Корпоративная безопасность
В последние годы среди организаций набирает популярность концепция «нулевого доверия» (Zero Trust). По данным за 2019 год, 78% ИБ-отделов уже реализовали ее или планировали на нее перейти. Разбираемся, что это за концепция и чем она привлекательна для бизнеса.
Периметра больше нет
Традиционно при защите инфраструктуры компании оперируют понятием «защита периметра». Этот принцип предполагает тщательную проверку всего, что пытается подключиться к ресурсам компании извне. При этом внутри периметра (то есть в корпоративной сети) образуется доверенная зона, в которой пользователи, устройства и приложения обладают определенной свободой действий.
Пока доверенная зона ограничивалась локальной сетью и подключенными к ней стационарными устройствами, защита периметра была эффективной. Однако с ростом количества мобильных гаджетов и облачных сервисов, которыми пользуются организации и их сотрудники, понятие периметра размылось. У большинства современных компаний по меньшей мере часть корпоративных ресурсов расположена за пределами офиса, а то и страны. Соответственно, спрятать их за одной большой стеной практически невозможно. А вот проникнуть внутрь доверенной зоны и беспрепятственно перемещаться по ней стало значительно проще.
Поэтому в 2010 году аналитик проекта Forrester Research Джон Киндерваг (John Kindervag) выдвинул концепцию «нулевого доверия» как альтернативу «защите периметра». Он предложил отказаться от разделения ресурсов на внешние и внутренние. Концепция Zero Trust — это по сути полное отсутствие каких-либо доверенных зон. В рамках этой модели пользователи, устройства и приложения подлежат проверке каждый раз, когда требуют доступ к какому-либо корпоративному ресурсу.
Реализация модели Zero Trust на практике
Единого подхода к развертыванию системы безопасности, основанной на «нулевом доверии», не существует. Однако можно выделить несколько базовых принципов, позволяющих выстроить такую систему.
Поверхность защиты вместо поверхности атаки
В контексте модели «нулевого доверия» принято говорить о «поверхности защиты» (protect surface). В нее входит все то, что организация должна защитить от несанкционированного доступа: конфиденциальные данные, элементы инфраструктуры и так далее. Поверхность защиты значительно меньше поверхности атаки, в которую входят все потенциально уязвимые объекты инфраструктуры, процессы и их участники. А значит, обеспечить безопасность поверхности защиты проще, чем свести к нулю поверхность атаки.
Микросегментация
В отличие от классического подхода, подразумевающего защиту внешнего периметра, модель Zero Trust предполагает разделение корпоративной сети и других ресурсов на небольшие узлы, которые могут состоять даже из одного-единственного устройства или приложения. На выходе получается множество микроскопических периметров со своими политиками безопасности и правами доступа. Это позволяет гибко управлять доступом и исключить бесконтрольное распространение угрозы внутри сети.
Принцип минимальных привилегий
Каждому пользователю предоставляется ровно столько прав, сколько необходимо для выполнения его задач. Соответственно, если аккаунт отдельного пользователя взломают, это может привести к компрометации части ресурсов, но не всей инфраструктуры.
Аутентификация
Доктрина «тотального недоверия» предписывает видеть потенциальную угрозу в любой попытке получить доступ к корпоративной информации до тех пор, пока не будет доказано обратное. То есть для каждой конкретной сессии пользователь (устройство, приложение) должен пройти процедуру аутентификации и подтвердить свое право на доступ к тем или иным данным.
Тотальный контроль
Для эффективного внедрения модели «нулевого доверия» IT-отдел должен иметь возможность управлять всеми рабочими устройствами и приложениями. Также важно записывать и анализировать информацию обо всех событиях на конечных точках и в других элементах инфраструктуры.
Преимущества Zero Trust
Помимо того, что концепция «нулевого доверия» избавляет организацию от необходимости защищать периметр, который все больше размывается по мере повышения мобильности бизнеса, она решает и некоторые другие проблемы. В частности, благодаря тому, что все участники процесса постоянно проверяются и перепроверяются, компании легче приспосабливаться к изменениям, например лишать прав доступа уволившихся сотрудников и адаптировать привилегии тех, чей круг задач изменился.
