Aplikování konceptu Zero Trust na cloudová prostředí
Filozofie Zero Trust je založena na zlepšování zabezpečení a ochrany dat odstraněním jedné podstatné a často opomíjené zranitelnosti a tou je „důvěra“. Například jeden z nejběžnějších scénářů zneužití principu důvěry je předpoklad, že kdokoli s fyzickým přístupem do budovy, by měl být také důvěryhodný pro přístup k síti. Tato chyba způsobuje, že mnoho organizací je zranitelných vůči horizontálnímu šíření. Jakmile se jednou podaří útočníku kompromitovat koncový bod, může se pak snadno pohybovat mezi dalšími síťovými uzly.
Bezpečnostní architekti se po mnoho let snažili eliminovat pojem „důvěra“ ze svých sítí. Pokusy o to zahrnovaly různé jednotlivé produkty, ale k cíli to moc rychle nevedlo. Digitální transformace znamená pro mnoho organizací také přechod z interních datových center na hybridní anebo veřejný cloud a SaaS aplikace. To je skvělá příležitost pro bezpečnostní týmy. Mohou začít v podstatě na zelené louce a zajistit, že filozofie Zero Trust je zapracována již do návrhu cloudové infrastruktury. Co tedy znamená Zero Trust pro cloudové aplikace?
Aplikování Zero Trust na cloudová prostředí
Podle studie IDG z roku 2020 má 81% společností alespoň část svých aplikací nebo infrastruktury v cloudu (v roce 2018 to bylo 73%) s tím, že toto číslo by mělo v nadcházejícím roce vzrůst až na 93%. Více než polovina společností používá více než jednu platformu veřejného cloudu.
Ačkoli poskytovatelé cloudových služeb (například Google, Amazon nebo Microsofz), nabízejí infrastrukturní služby, nejsou odpovědní za správu kybernetických rizik vaší organizace. Na základě modelu sdílené odpovědnosti je to zákazník, kdo odpovídá za cloudová rizika a ochranu svých aplikací a dat v cloudu. Bohužel neautorizovaný přístup a nekonzistentní bezpečnostní politiky napříč daty, uživateli a zařízeními mohou za to, že udržet bezpečnost v cloudu pod kontrolou je docela náročné. Ve skutečnosti 40% narušení pochází z neoprávněného přístupu ze strany autorizovaných uživatelů a takřka 60% podniků cítí, že jejich společnost je zranitelná vůči neoprávněnému narušení vzdáleného přístupu
Další komplikací v zabezpečení cloudových prostředí je, že organizace obecně nepoužívají pouze jednu cloudovou platformu. Zejména větší organizace mnohdy využívají kombinaci poskytovatelů veřejného cloudu pro řešení různých obchodních potřeb a přitom těží z flexibility a úspory nákladů cloudových služeb. Kromě toho, aplikace typu software jako služba (SaaS) jako například Microsoft 365™, Box nebo G Suite® zvyšují produktivitu a spolupráci ve velkých organizacích, včetně organizací s více pobočkami nebo vzdáleně pracujícími zaměstnanci. A konečně, vývojáři staví cloudové aplikace, které vyžadují granulární úrovně kontroly přístupu, aby mohli zajistit, že API nezůstane zranitelné. Abyste ochránili svou organizaci, musíte již při návrhu cloudové strategie myslet na zabezpečení napříč všemi těmito cloudovými službami a zároveň vytvořit rámec pro aplikaci Zero Trust přístupu.
Filozofie v pozadí Zero Trust
Správná bezpečnostní filozofie by měla eliminovat představu důvěry a implementovat nezbytné kontroly k prosazování přístupu nejnižší možnou úrovní oprávnění. Založením na myšlence „nikdy nedůvěřuj, vždy prověřuj“, vymezuje Zero Trust demarkační linii mezi aplikacemi a uživateli bez ohledu na použité zařízení nebo umístění. Princip nulové důvěry je filozofický posun v ochraně, což znamená, že žádný přístup není povolen bez předchozí identifikace.
Jakmile je přístup vytvořen, měl by být celý provoz neustále viditelný a kontrolovaný až do sedmé vrstvy. Pokud provoz není průběžně kontrolován, předpokládá se, že je důvěryhodný, což opět vede k porušení filozofie Zero Trust. Bez průběžné kontroly by bylo pro útočníka znepokojivě jednoduché kompromitovat koncový bod ověřeného uživatele a převzít kontrolu nad daty, která jsou tomuto oprávněnému uživateli dostupná.
