Een zero trust-beveiligingsmodel toepassen

We duiken in het concept van zero-trust-beveiliging en bespreken hoe u implementeer het in uw organisatie.
(Bron:rawpixel.com @ freepik.com)

De realiteit van een gedistribueerd personeelsbestand heeft het idee van een bedrijfsbeveiligingsparameter veranderd. Organisaties beveiligen niet langer alleen een simpel kantoorpand. Dit werd de realiteit, zelfs voordat de pandemie bedrijven dwong hun personeel op afstand te migreren.

Moderne organisaties hebben een uitgebreide beveiligingsstrategie nodig om de technologische complexiteit van vandaag te beheren, en zero-trust beveiliging voldoet aan deze behoefte. Het gaat ervan uit dat elk netwerkverzoek een inbreuk is en verifieert het alsof het afkomstig is van een niet-geverifieerde bron. Nu cyberaanvallen zoals ransomware brutaler worden, kunnen we het ons niet langer veroorloven om aan te nemen dat alles achter de bedrijfsbeveiligingsparameters veilig is.

Vandaag duiken we in het concept van zero-trust beveiliging en bespreken we hoe u dit in uw organisatie kunt implementeren.

Waarom hebben we zero-trust nodig?

Tegenwoordig geven bedrijven werknemers toegang tot belangrijke bedrijfsmiddelen vanaf externe apparaten en cloudsoftware. Verbindingen met deze kostbare bedrijfsmiddelen moeten worden beveiligd, ongeacht waar ze vandaan komen. Beveiliging moet evolueren met de manier waarop we technologie gebruiken, en de traditionele statische beveiligingsparameters waarop we ooit vertrouwden, zijn nu onvoldoende.

Een toenemend aantal organisaties vindt dat ze continu waardevolle gegevens moeten uitwisselen tussen cloudapplicaties, externe apparaten, IoT-apparaten en datacenters. Al deze bewegende delen maken het leven van cybercriminelen veel gemakkelijker en maken het leven van beveiligingsspecialisten moeilijker.

Vanwege de verscheidenheid aan beschikbare toegangspunten kan het maanden of zelfs jaren duren voordat organisaties inbreuken en inbraken identificeren. Gedurende deze tijd kunnen cybercriminelen belangrijke gegevens stelen en enorme schade toebrengen aan bedrijfsmiddelen. Een meer open digitaal landschap in het bedrijfsleven kan overal een grotere productiviteit stimuleren, maar er moeten de juiste stappen worden genomen om de veiligheid van het bedrijf te handhaven zonder tastbare grenzen.

De basis van zero-trust

Het National Institute of Standards and Technology (NIST) biedt een uitgebreide gids over Zero-Trust-architectuur, maar we zullen hier de basis voor u opsplitsen. In de kern is de zero-trust-architectuur gebaseerd op drie basisprincipes:

• Expliciete verificatie vereist
• Gebruik van minst bevoorrechte toegang
• Aanname van een inbreuk

Elk verzoek moet volledig worden geverifieerd, geautoriseerd en versleuteld voordat toegang wordt verleend, en deze rigoureuze verificatie van identiteiten moet gebaseerd zijn op alle beschikbare datapunten. Standaard mag geen enkele werklast of gebruiker worden vertrouwd, ongeacht hun locatie (binnen of buiten de beveiligde grenzen van de organisatie).

Of werknemers nu op een thuiskantoor werken of op een afgelegen tropisch eiland, een sterk beleid vormt de kern van zero-trust. Ze stellen u in staat om een ​​mobiel personeelsbestand te verzekeren terwijl u toch maximale productiviteit mogelijk maakt. Om ervoor te zorgen dat er een effectieve zero-trust-strategie is, moet minimale toegang tot bronnen en informatie op basis van legitieme zakelijke doeleinden worden afgedwongen.

Daarom moeten organisaties de toegang tot gebruikersservices en applicaties beperken door het volgende te implementeren:

• Just-in-time (JIT) toegangsbeheer
• Net-genoeg-toegang/beheer (JEA)
• Op risico gebaseerd adaptief beleid
• Gegevensbeschermingscontroles

Softwareontwikkelaars en technologiebedrijven moeten al vroeg in de ontwikkelingsfase een zero-trust-aanpak hanteren. Dit kan betekenen dat de beveiliging naar links wordt verschoven en producten zoals firmware worden ontwikkeld die zero-trust bevestigt.

Dit vereist natuurlijk dat bedrijven nieuw bekwaam personeel aannemen of huidig ​​personeel bijscholen. U kunt verwachten dat u tussen de $ 60 en $ 80 per uur betaalt voor een ervaren freelance ontwikkelaar die verstand heeft van cyberbeveiliging. U wilt ook elke medewerker trainen in goede cyberhygiëne en de zero-trust-filosofie, zodat ze begrijpen waarom er veranderingen worden doorgevoerd.

Vóór zero-trust:het oude paradigma

Om verder te benadrukken hoe zero-trust-architectuur het beveiligingslandschap heeft veranderd, laten we eens kijken hoe bedrijven in het verleden doorgaans externe toegang tot softwareservices beveiligden.