Сложности в реализации модели Zero Trust
Переход на концепцию «нулевого доверия» для отдельных организаций может оказаться долгим и трудным. Если ваши сотрудники используют для работы как офисное оборудование, так и по несколько личных устройств, то все это многообразие необходимо инвентаризовать, установить корпоративные политики на тех устройствах, которые нужны для работы, запретить подключаться к корпоративным ресурсам с остальных. У крупных компаний с филиалами в разных городах и странах эта работа может занять много времени.
Не все системы одинаково приспособлены к переходу на Zero Trust. Если у вашей компании сложная инфраструктура, в ней могут оказаться устаревшие устройства и ПО, на которых воплотить современные стандарты безопасности невозможно. Их замена потребует времени и денег.
Не готовы к смене концепции могут быть и сотрудники, в том числе IT- и ИБ-отделов. А ведь именно на них лежит ответственность за контроль доступа и управление вашей инфраструктурой.
Например, компании Google понадобилось семь лет, чтобы построить фреймворк BeyondCorp, в основе которого лежат принципы «нулевого доверия». Для менее разветвленных корпоративных структур срок может быть существенно меньше, но рассчитывать уложиться в пару недель или даже месяцев не стоит.
Современные подходы к решению проблемы Zero Trust
Несмотря на то что компаниям-первопроходцам пришлось потратить много времени и ресурсов на создание собственных сетей согласно принципам Zero Trust, гораздо больше времени ушло на понимание того, как должны взаимодействовать узлы на поверхности защиты с системой обеспечения доверия.
Наиболее признанной архитектурой сейчас является концепция ZTNA (Zero Trust Network Access). Ее базовые элементы — это контроллер, задача которого управлять политиками доступа на уровне пользователей, устройств и приложений, а также сервисный шлюз, который накладывает политики на подключенные устройства и осуществляет контролируемый доступ к корпоративным ресурсам.
Благодаря применению концепции ZTNA существенно снижается поверхность атаки, так как в этом случае только авторизованные пользователи, устройства и приложения получают доступ к узлам на поверхности защиты.
Таким образом, крупные компании уже сейчас могут применять как комбинацию традиционных способов защиты своих приложений и пользователей внутри периметра, так и принципы Zero Trust для удаленных пользователей и для защиты ресурсов, размещенных в публичных или частных облаках.
В 2019 году аналитическая компания Gartner предложила универсальный фреймворк под названием SASE (Secure Access Service Edge). SASE — это новый пакет технологий, основными компонентами которого являются SD-WAN, SWG, CASB, ZTNA и FWaaS. Он обеспечивает возможность идентификации конфиденциальных данных и вредоносных программ, а также дешифровку трафика с непрерывным мониторингом подключений пользователей и устройств к облачным сервисам. Zero Trust — основа нового фреймворка.
Zero Trust — основа безопасности будущего?
Переход от традиционной охраны периметра к обеспечению безопасности поверхности защиты в рамках концепции Zero Trust хотя и предполагает использование уже имеющихся технологий, все же может оказаться не самым простым и быстрым проектом как технически, так и с точки зрения смены психологических установок сотрудников. Однако в дальнейшем он может обеспечить компании преимущества за счет снижения затрат на информационную безопасность и уменьшения числа инцидентов, а значит, и ущерба от них.
Такие компании, как «Лаборатория Касперского», давно работающие на рынке кибербезопасности, начинают постепенную трансформацию традиционных средств защиты для их использования в облачном окружении. Концепция Zero Trust становится основой новых сервисов, обеспечивая связность между ценными корпоративными ресурсами и пользователями независимо от их местоположения.
Новые облачные технологии проходят длинный путь от адаптации и переосмысления вариантов использования до фактически корпоративных стандартов. Zero Trust — яркий пример такого рода изменений, и в скором времени мы увидим появление промышленных облачных систем со значительно укороченным временем внедрения при сохранении необходимого уровня защиты и удобства использования.
Советы