Bohužel mnoho produktů na trhu slibujících Zero Trust se zaměřuje pouze na přístupovou část problému a již neřeší další nezbytné kroky kontroly a prevence.
Požadavky na Zero Trust v cloudu
Pojďme začít se základními premisami Zero Trust, tak jak je definoval Forrester:
- Zajistěte zabezpečený přístup ke všem zdrojům bez ohledu na jejich umístění.
- Přijměte strategii přístupu s minimálními oprávněními a řízení přístupu přísně vynucujte.
- Kontrolujte a zaznamenávejte veškerý provoz.
Pokud vaše řešení nesplňuje tyto tři požadavky, nedodržuje filozofii Zero Trust. Aby organizace dostála konceptu Zero Trust v cloudu, musí vědět jaké aplikace se v cloudu používají, druh dat, který je ukládán, jaká je jejich citlivost, a kteří uživatelé a služby k nim přistupují.
Zero Trust v cloudu musí být navíc jednoduchý a snadno použitelný. Pokud uživatelé musí změnit své chování při přístupu k aplikacím a datům z různých míst nebo je proces příliš složitý, nebude to fungovat efektivně, uživatelé budou hledat alternativní řešení a budou se snažit přístup obejít. Zabezpečený přístup by měl být pro uživatele bezproblémový, bez ohledu na to, jak se připojují, odkud se připojují, nebo ke které aplikaci se pokouší připojit.
Chcete-li aplikovat Zero Trust na cloud, potřebujete, aby i zabezpečení bylo dodávané cloudem. Zabezpečení dodávané z cloudu představuje bod, kde se vynucují politiky mezi uživateli a aplikacemi. Připojení do cloudu místo přímo do centrály společnosti poskytuje lepší ochranu a viditelnost internetového provozu. Tímto způsobem lze vynutit Zero Trust, aniž byste museli před každý prostředek vložit bránu firewall, což zjednodušuje architekturu a snižuje prostor pro útok.
Zero Trust pro privátní aplikace ve veřejném cloudu
Princip současného použití kontextového přístupu a prevence hrozeb by měl být důsledně uplatňován z datového centra do cloudu. Různí vývojáři aplikací a organizace mají mnohdy různé představy o tom, jak přistupovat k zabezpečení, a konzistentní kontextové ochrany je často těžké dosáhnout. Zatímco organizace přesouvají své aplikace z datového centra do cloudu, musí uživatelský dojem zůstat konzistentní a zabezpečený bez ohledu na to, kde se uživatel právě nachází. U uživatelů na spravovaných zařízeních by měl mít přístup k dané aplikaci (ať už v datovém centru, cloudu nebo SaaS) pouze oprávněný uživatel s prověřeným zařízením. Pro uživatele na nespravovaných zařízeních by měl být přístup k aplikaci možný bez připojení zařízení do interní sítě, čímž by se zachovala architektura nejmenších oprávnění.
Zero Trust pro SaaS aplikace
Cloudové aplikace pro produktivitu jsou velmi populární. Obvykle k nim přistupuje rozmanité spektrum zaměstnanců a dodavatelů, a to odkudkoli, ze všech možných zařízení, která mohou nebo nemusí být ve vlastnictví organizace. Je důležité zaujmout preventivní přístup k zabezpečení SaaS aplikací s komplexními preventivními schopnostmi a řízením politikami
Přístup Zero Trust zahrnuje nejen schopnost identifikovat nesčetné množství používaných aplikací, ale také kdo je používá. Vaše bezpečnostní týmy tak mají moc přijímat informovanější rozhodnutí. Díky granulární viditelnosti může vaše organizace minimalizovat příležitost k útoku povolením přístupu k podnikovým aplikacím na základě identity uživatele. Například zaměstnanci se spravovanými zařízeními by měli získat okamžitý, plný přístup k jejich schváleným aplikacím, zatímco dodavatelé na nevyhovujících zařízeních by měli dostat jinou úroveň přístupu na základě role a potřeby.
