Raport Specjalny | Bezpieczeństwo Banków – Atende SA | Zero trust – najlepsza odpowiedź na wyzwania

Zero trust zrywa całkowicie z przyjętym od lat modelem zaufania dla poświadczeń użytkowników. Nadrzędnym jego celem zero trust jest ograniczenie zaufania – po to, aby zminimalizować ryzyko naruszeń bezpieczeństwa oraz przejęć kont.

Zwiększenie bezpieczeństwa

Zero trust wychodzi naprzeciwko klasycznym strategiom cyberbezpieczeństwa, których fundamentem była budowa solidnego muru ochronnego wokół całej organizacji. Niestety, w dobie wzrostu rozproszenia aplikacji, danych oraz serwerów, na których się one znajdują, a także popularyzacji pracy zdalnej, klasyczna strategia nie pozwala zagwarantować zakładanego poziomu bezpieczeństwa. Coraz częściej słyszymy o naruszeniach bezpieczeństwa związanych z przejęciem danych do logowania oraz kradzieżą poufnych plików z serwerów.

Filozofia zero trust zupełnie zmienia podejście do wdrożenia zabezpieczeń w organizacji. Zakłada ona wykorzystanie ograniczonego zaufania. W koncepcji zero trust nie ufa się bezgranicznie użytkownikom systemów, którzy często wykonują swoją pracę z dowolnego miejsca na ziemi, sprzętowi firmowemu oraz oprogramowaniu, które na nim zainstalowano. W koncepcji zero trust niezwykle ważne jest zapewnienie uwierzytelniania wieloskładnikowego wykorzystującego co najmniej dwa elementy. Jest to ogniwo niezbędne do uzyskania dostępu do zasobów organizacji, takich jak adresy IP, dyski sieciowe czy systemy wewnętrzne.

Podstawą jest sprawdzanie

Zero trust wymusza weryfikowanie każdej próby połączenia z systemami organizacji na etapie uzyskiwania dostępu. Dopiero poprawna weryfikacja umożliwia podłączenie do zasobów przedsiębiorstwa. Filozofia braku zaufania wykorzystuje również dodatkowe zabezpieczenia, takie jak orkiestracja usług, szyfrowanie, scoring, różne poziomy uprawnień dostępu do plików (segmentacja) oraz system do zarządzania tożsamością (IAM).
Dodatkowo pracownicy IT organizacji muszą mieć dostęp do narzędzi pozwalających na sprawdzanie, czy wszystkie urządzenia firmowe są odpowiednio zabezpieczone. Mowa o aktualizacjach poprawek zabezpieczeń oraz łatkach luk krytycznych typu zero-day.

W filozofii zero trust zakłada się, że organizacja jest narażona na ataki, a pracownicy IT powinni skupić się na  rozpoznawaniu i eliminowaniu najsłabszych elementów infrastruktury, ponieważ to one są najłatwiejszym celem ataku. Integralnym elementem koncepcji zero trust jest zdanie sobie sprawy z faktu, że atak nastąpi i dlatego należy się przed nim odpowiednio zabezpieczyć.

Sprzęt, technologia i ludzie

W koncepcji zero trust ważna jest warstwa sprzętowa, oprogramowanie oraz poświadczenia. W dobie coraz częstszego wykorzystywania komputerów prywatnych w celach służbowych oraz na odwrót, niezwykle istotne jest zadbanie o bezpieczeństwo sprzętu i oprogramowania. Systemy informatyczne w organizacji powinny być w stanie automatycznie weryfikować stan bezpieczeństwa sprzętu – obecność antywirusa, najnowszych aktualizacji zabezpieczeń czy podatności zainstalowanych programów na znane i zidentyfikowane luki.

We wdrażaniu koncepcji zero trust niezwykle ważny jest również czynnik ludzki. To właśnie pracownicy mają największy wpływ na poziom bezpieczeństwa w organizacji. Filozofia zero trust wymaga od użytkowników częstszego potwierdzania swojej tożsamości z wykorzystaniem dodatkowej weryfikacji, np. za pomocą telefonu komórkowego. Konieczna jest również edukacja z zakresu cyberbezpieczeństwa, która zmniejsza ryzyko wystąpienia naruszeń.

Zero trust poza sprzętem, oprogramowaniem, użytkownikami i potwierdzeniem tożsamości skupia się również na aplikacjach, danych, infrastrukturze oraz sieci.

Filozofia zero trust pozwala na automatyczne zapobieganie wyciekom danych. W klasycznym modelu zabezpieczeń, opartym na murze bezpieczeństwa, do logowania w systemach informatycznych wystarczy login i hasło. Przy korzystaniu z zero trust istotna jest również lokalizacja oraz czas logowania. W momencie, gdy próba logowania odbywa się z drugiego końca świata oraz po  godzinach pracy, architektura zero trust automatycznie odrzuci połączenie. Całe zdarzenie zostanie odnotowanie w systemie zarządzania bezpieczeństwem.

