6 CISO Takeaways από την Καθοδήγηση Zero-Trust της NSA

Η πραγματικότητα της κυβερνοασφάλειας για τις εταιρείες είναι ότι οι αντίπαλοι διακυβεύουν συστήματα και δίκτυα συνεχώς, και ακόμη και τα καλά διαχειριζόμενα προγράμματα πρόληψης παραβιάσεων συχνά πρέπει να αντιμετωπίσουν τους εισβολείς εντός της περιμέτρου τους.

Στις 5 Μαρτίου, η Υπηρεσία Εθνικής Ασφάλειας συνέχισε τη σύστασή της για τις βέλτιστες πρακτικές προς τις ομοσπονδιακές υπηρεσίες, δημοσιεύοντας το τελευταίο της Φύλλο Πληροφοριών για την Κυβερνοασφάλεια (CIS) σχετικά με τον πυλώνα Δίκτυο και Περιβάλλον του πλαισίου μηδενικής εμπιστοσύνης. Το έγγραφο της NSA συνιστά στους οργανισμούς να τμηματοποιούν τα δίκτυά τους για να περιορίσουν τους μη εξουσιοδοτημένους χρήστες από την πρόσβαση σε ευαίσθητες πληροφορίες μέσω τμηματοποίησης. Αυτό συμβαίνει επειδή τα ισχυρά μέτρα κυβερνοασφάλειας μπορούν να εμποδίσουν τους συμβιβασμούς να μετατραπούν σε πλήρεις παραβιάσεις περιορίζοντας την πρόσβαση όλων των χρηστών σε περιοχές του δικτύου στις οποίες δεν έχουν νόμιμο ρόλο. 

Η καθοδήγηση από την NSA Επίσης, επιτρέπει στις ομάδες ασφαλείας να υποβάλλουν ισχυρότερες επιχειρηματικές υποθέσεις στη διαχείριση για προστασία ασφαλείας, αλλά οι CISO πρέπει να θέτουν προσδοκίες επειδή η εφαρμογή είναι μια κλιμακωτή και πολύπλοκη διαδικασία.

Ενώ το έγγραφο στοχεύει κυβερνητικούς οργανισμούς και βιομηχανίες που σχετίζονται με την άμυνα, ο ευρύτερος επιχειρηματικός κόσμος μπορεί να επωφεληθεί από την καθοδήγηση μηδενικής εμπιστοσύνης, λέει ο Steve Winterfeld, συμβουλευτικός CISO στον κολοσσό υπηρεσιών Διαδικτύου Akamai.

«Η πραγματικότητα δεν είναι [αν] έχετε περιστατικά μη εξουσιοδοτημένης πρόσβασης, αλλά εάν μπορείτε να τα προλάβετε πριν γίνουν παραβιάσεις», λέει. «Το κλειδί είναι η «ορατότητα με το πλαίσιο» που μπορεί να προσφέρει η μικροτμηματοποίηση, που υποστηρίζεται από την ικανότητα ταχείας απομόνωσης κακόβουλης συμπεριφοράς».

Οι εταιρείες έχουν ανέλαβε πρωτοβουλίες μηδενικής εμπιστοσύνης για να κάνουν τα δεδομένα, τα συστήματα και τα δίκτυά τους πιο δύσκολο να παραβιαστούν και, όταν παραβιάζονται, να επιβραδύνουν τους εισβολείς. Το πλαίσιο είναι ένα συμπαγές σύνολο οδηγιών για το πώς να προχωρήσετε, αλλά η εφαρμογή του δεν είναι εύκολη, λέει ο Mike Mestrovich, CISO στη Rubrik, πάροχος ασφάλειας δεδομένων και μηδενικής εμπιστοσύνης.

«Τα περισσότερα δίκτυα έχουν εξελιχθεί με την πάροδο του χρόνου και είναι πολύ δύσκολο να επιστρέψουμε και να τα αρχιτεκτονήσουμε εκ νέου, διατηρώντας παράλληλα την επιχείρηση σε λειτουργία», λέει. «Είναι εφικτό, αλλά μπορεί να είναι δαπανηρό και από άποψη χρόνου και χρήματος».

Ακολουθούν έξι προτάσεις από την καθοδήγηση της NSA.