Het traditionele model zou bestaan ​​uit services die on-premise worden gehost of een externe server waar een bedrijf volledige controle over heeft. Vaak werden verbindingen met deze services mogelijk gemaakt door een virtueel particulier netwerk (VPN) en zou de VPN worden gehost op een gedemilitariseerde zone (DMZ). Gebruikers zouden inloggegevens moeten verstrekken om toegang te krijgen tot de VPN, meestal in de vorm van een gebruikersnaam en wachtwoord.

Dit was vóór de populariteit van multi-factor authenticatie (MFA), waarbij websites en webservices werden beveiligd via een meervoudige oplossing. De VPN zou de gebruiker een IP-adres geven zodra het verificatieproces is voltooid. Dit zou de gebruiker in staat stellen toegang te krijgen tot het interne netwerk van het bedrijf waar de applicaties en diensten worden gehost.

Aangezien de meeste inbreuken het gevolg zijn van gestolen of zwakke wachtwoorden, was het duidelijk dat single-factor authenticatie niet langer haalbaar was. Bovendien is een van de grootste uitdagingen van een VPN vanuit beveiligingsoogpunt dat het gebruikers vaak onbeperkte toegang geeft tot andere interne netwerkactiva. Als een gebruiker bijvoorbeeld inlogt op een SSH-server, kan hij naar andere plaatsen in het netwerk draaien. Tenzij u andere beveiligingsmaatregelen op het netwerk heeft die mitigatie bieden of de controle beperken, kan het een gevaarlijke vector worden voor een mogelijke cyberaanval.

Hoe zero-trust het paradigma verschuift

Een van de grootste nadelen van cloud-first-architectuur is beperkte zichtbaarheid, iets wat het zero-trust-model aanpakt. Om het vorige voorbeeld bij te werken met behulp van zero-trust-principes, moeten we eerst de traditionele VPN vervangen door een reverse proxy. Het zal verantwoordelijk zijn voor het bemiddelen van toegang tot het interne netwerk.

Daarnaast voegen we ook een single sign-on gateway toe. Het meest populaire en effectieve protocol voor single-sign-oplossingen is de Security Assertion Markup Language (SAML). Wanneer gebruikers toegang proberen te krijgen tot bronnen op locatie, moeten ze verbinding maken met de reverse proxy via hun browser of lokale applicatie. De reverse proxy verbindt ze met de single sign-on gateway. De gateway voor eenmalige aanmelding communiceert vervolgens met een door het bedrijf geconfigureerde identiteitsbron (zoals een lokale directory) om de gebruiker te helpen verifiëren.

Als resources zich in de cloud bevinden, geeft de gateway voor eenmalige aanmelding ze directe toegang. Omdat authenticatie wordt uitgevoerd op een gateway die het bedrijf beheert, mag het bedrijf bepalen welk beleid wordt toegepast voor toegang. Hierdoor kan het bedrijf hetzelfde beleid toepassen op cloudgebaseerde apps als op on-premise services. Er is echter een klein verschil in hoe de reverse proxy omgaat met verbindingen met bronnen op locatie.

Doorgaans zou de proxy de gebruiker verbinden met de single sign-on-gateway, de verbinding verifiëren en deze vervolgens terugsturen naar de broker. Na verificatie zou de proxy de gebruiker vervolgens tunnelen naar elke individuele service of applicatie waartoe hij toegang heeft.

Voor organisaties met een hybride cloud is de overgang naadloos en onmerkbaar voor eindgebruikers. Ze zullen het verschil niet kunnen zien tussen cloudservices of on-premise assets. De reverse proxy en single sign-on gateway zullen de authenticatie voor beide afhandelen.

Geen van de bronnen op locatie accepteert verbindingen, tenzij ze worden getunneld vanaf de reverse proxy.

Op deze manier zal een zero-trust-benadering ervoor zorgen dat gebruikers niet van resource naar resource kunnen schakelen. In wezen verifiëren we niet alleen de gebruiker en zijn apparaat; we verifiëren ook de individuele netwerkcomponenten waartoe ze toegang hebben.

Conclusie

Organisaties moeten hun systemen zo ontwerpen dat afzonderlijke componenten niet worden aangetast door een aanvaller die andere functies beïnvloedt. Dit moet gebeuren binnen een redelijke risicoaanname.

Bovendien moeten organisaties telemetrie, analyse en business intelligence gebruiken om de zichtbaarheid en snelheidsdetectie te vergroten. Ze moeten alle waardevolle activa identificeren en microsegmenten vormen om meerdere inspectiepunten te creëren. Dit voorkomt dat indringers tussen activa heen en weer gaan. Met deze tools kunnen ze in realtime op bedreigingen reageren.

Of u nu de zero-trust-gereedheid van uw bedrijf beoordeelt of plannen maakt om de bescherming van uw identiteiten, apparaten, applicaties, gegevens, infrastructuur en netwerken te verbeteren, "vertrouw nooit, controleer altijd" is de mantra die u moet hanteren.