Путь к нулевому доверию: с чего начать

Цифровая трансформация — это путешествие, и, как и в любом приключении, небольшая подготовка может иметь большое значение для достижения успешного результата. Подготовка к любому приключению включает в себя определение того, куда вы хотите отправиться, выбор наилучшего способа добраться туда и сбор оборудования, услуг и расходных материалов, которые вам понадобятся в пути.

Путь к трансформации ИТ обычно начинается с преобразования приложений, когда вы перемещаете приложения из центра обработки данных в облако. Затем становится необходимой трансформация сети, чтобы пользователи могли получить доступ к приложениям, которые теперь широко рассредоточены, — переход от архитектуры сети со ступицей к подходу с прямым подключением. Это, в свою очередь, приводит к необходимости трансформации системы безопасности, при которой вы переходите от подхода к обеспечению безопасности по принципу «замок и ров» к архитектура нулевого доверия.

Хотя вышеупомянутый порядок является типичным, есть несколько различных способов достижения аналогичных результатов. Вы должны начать свой путь к нулевое доверие там, где вы чувствуете себя наиболее комфортно или подготовлены. Если для вашей организации имеет смысл начать с преобразования безопасности до преобразования приложений, вы можете это сделать.

Оцените свое оборудование

Архитектуры безопасности типа «замок и ров», использующие брандмауэры, виртуальные частные сети и централизованные устройства безопасности, хорошо работали, когда приложения располагались в центре обработки данных, а пользователи работали в офисе. В то время это было подходящее оборудование для работы. Однако сегодня ваша рабочая сила работает отовсюду, а приложения переместились из центра обработки данных в публичные облака, SaaS и другие части Интернета. Эти брандмауэры, виртуальные частные сети и стеки устаревшего аппаратного обеспечения безопасности не были разработаны для удовлетворения потребностей современного высокораспределенного бизнеса и изжили себя.

Чтобы предоставить пользователям доступ к приложениям, VPN и брандмауэры должны подключать пользователей к вашей сети, по существу расширяя сеть для всех ваших удаленных пользователей, устройств и местоположений. Это подвергает вашу организацию большему риску, поскольку дает злоумышленникам больше возможностей для компрометации пользователей, устройств и рабочих нагрузок, а также больше возможностей для бокового перемещения для доступа к ценным активам, извлечения конфиденциальных данных и нанесения ущерба вашему бизнесу. Для защиты сильно распределенных пользователей, данных и приложений требуется новый подход — лучший подход.

Отображение лучшего маршрута

Когда дело доходит до трансформации системы безопасности, лидеры-новаторы отказываются от доверия. В отличие от подходов к обеспечению безопасности на основе периметра, которые полагаются на брандмауэры и неявное доверие и обеспечивают широкий доступ после установления доверия, нулевое доверие — это целостный подход к безопасности, основанный на принципе доступа с минимальными привилегиями и идее, что ни один пользователь, устройство или рабочая нагрузка следует доверять по своей сути. Он начинается с предположения, что все враждебно, и предоставляет доступ только после проверки личности и контекста и применения политик.

Для достижения истинного нулевого доверия требуется нечто большее, чем перенос брандмауэров в облако. Для безопасного подключения пользователей, устройств и рабочих нагрузок к приложениям без подключения к сети требуется новая архитектура, созданная в облаке и поставляемая изначально через облако.

Как и в любом значительном путешествии, полезно разбить ваше путешествие к нулевому доверию на несколько частей, которые четко определяют путь, не забывая при этом о конечном пункте назначения. При рассмотрении вашего подхода семь основных элементов позволят вам динамически и непрерывно оценивать риски и безопасно обмениваться данными по любой сети и из любого места.

Используя эти элементы, ваша организация может реализовать настоящее нулевое доверие, чтобы устранить поверхность атаки, предотвратить горизонтальное перемещение угроз и защитить свой бизнес от компрометации и потери данных.

Эти элементы можно сгруппировать в три раздела:

• Подтвердить личность и контекст
• Контролируйте контент и доступ
• Применение политики

Давайте внимательнее посмотрим.

Подтвердите личность и контекст

Приключение начинается, когда запрашивается соединение. Архитектура с нулевым доверием начинается с разрыва соединения и проверки личности и контекста. Он смотрит на кто, что и где запрошенного соединения.

1. Кто подключается?— Первым важным элементом является проверка пользователя/устройства, устройства IoT/OT или идентификатора рабочей нагрузки. Это достигается за счет интеграции со сторонними поставщиками удостоверений (IdP) в рамках поставщика управления доступом к удостоверениям предприятия (IAM).

2. Что такое контекст доступа?— Затем решение должно проверить контекст инициатора запроса на подключение, изучив такие детали, как роль, ответственность, время суток, местоположение, тип устройства и обстоятельства запроса.

3. Куда идет соединение?— Затем решение должно подтвердить, что владелец удостоверения имеет права и соответствует требуемому контексту для доступа к приложению или ресурсу на основе правил сегментации объектов и ресурсов — краеугольный камень нулевого доверия.

Контролируйте содержимое и доступ

После проверки личности и контекста архитектура с нулевым доверием оценивает риск, связанный с запрошенным подключением, и проверяет трафик для защиты от киберугроз и потери конфиденциальных данных.

4. Оцените риск— Решение должно использовать ИИ для динамического вычисления оценки риска. Факторы, в том числе состояние устройства, угрозы, пункт назначения, поведение и политика, должны постоянно оцениваться на протяжении всего срока подключения, чтобы обеспечить актуальность оценки риска.

5. Предотвратить компромисс— Чтобы выявлять и блокировать вредоносный контент и предотвращать компрометацию, эффективная архитектура с нулевым доверием должна расшифровывать трафик на лету и использовать глубокую проверку содержимого трафика от объекта к ресурсу в масштабе.

6. Предотвратить потерю данных— Исходящий трафик должен быть расшифрован и проверен, чтобы идентифицировать конфиденциальные данные и предотвратить их утечку с помощью встроенных элементов управления или путем изоляции доступа в контролируемой среде.

Применение политики

Прежде чем достичь конца пути и в конечном итоге установить соединение с запрошенным внутренним или внешним приложением, необходимо реализовать один последний элемент: принудительное применение политики.

7. Применение политики— Используя выходные данные предыдущих элементов, этот элемент определяет, какое действие следует предпринять в отношении запрошенного соединения. Конечная цель — это не простое решение «сдавать/не сдавать». Вместо этого решение должно постоянно и единообразно применять политику для каждого сеанса — независимо от местоположения или точки применения — для предоставления детальных элементов управления, которые в конечном итоге приводят к решению об условном разрешении или условной блокировке.

После принятия решения о разрешении пользователю предоставляется безопасное подключение к Интернету, приложению SaaS или внутреннему приложению.

Безопасно добраться до места назначения

Ваш путь к нулевому доверию может быть опасным, если вы пытаетесь достичь этого с помощью устаревшего оборудования, которое не предназначено для этого. Хотя поиск решения, обеспечивающего истинное нулевое доверие, может поначалу показаться сложным, начните с того, что наиболее целесообразно для вашей организации, и пусть семь элементов, изложенных здесь, послужат вашим руководством.

Читать далее Перспективы партнеров от Zscaler.