1. Μάθετε Και τους Επτά Πυλώνες Μηδενικής Εμπιστοσύνης

Το πιο πρόσφατο έγγραφο της Υπηρεσίας Εθνικής Ασφάλειας καταδύεται στον πέμπτο πυλώνα των επτά πυλώνων μηδενικής εμπιστοσύνης: το δίκτυο και το περιβάλλον. Ωστόσο, οι άλλοι έξι πυλώνες είναι εξίσου σημαντικοί και δείχνουν «πόσο ευρεία και μεταμορφωτική πρέπει να είναι μια στρατηγική μηδενικής εμπιστοσύνης για να είναι επιτυχημένη», λέει η Ashley Leonard, Διευθύνων Σύμβουλος της Syxsense, μια αυτοματοποιημένη εταιρεία διαχείρισης τελικών σημείων και ευπάθειας.

«Για τις εταιρείες που θέλουν να ξεκινήσουν με μηδενική εμπιστοσύνη, θα τις ενθαρρύνω να αναθεωρήσουν τα φύλλα πληροφοριών της NSA στους πυλώνες του χρήστη και της συσκευής — τον πρώτο και τον δεύτερο πυλώνα μηδενικής εμπιστοσύνης, αντίστοιχα», λέει. «Αν μια εταιρεία μόλις ξεκινάει, η εξέταση αυτού του πυλώνα δικτύωσης και περιβάλλοντος είναι λίγο σαν να βάζεις το κάρο μπροστά από το άλογο».

2. Να περιμένετε από τους επιτιθέμενους να παραβιάσουν την περίμετρό σας

Ο πυλώνας δικτύου και περιβάλλοντος του σχεδίου μηδενικής εμπιστοσύνης της NSA έχει να κάνει με την προσπάθεια να εμποδίσει τους εισβολείς να επεκτείνουν μια παραβίαση αφού έχουν ήδη θέσει σε κίνδυνο ένα σύστημα. Οι κατευθυντήριες γραμμές της NSA υποδεικνύουν το Παράβαση στόχου του 2013 — χωρίς να κατονομαστεί ρητά η εταιρεία — επειδή οι εισβολείς εισήλθαν μέσω μιας ευπάθειας στο σύστημα HVAC τρίτου μέρους της εταιρείας, αλλά στη συνέχεια μπόρεσαν να μετακινηθούν μέσω του δικτύου και να μολύνουν συσκευές σημείων πώλησης με κακόβουλο λογισμικό.

Οι εταιρείες θα πρέπει να υποθέσουν ότι θα παραβιαστούν και να βρουν τρόπους να περιορίσουν ή να επιβραδύνουν τους επιτιθέμενους, Ο διευθυντής κυβερνοασφάλειας της NSA, Ρομπ Τζόις, δήλωσε σε μια δήλωση ανακοινώνοντας τη δημοσιοποίηση του εγγράφου της NSA.

«Οι οργανισμοί πρέπει να λειτουργούν με μια νοοτροπία ότι οι απειλές υπάρχουν εντός των ορίων των συστημάτων τους», είπε. "Αυτή η καθοδήγηση προορίζεται να εξοπλίσει τους ιδιοκτήτες και τους χειριστές δικτύων με τις διαδικασίες που χρειάζονται για να αντισταθούν προσεκτικά, να ανιχνεύσουν και να ανταποκριθούν σε απειλές που εκμεταλλεύονται αδυναμίες ή κενά στην εταιρική τους αρχιτεκτονική."

3. Αντιστοιχίστε τις ροές δεδομένων για έναρξη

Η καθοδήγηση της NSA είναι ένα κλιμακωτό μοντέλο, όπου οι εταιρείες πρέπει να ξεκινήσουν με τα βασικά: χαρτογράφηση των ροών δεδομένων στα δίκτυά τους για να κατανοήσουν ποιος έχει πρόσβαση σε τι. Ενώ έχουν τεκμηριωθεί και άλλες προσεγγίσεις μηδενικής εμπιστοσύνης, όπως π.χ Αρχιτεκτονική Zero Trust του NIST SP 800-207, οι πυλώνες της NSA παρέχουν έναν τρόπο στους οργανισμούς να σκεφτούν τους ελέγχους ασφαλείας τους, λέει ο Winterfeld του Akamai.

«Η κατανόηση της ροής δεδομένων παρέχει κατά κύριο λόγο επίγνωση της κατάστασης για το πού και ποιοι είναι οι πιθανοί κίνδυνοι», λέει. «Θυμήσου, δεν μπορείς να προστατέψεις αυτό που δεν ξέρεις».

