Zero Trust Full

Zero Trust este intenția de a muta apărarea din perimetrele statice (conceptul de de-perimetrizare), bazate pe rețea, pentru a se concentra asupra utilizatorilor, activelor și resurselor (protecția datelor și a serviciilor).

Această ideea de de-perimetrizare apare deoarece, în mod tradițional, totul pare să se concentreze pe apărarea perimetrală iar subiecții autentificați au acces la un anumit nivel de autorizare la o colecție mai mult sau mai puțin largă de resurse odată aflați în rețeaua internă.

Ca urmare, mișcarea laterală neautorizată în mediu a atras o sumă semnificativă de probleme și, astfel, a apărut imperativitatea zero trust.

Așadar, o astfel de arhitectură, de încredere zero (ZTA – Zero Trust Architecture) va utiliza principii de încredere zero pentru a planifica infrastructura și fluxurile de lucru, intenția de bază fiind de a preveni breșele de securitate a datelor și pentru a limita mișcarea laterală internă și, în consecință, de a preveni accesul neautorizat la date și servicii, împreună cu un acces cât mai minimal. Adică, subiecții aprobați și autorizați (combinații de utilizatori, aplicații și sau servicii precum și dispozitive care pot accesa datele cu excluderea tuturor celorlalte subiecte, adică atacatori).

La toate acestea se adaugă și imposibilitatea TIC-urilor (TIC – Trusted Internet Connection) și a firewall-urilor perimetrale de a bloca și detecta atacuri din interiorul rețelei și nu pot proteja subiecții din afara perimetrului (de exemplu lucrătorii la distanță, serviciile bazate pe cloud, dispozitivele de margine, etc), fără a mai lua în calcul posibilitatea ca atacatorul să fie deja în interior (printr-un exploit sau altă metodă).

Zero Trust presupune că nu există o încredere implicită acordată activelor sau conturilor de utilizator bazate exclusiv pe locația lor fizică sau de rețea (de exemplu, rețele locale față de internet) sau pe baza proprietății asupra activelor (întreprindere sau proprietate personală), ele fiind permanent evaluate.

Deci, aceste modele de securitate presupun că un atacator este prezent în mediu și proprietarul/ utilizatorul mediul nu trebuie să-și asume nici o încredere implicită și să analizeze și să evalueze continuu riscurile pentru activele și funcțiile sale personale și/ sau de afaceri și apoi să adopte măsuri de protecție pentru a atenua aceste riscuri.

Așadar, totul se concentrează pe protejarea resurselor (active, servicii, fluxuri de lucru, conturi de rețea, etc) și nu pe segmente de rețea, deoarece locația rețelei nu mai este văzută ca fiind componenta principală a posturii de securitate a resursei, intenția de bază fiind minimizarea accesului la resurse (cum ar fi datele, resursele de calcul, aplicații/ servicii, etc.) numai pentru acei subiecți și active identificate ca având nevoie de acces, precum și autentificarea și autorizarea continuă a poziției de identitate și securitate a fiecărei cereri de acces.

Autentificarea și autorizarea (atât subiectul cât și dispozitivul) sunt funcții discrete efectuate înainte de stabilirea unei sesiuni la o resursă cu reducerea zonelor de încredere implicite la maximum, încrederea zero fiind în special un răspuns la tendințele unei rețele de a răspunde utilizatorii la distanță, cu propriul lor BYOD (Bring Your Own Device) și active bazate pe cloud care nu se află într-o limită de rețea deținută de utilizator (persoană fizică, întreprindere, corporație, etc).

Deci este vorba despre o abordare end-to-end a resurselor și securității datelor care cuprinde identitatea (persoană și non-persoană), acreditările, gestionarea accesului, operațiunile, endpoint—urile, mediile de găzduire și infrastructura de interconectare, menținându-se disponibilitatea și minimizând pierderile temporale în mecanismele de autentificare.

Astfel, accesul se acordă doar prin intermediul unui punct de decizie PDP (Policy Decision Point) și a unui punct de aplicare PEP (Policy Enforcement Point) care va permite legătura între acces și resursă (sistem, date sau aplicații).

Sistemul trebuie să se asigure că subiectul este autentic iar cererea este valabilă, PDP/PEP adoptând o hotărâre adecvată pentru a permite subiectului să acceseze resursa.

Acest lucru implică că încrederea zero se aplică în două domenii de bază: autentificarea și autorizarea. Care vor presupune apariția unor întrebări legitime cum ar fi:

  • Care este nivelul de încredere cu privire la identitatea subiectului pentru această cerere unică?
  • Accesul la resursă este permis având în vedere nivelul de încredere în identitatea subiectului?
  • Dispozitivul utilizat pentru solicitare are postura de securitate corespunzătoare?
  • Sunt acolo alți factori care ar trebui luați în considerare și care schimbă nivelul de încredere (de exemplu timpul, locația subiectului, postura de securitate a subiectului)
  • ... și altele ...

Sunt multe elemente de luat în considerare, funcție de complexitatea sistemului/ rețelei ce se va lua în considerare dar ideea de bază este că oricine nu ar trebui să se bazeze pe încrederea implicită în care subiectul a îndeplinit un anumit nivel de autentificare de bază (de exemplu logarea la un activ, resursă, etc), toate solicitările ulterioare de resurse fiind considerate a fi la fel de valabile.

De aici se va lua în considerare orice formă de creare a unei “zone de încredere implicită”, care reprezintă zona în care toate entitățile sunt de încredere cel puțin la nivelul ultimului punct PDP/PEP.

Ca exemplu se poate considera modelul de screening al pasagerilor dintr-un aeroport. Toți pasagerii care trec de punctul de control de securitate al aeroportului (PDP/PEP) o fac similar accesării porților de îmbarcare. Odată ce se trece de acest punct PDP/PEP nu mai poate aplica politici suplimentare dincolo de amplasarea sa în fluxul de trafic.

Și, astfel, după acest punct se poate întâmpla orice. Acesta este motivul pentru care este obligatoriu ca PDP/PEP să fie cât mai specific posibil, zona de încredere implicită fiind cât mai mică posibil.

În final, ideea de a autentifica și autoriza în mod explicit toate subiectele, activele și fluxurile de lucru sunt elementele cheie abordate în baza principiilor și conceptelor Zero Trust.

 

Bibliografie:

Zero Trust Architecture - Zero Trust Architecture | NIST.

Publicația “NIST Special Publication 800-207„ – Zero Trust Architecture.

Dorin M - 04 ianuarie 2022

Logo Dorin M Wolf

 

Vă mulţumesc pentru vizită!

Oricând veţi considera că "merită" vă aştept cu aprecieri, comentarii sau donaţii în
contul RO95BRDE090SV31723640900 deschis la "BRD - Groupe Société Générale" S.A. România sau
donaţie prin Paypal (folosind butonul de mai jos).

sau pe Patreon (utilizând butonul de mai jos).

Become a Patron!
  • About the Author: Dorin M - Merticaru Dorin Nicolae