Zero Trust pro DevOps v cloudu
Pokud je vaše organizace jako většina dnešních, vaše DevOps týmy pravděpodobně vytvářejí cloudové aplikace a pracují s množstvím API rozhraní. Abychom mohli zajistit, že členové týmu mají přístup k API, která potřebují, potřebujeme podrobnou viditelnost do kontextových informací. Jen tak můžeme správně sestavit a udržovat bezpečností politiky. Díky prosazování zásad Zero Trust je úroveň přístupu, který osoba potřebuje, řízena její individuální rolí v organizaci nebo dokonce zařízením, které používá. Toto je příklad konceptu nejmenších oprávnění, kdy můžete minimalizovat příležitost k útoku omezením přístupu na základě kontextu. Tedy za předpokladu, že jsou tyto informace k dispozici.
Průnik identity (založené na vlastnostech uživatele nebo zařízení) a vynucování zásad řízení přístupu se tradičně provádí v době ověřování. Pokud předsuneme přístupovou vrstvu před bezpečnostní vrstvu, nemají neoprávnění uživatelé vůbec šanci provést pokus o ověření k námi chráněnému API. Ve výsledku můžeme minimalizovat příležitost k útoku, zmírnit riziko zneužití pověření a snížit objem bezpečnostních výstrah při neúspěšném přihlášení. Tento přístup navíc DevOps usnadňuje vytváření aplikací v cloudu. Vše, co DevOps musí udělat, je připojit se k vrstvě konektivity cloudové služby a odtud se použijí příslušné zásady zabezpečení.
Shrnutí
Při přechodu do cloudu je důležité zvážit bezpečnostní strategie, které zajistí, že vaše organizace zůstane o krok před vznikajícími hrozbami. Strategie Zero Trust zavádí mentalitu „nikdy nedůvěřuj, vždy prověřuj“.
Zero Trust vyžaduje konzistentní viditelnost a důslednou kontrolu přístupu, kterou lze provádět přímo na koncovém zařízení nebo prostřednictvím cloudu. Tím se zabrání neoprávněnému přístupu a ztrátě dat. Uživatelem generované požadavky musí být neustále ověřovány. Musí být zajištěno, že zabezpečený přístup k povoleným aplikacím a datům získají pouze ověření uživatelé. Bez ohledu na to, kde se uživatelé nacházejí, jaké zařízení používají nebo kde jsou vaše aplikace hostovány.
Přístup je jen jedním aspektem architektury Zero Trust. Aby se minimalizovala možnost útoku neoprávněnými uživateli nebo škodlivými činiteli, musí být vytvořena segmentace (ať už v bráně firewall pro síťové aplikace nebo v cloudu pro cloudové aplikace), která umožní vynucení zásad na 7. vrstvě na základě toho, kdo, co, kdy, kde, proč a jak. Tím je zajištěno, že je povolen pouze známý, schválený provoz nebo legitimní aplikační komunikace.
Průběžná kontrola veškerého provozu na 7. vrstvě pomáhá rychle identifikovat a reagovat na hrozby. Zároveň zajišťuje, že veškerá komunikace pochází z legitimního provozu. Tato telemetrie také pomáhá poskytnout přehled o vzájemných závislostech vašich důležitých dat, aplikací a služeb. Díky tomu můžete neustále upravovat a vylepšovat vaši architekturu Zero Trust. Vymáhání zásad Zero Trust poskytuje preventivní funkce, které zabraňují škodlivým činitelům v ohrožení aplikací nebo zařízení.
Díky nasazení Zero Trust modelu získáte celou řadu výhod, například:
- Lepší přehled o datech, aktivech a rizikách
- Důsledné a komplexní zabezpečení
- Vyšší rychlost a agilita, abyste byli o krok napřed před vyvíjejícími se technologiemi.
- Snížené provozní náklady a složitost
Cesta do cloudu nemusí být složitá. Zvažte strategii Zero Trust. Zajistí vám, že vaše organizace zůstane připojená a bezpečná, a to po celou dobu vaší digitální transformace. Další informace najdete na adrese paloaltonetworks.com/network-security/zero-trust.
Detailnější informace o modelu Zero Trust můžete získat také v rámci aktuálně probíhajícího seriálu webinářů. Registrujte se na https://webinar.zerotrust.cz/event/nase-serie-webinaru/