Zero-Trust staje się coraz bardziej popularnym słowem w cyberprzestrzeni, które przyciąga zainteresowanie organizacji, które chcą sprostać współczesnym wyzwaniom w zakresie bezpieczeństwa.

Chociaż czasami postrzegane jako zastąpienie istniejących zdolności do kompleksowej obrony, w rzeczywistości zerowe zaufanie jest rozszerzeniem postawy bezpieczeństwa z silniejszym naciskiem na tożsamość, segmentację i kontrolę dostępu podmiotów, niezależnie od tego, czy są one częścią Twojego „zaufanego” środowiska albo nie. Prawdziwym celem tego modelu jest wyeliminowanie zaufania do systemu, ponieważ zaufanie w sieci jest luką, która jest wykorzystywana, a próba uzyskania prawdziwego zaufania w systemach polega wtedy na integracji z wybrakowanym modelem.

Ogólnie rzecz biorąc, podejście oparte na zerowym zaufaniu zapewniające bezpieczny dostęp do aplikacji obejmuje następujące atrybuty:

Uwierzytelnienie przed dostępem

Zasadniczo uwierzytelnianie i weryfikacja tożsamości żądających dostępu podmiotów muszą zostać przeprowadzone przed pokazaniem im, gdzie znajdują się chronione zasoby. Wymaga to zaprojektowania środowiska w taki sposób, aby klienci - w tym wewnętrzni - nie mieli bezpośredniej ścieżki do aplikacji lub usług uwierzytelniających, aby zmniejszyć powierzchnię ataku i zmniejszyć ryzyko naruszenia bezpieczeństwa tych elementów. Pełnomocnictwo do uwierzytelniania i dostępu do aplikacji z kontrolą polityki obejmującą okoliczności, w których dostęp jest dozwolony, jest również kluczem do rozpoczęcia podróży w kierunku zerowego zaufania.

Model najmniej uprzywilejowanego dostępu

W dzisiejszym świecie BYOD i pracy zdalnej nie zawsze jest możliwe lub praktyczne ograniczenie dostępu do aplikacji dla urządzeń kontrolowanych organizacyjnie, w których można wymusić silną ochronę punktu końcowego. Jako minimum, do kontrolowania łączności urządzeń należy wykorzystywać zasady oparte na pewnym poziomie stanu urządzenia lub weryfikacji lokalizacji. Następnym krokiem jest określenie, co próbuje osiągnąć łączący się podmiot, jakiego rodzaju usługi są dostępne i jakie protokoły komunikacyjne są potrzebne. Po ustaleniu, można zweryfikować, czy dostęp powinien być dozwolony, czy nie, w oparciu o bieżące okoliczności. Nawet jeśli dostęp zostanie udzielony, należy go zapewnić w sposób, który umożliwia tylko niezbędne przepływy komunikacyjne i nic więcej.

Segmentacja

Miejsce źródłowe, z którego przychodzą żądania do aplikacji, powinno być uwzględnione w rachunku poziomu i typu przyznanego dostępu. Nawet w przypadku wewnętrznej komunikacji z klientami różne segmenty sieci mogą mieć różne poziomy bezpieczeństwa i definicji strefy bezpieczeństwa. Architektura proxy chroniąca Twoje aplikacje powinna umożliwiać wykrycie tej segmentacji i podejmować decyzje nie tylko w oparciu o tożsamość i kontekst żądania, ale także lokalizację, z której pochodzi żądanie.

Bieżąca weryfikacja / monitorowanie

Ponieważ rzeczy mogą się zmienić, raz zaufany nie zawsze jest zaufany. Nawet po zapewnieniu dostępu do aplikacji danemu użytkownikowi z danej lokalizacji na danym urządzeniu, wymagane jest ciągłe monitorowanie komunikacji i stanu, aby w przypadku zmiany poziomu ryzyka można było zakończyć łączność w celu zminimalizowania ryzyka. Na przykład, jeśli pochodzą ze źródła publicznego, czy też źródła informacji o zagrożeniach zaktualizowały adres, który był znany z podejrzanych działań, czy w sesji wystąpiły próby podobne do wzorców ataków aplikacji L7, zawartości, których nie powinno być jak w ruchu ICMP lub innym nietypowym zachowaniu. Łącząc proxy i infrastrukturę dostępu z innymi elementami w środowisku, takimi jak stos widoczności sieci, zapora aplikacyjna i inne narzędzia do monitorowania bezpieczeństwa, można stworzyć strukturę, która pomaga zapobiegać wykorzystywaniu początkowo legalnych sesji klienta.


Poza tymi podstawowymi zasadami kolejną najlepszą praktyką jest szyfrowanie danych w ruchu i składowanych, niezależnie od tego, czy uzyskiwany jest dostęp wewnętrzny, czy zewnętrzny. Tylko dlatego, że ruch klientów ma charakter wewnętrzny, nie oznacza to, że ​​domyślnie powinno istnieć zaufanie - w końcu zagrożenie ze strony wielu exploitów polega na tym, że przed uruchomieniem destrukcyjnego zachowania najpierw wydają się być zasobem wewnętrznym.

Wreszcie struktura, która umożliwia monitorowanie z punktu widzenia sieci, jest kluczem do wykrywania anomalii, które są symptomami niezabezpieczonych wektorów w architekturze i przyczynia się do ogólnej, solidnej pozycji w zakresie bezpieczeństwa. Zabezpieczenia na brzegu sieci  zapewniają pokrycie ruchu, który w pionie przekracza granice środowiska, a zabezpieczenia punktów końcowych zapewniają głęboki i wąski kontekst, jednak to sieć jest wiarygodnym źródłem informacji, a model zerowego zaufania powinien być połączony z widocznością w czasie rzeczywistym w jaki sposób dostęp do sieci i przepływ pakietów łączy się z komunikacją w warstwie aplikacji. W przypadku dalszego rozszerzenia w celu zapewnienia automatycznej reakcji na podejrzane zachowanie, uzyskasz przewagę nad podmiotami zagrażającymi bezpieczeństwu danych.

Oryginalna treść artykułu: https://kemptechnologies.com/blog/zero-trust-principles-application-security/

Informacja o autorze artykułu:

Mike Bomba

Mike Bomba przez ponad 35 lat pracował w Departamencie Obrony. Obecnie jest federalnym architektem rozwiązań KEMP Technologies. Mike pełnił różne funkcje kierownicze w ciągu 35 lat kariery w Departamencie Obrony, w tym jako: Chief of Integration, Director of Projects, Plans and Architecture, Director of Projects and Engineering, Director, Operational Engineering Directorate, U.S. Army Network Enterprise Technology Command i 6 lat jako oficer w społeczności sygnałowej armii amerykańskiej. Bezpośrednio przed dołączeniem do KEMP był starszym architektem rozwiązań Riverbed Technology dla Departamentu Obrony (DoD).

.....................................................................................

Zainteresowały Cię rozwiązania Kemp / Flowmon ?
Zapraszam do kontaktu

Marceli Matczak
Security / SDN Business Development Manager

+48 785 051 978
marceli.matczak@s4e.pl