4. Μεταβείτε στο Macrosegmentation

Μετά την αντιμετώπιση οποιωνδήποτε άλλων θεμελιωδών πυλώνων, οι εταιρείες θα πρέπει να ξεκινήσουν την είσοδό τους στον πυλώνα Δίκτυο και Περιβάλλον τμηματοποιώντας τα δίκτυά τους — ίσως σε γενικές γραμμές στην αρχή, αλλά με αυξανόμενη ευαισθησία. Οι κύριοι λειτουργικοί τομείς περιλαμβάνουν τα τμήματα επιχείρησης σε επιχείρηση (B2B), τα τμήματα που αντιμετωπίζουν οι καταναλωτές (B2C), τη λειτουργική τεχνολογία όπως το IoT, τα δίκτυα σημείων πώλησης και τα δίκτυα ανάπτυξης.

Αφού τμηματοποιήσουν το δίκτυο σε υψηλό επίπεδο, οι εταιρείες θα πρέπει να στοχεύουν στην περαιτέρω βελτίωση των τμημάτων, λέει ο Mestrovich της Rubrik.

"Εάν μπορείτε να ορίσετε αυτές τις λειτουργικές περιοχές λειτουργίας, τότε μπορείτε να αρχίσετε να τμηματοποιείτε το δίκτυο έτσι ώστε οι επαληθευμένες οντότητες σε οποιαδήποτε από αυτές τις περιοχές να μην έχουν πρόσβαση χωρίς να κάνετε πρόσθετες ασκήσεις ελέγχου ταυτότητας σε άλλες περιοχές", λέει. «Από πολλές απόψεις, θα διαπιστώσετε ότι είναι πολύ πιθανό οι χρήστες, οι συσκευές και ο φόρτος εργασίας που λειτουργούν σε μια περιοχή να μην χρειάζονται στην πραγματικότητα κανένα δικαίωμα λειτουργίας ή πόρους σε άλλους τομείς».

5. Ώριμη σε δικτύωση που καθορίζεται από λογισμικό

Η δικτύωση μηδενικής εμπιστοσύνης απαιτεί από τις εταιρείες να έχουν τη δυνατότητα να αντιδρούν γρήγορα σε πιθανές επιθέσεις, καθιστώντας τη δικτύωση που ορίζεται από λογισμικό (SDN) μια βασική προσέγγιση όχι μόνο για την επιδίωξη μικροτμηματοποίησης αλλά και για το κλείδωμα του δικτύου κατά τη διάρκεια ενός πιθανού συμβιβασμού.

Ωστόσο, το SDN δεν είναι η μόνη προσέγγιση, λέει ο Winterfeld του Akamai.

"Το SDN αφορά περισσότερο τη διακυβέρνηση των λειτουργιών, αλλά ανάλογα με την υποδομή σας μπορεί να μην είναι η βέλτιστη λύση", λέει. «Τούτου λεχθέντος, χρειάζεσαι τα είδη των πλεονεκτημάτων που παρέχει το SDN ανεξάρτητα από τον τρόπο αρχιτεκτονικής του περιβάλλοντός σου».

6. Συνειδητοποιήστε ότι η πρόοδος θα είναι επαναληπτική

Τέλος, κάθε πρωτοβουλία μηδενικής εμπιστοσύνης δεν είναι ένα εφάπαξ έργο αλλά μια συνεχιζόμενη πρωτοβουλία. Όχι μόνο οι οργανισμοί πρέπει να έχουν υπομονή και επιμονή στην ανάπτυξη της τεχνολογίας, αλλά οι ομάδες ασφαλείας πρέπει να επανεξετάσουν το σχέδιο και να το τροποποιήσουν καθώς αντιμετωπίζουν - και ξεπερνούν - προκλήσεις.

«Όταν σκέφτεστε να ξεκινήσετε το ταξίδι μηδενικής εμπιστοσύνης, η καθοδήγησή τους σχετικά με την έναρξη με τη χαρτογράφηση ροών δεδομένων, στη συνέχεια η τμηματοποίησή τους είναι σωστή», λέει ο Winterfeld, «αλλά θα πρόσθετα ότι είναι συχνά επαναλαμβανόμενο, καθώς θα έχετε μια περίοδο ανακάλυψης που θα απαιτήσει ενημέρωση του σχεδίου».

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
• PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• PlatoESG. Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
• PlatoHealth. Ευφυΐα βιοτεχνολογίας και κλινικών δοκιμών. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/cybersecurity-operations/6-ciso-takeaways-nsa-zero-trust-guidance