Podejście Zero Trust, czyli bezpieczeństwo bez zaufania („security without trust”) zdobywa coraz większą popularność i zastosowanie we współczesnych systemach bezpieczeństwa IT. Szczególnie gdy organizacje pracują z bazami danych w chmurze i tam transferują przetwarzane dane, w tym również dane osobowe i informacje poufne, a także know-how.
Model bezpieczeństwa Zero Trust zasługuje na miano filozofii lub bardziej podejścia do technologii i bezpieczeństwa niż technologii samej w sobie. Zero Trust zakłada zasadę ograniczonego zaufania do każdego użytkownika i urządzenia, które loguje się do systemów.
Korzystając z tej filozofii w kwestii zabezpieczeń, za każdym razem, gdy następuje próba połączenia z zasobami informatycznymi, weryfikowane są tożsamości elektroniczne. Przeprowadzenie ponownej autoryzacji jest konieczne, niezależnie od tego, czy urządzenie jest „domyślne” i było wcześniej zweryfikowane.
Historia pojęcia Zero Trust
Termin Zero Trust sięga roku 2010 i stworzony został przez firmę Forrester. Zakłada on bezpieczny dostęp do struktury niezależnie od lokalizacji i urządzenia. Google w roku 2014 przedstawiło swoją interpretację podejścia do metody Zero Trust pod nazwą BeyondCorp. Według tego podejścia sam fakt dostępu do określonej sieci nie może automatycznie oznaczać możliwości uzyskania pełnych uprawnień. Autoryzacja i szyfrowanie dostępu musi odbywać się za każdym razem, gdy użytkownik się loguje.
W roku 2019 National Institute of Standards and Technology w USA opublikowało dokument, w którym zgromadzono dostępną wiedzę o architekturze Zero Trust. Może to pomóc współczesnych firmom IT lepiej zrozumieć to zagadnienie i zacząć konstruować systemy zabezpieczeń z uwzględnieniem filozofii ograniczonego zaufania.
Koncepcja Zero Trust
Zero Trust to model bezpieczeństwa, który zakłada, że zagrożenia są wszechobecne w sieci i poza nią. Ten brak zaufania przekłada się m.in. na ciągłą weryfikację tożsamości elektronicznej. Wedle tego założenia każde zapytanie należy traktować tak, jakby pochodziło ze źródła niezaufanego, bez względu czy na to, czy znamy jego pochodzenie, użytkownika lub czy był on już wcześniej weryfikowany. Oprócz weryfikacji przeprowadza się testy pod kątem szukania anomalii przed udzieleniem dostępu (chyba każdy z czytelników był już przynajmniej raz powiadomiony o tym, że np. ktoś próbował się zalogować z nietypowej lokalizacji na jego konto w aplikacji Gmail, Instagram itd.)
Dane w chmurze a bezpieczeństwo
Obecnie żadna sieć nie jest już wewnętrznym obwodem, gdzie wszystkie informacje znajdują się po jednej stronie barykady zabezpieczeń. Tego typu zabezpieczenia sprawdzały się, gdy firmowe dane i zasoby były scentralizowane oraz przechowywane w jednym miejscu.
Barierą systemu był jeden, wydajny typ zabezpieczenia, a z bazy danych korzystało się przede wszystkim wewnątrz sieci (np. technologie peer to peer, które głównie polegają na hasłach, a nie na wieloskładnikowym uwierzytelnianiu w czasie rzeczywistym). Później, gdy użytkownicy logowali się również z urządzeń zewnętrznych, wystarczał tunel VPN. Obecnie odchodzenie od VPN-ów na rzecz metody Zero Trust to stała tendencja.
Popularnym rozwiązaniem, które jest silnie rozwijane nie tylko w firmach IT, są dane przechowywane w chmurze (Cloud) i przetwarzane jako usługa IaaS (Infrastructure as a Service). Wtedy do serwerów niestacjonarnych przenoszone są wszystkie zasoby firmy. Pracownicy i inni użytkownicy logujący się z komputerów i urządzeń mobilnych podłączonych do różnych sieci w różnych lokalizacjach, tworzą bardzo dużo punktów dostępu, które mogą stanowić zagrożenie wycieku danych uwierzytelniających.
Implementacja podejścia Zero Trust nie jest łatwa, choć nie wymaga całkowitej wymiany infrastruktury. Trzeba jednak ją przeprojektować. Poza tym samo przeniesienie istniejących aplikacji do chmury nie zapewni nam wielowarstwowej ochrony. Najczęściej oznacza to napisanie ich od nowa.