Kompleksowa polityka bezpieczeństwa

W skrócie – koncepcja zero trust to kompleksowa polityka bezpieczeństwa organizacji dostosowana do aktualnych warunków pracy. Dzięki zero trust można zadbać o bezpieczeństwo bez konieczności stosowania dużych zmian po stronie użytkowników końcowych.

Zero trust jest koncepcją przedstawiającą ogólny model, a jednym z jej elementów jest Zero Trust Network Access (ZTNA). To rozwiązanie z zakresu bezpieczeństwa IT, które zapewnia bezpieczny zdalny dostęp do aplikacji, danych i usług organizacji opartych na jasno określonych zasadach kontroli dostępu. Ponieważ coraz większa liczba użytkowników uzyskuje dostęp do zasobów z domu lub z innego miejsca, rozwiązania Zero Trust Network Access pomagają wyeliminować luki w innych technologiach i metodach bezpiecznego zdalnego dostępu.

ZTNA to produkt lub usługa, która tworzy opartą na tożsamości jednostki (użytkowników i urządzeń) i kontekście logowania, logiczną granicę dostępu do aplikacji lub zestawu aplikacji biznesowych.

Dostęp do zasobów jest praktycznie niemożliwy lub mocno ograniczony za pośrednictwem odpowiednio dobranych polityk bezpieczeństwa. Polityki te są mocno rozproszone i zależą od wielu czynników. Dla przykładu – ten sam pracownik może mieć przypisanych kilka różnych polityk bezpieczeństwa, od najmniej restrykcyjnej pozwalającej uzyskać pełny dostęp, aż po całkowity zakaz dostępu do aplikacji w zależności od wielu czynników, takich jak m.in. miejsce logowania do zasobów firmowych, urządzenie, z którego następowało logowanie, urządzenie, które się logowało (np. telefon IP), sposób logowania (np. otwarte Wi-Fi) czy lokalizacja geograficzna.

Weryfikacja przypisanych polityk jest procesem ciągłym i następuje przed każdą sesją nawiązania połączenia. Można zatem zaryzykować stwierdzenie, że może nastąpić zmiana przypisanych polityk bezpieczeństwa do jednostki logującej się do zasobów firmowych. Spójność i kompleksowość polityk kontrolowana jest za pośrednictwem tak zwanego silnika polityk, z którego zasoby weryfikujące czerpią informacje, jaką politykę bezpieczeństwa w danej chwili zastosować. Agenci weryfikują tożsamość, kontekst i przestrzeganie zasad określonych uczestników przed zezwoleniem na dostęp i zabrania innego ruchu.

Skuteczne zmniejszanie możliwości ataku

Wprowadzenie ZTNA w organizacji znacznie zmniejsza obszar powierzchni ataku. Warto też nadmienić, że Zero Trust Network Access umożliwia organizacjom rozszerzenie modelu zero trust. W przeciwieństwie do VPN, które skupiają się wyłącznie na sieci, ZTNA idzie w górę warstwy ochrony, skutecznie zapewniając bezpieczeństwo bliżej aplikacji, niezależne od sieci, w której ona działa.

W przypadku rozwiązań firmy Fortinet, ZeroTrust Access Network dostarczane jest jako część filozofii Fortinet Security Fabric. Sama implementacja nie jest skomplikowana – realizuje się ją w ramach rozwiązań FortiGate Next Generatin Firewall (NGFW). Dzięki temu jesteśmy w stanie szybko wprowadzić do naszej organizacji elementy cyberbezpieczeństwa na najwyższym poziomie.

Sama architektura opiera się na dwóch rozwiązaniach FortiGate (NGFW) oraz agencie FortiClient ZTNA – te dwa elementy to wszystko, czego potrzeba, aby zapewnić dużo bezpieczniejszy dostęp do naszych zasobów firmowych.

Podsumowując – ponieważ współczesne duże sieci nie mają jednego brzegu, trudno jest stworzyć pojedynczą granicę, którą można obronić. Bezpieczny dostęp i konsekwentne egzekwowanie zasad i polityk bezpieczeństwa jest niezbędnym elementem funkcjonowania współczesnych organizacji.

Ponieważ tradycyjna granica sieci zanika, wiele osób uzyskuje obecnie dostęp do krytycznych zasobów i aplikacji spoza sieci, a eksperci ds.  bezpieczeństwa widzą potrzebę odejścia od paradygmatu sieci otwartej zbudowanej na nieodłącznym zaufaniu do modelu zero trust. Obecnie znacznie trudniej jest stwierdzić, komu i czemu można ufać.