéró bizalmi vezérlőkkel való helyettesítése minden nagy szervezet számára több éves út. A legtöbb már félkész.

Zéró bizalom az egyének számára

Az alapelvek leépülnek. Magánszemélyként:

• Erős hitelesítést használjon mindenhol – jelszavak + 2FA vagy jelkulcsok
• Ne bízzon az otthoni hálózatában – titkosítson mindent a tranzitban.
• Futtassa a legkevesebb jogosultsággal rendelkező fiókokat az eszközökön (alapértelmezés szerint nem adminisztrátor3, mivel XXPLZ35) A feltört végpontok a leggyakoribb Zero Trust megsértése
• A böngészőmunkameneteket alapértelmezés szerint nem megbízhatóként kezeli – homokozóban, tartalomszűréssel

Ön nem telepíthet Zero Trust architektúrát otthon, de a gondolkodásmód – feltételezi, hogy bármelyik réteg meghibásodhat – a PLZ42 közvetlenül fordítja.