Wielowarstwowa ochrona zasobów
Fakt, że każdy pracownik używać będzie kilku urządzeń, jest nieunikniony. Dlatego powinno się rejestrować ich aktywność. Zasoby, które powinny być chronione przy pomocy Zero Trust, obejmują niemalże całą infrastrukturę informatyczną firmy. Każdy obiekt, który próbuje uzyskać dostęp do zasobu, powinien podlegać autoryzacji — najlepiej wielostopniowej. Interfejsy aplikacji, z których korzystają użytkownicy, mogą być typu on-premise (czyli wewnętrzne) lub dostarczane z zewnątrz – z chmury, od innego dostawcy. Niezależnie od pochodzenia muszą być monitorowane.
Po tym, jak uwierzytelnianie użytkownika zakończy się sukcesem, tożsamość elektroniczna musi być stale monitorowana (każde nietypowe/niezwyczajne zachowanie powinno wzbudzać alarm systemu zabezpieczeń: „zarejestrowaliśmy nietypowe działanie na twoim koncie — potwierdź, że to ty” itp.).
Ochronie w ramach Zero Trust podlegają zatem bazy danych i informacje, które są w nich zawarte, funkcjonujące w organizacji systemy oraz aplikacje. To właśnie są najcenniejsze zasoby, jakie posiadają organizacje. Nie zabezpiecza się tylko ścieżki dostępu do danych, ale również same dane powinny być szyfrowane i przechowywane w chronionej lokalizacji.
Zero Trust polega także na segmentowaniu sieci, co zmniejsza możliwości ataku przez przełączanie się pomiędzy hostami. Dzięki tej mikrosegmentacji sieci przez podział na niezależne fragmenty, atakujący po włamaniu do jednej części, nie ma dostępu do całości. W efekcie sieć wewnętrzna jest bardziej chroniona, a zasoby bezpieczniejsze.
Jak w praktyce wygląda Zero Trust?
Model bezpieczeństwa Zero Trust powinien być wykorzystywany jako forma prewencji przed faktycznym zagrożeniem wycieku danych i stworzenia wyłomu w zaporach bezpieczeństwa. Dla lepszej ochrony warto wdrożyć system monitorowania aktywności i zachowania użytkowników sieci, a także szyfrować dane nie tylko w ruchu, ale również w spoczynku.
Na przykład jednym z rozwiązań zgodnych z podejściem Zero Trust, które można wprowadzić do systemu udostępniania danych, jest zamknięcie dostępu dla użytkowników zweryfikowanych w innym obszarze.
Każdemu z użytkowników systemu należy się określony zakres dostępu. Prośby o ponowne uwierzytelnienie dostępu lub jego całkowite zamknięcie powinny być podyktowane zakresem obowiązków pracownika. Nie jest wskazane udostępnianie im pełnych uprawnień, ponieważ to naraża niepotrzebnie bezpieczeństwo całej struktury.
Wewnętrzne zagrożenia bezpieczeństwa
Zero Trust tworzy bezpieczną sieć do pracy, ale również stanowi wyzwanie dla administratorów, ponieważ stworzenie sprawnego i spójnego systemu bezpieczeństwa nie może stać na drodze do czerpania informacji z chronionej bazy danych. Dlatego budując infrastrukturę bezpieczeństwa i uszczelniając system firmy, należy pamiętać, aby nie stał się on przeszkodą w jego użytkowaniu.
Słabością każdego systemu zabezpieczeń i jego czułym elementem może być również sam użytkownik. Frustracja spowodowana liczbą etapów w celu weryfikacji i ciągłym powtarzaniem tej samej czynności uwierzytelniającej, może skutkować próbami ich ominięcia lub celowym sabotażem. Warto mieć to na uwadze.
Czy warto wprowadzić Zero Trust?
Zero Trust to podejście do bezpieczeństwa, które zakłada rygorystyczną, wieloetapową weryfikację i autoryzację. Jest zasadą ograniczonego zaufania nawet w stosunku do wcześniej zweryfikowanych tożsamości. Jeśli firma ma cenne zasoby, dysponuje wrażliwymi danymi klientów lub jej biznes polega na przechowywaniu danych, to podejście Zero Trust wydaje się koniecznością w celu minimalizacji ryzyka włamania i wycieku danych.
Metodyka Zero Trust to wciąż rozwijane podejście, którego popularność ciągle rośnie. Duże organizacje wdrażają eksperymentalnie rozwiązania, z których w przyszłości będą mogły korzystać także mniejsze przedsiębiorstwa.
Zanim zdecydujesz się wprowadzić model Zero Trust, zapoznaj się poradami tych, którzy mają taką implementację za sobą. Być może należy małymi krokami zapewniać bezpieczeństwo infrastruktury IT, zaczynając od lepszej organizacji procesu nadawania dostępów, o czym możesz porozmawiać z naszym ekspertem.
