Zero Trust Security više nije buzzword
Okta, kompanija za upravljanje identitetima, objavila je svoj izvještaj pod nazivom "The State of Zero Trust Security 2022". Na osnovu 700 ispitanika, uglavnom rukovodilaca na nivou C iz globalnih kompanija, izvještaj jasno pokazuje da je Zero Trust sada univerzalno prihvaćen kao put naprijed prema sigurnim organizacijama: gotovo sve anketirane organizacije (97%) ili su već pokrenule Zero Trust inicijativu ili imaju konkretne planove za lansiranje u narednim mjesecima. U 2019. samo je 16% anketiranih IT rukovodilaca dalo iste povratne informacije.
U svijetu oblaka ne postoji perimetar niti posebna mreža za odbranu. To je postalo očiglednije kako su se zaposlenici tokom pandemije masovno selili izvan On-Premise mrežnog perimetra. Odjednom se većina sigurnosnih događaja nije dogodila na korporativnoj mreži, već na uređajima zaposlenih - novoj ivici mreže. I tako je koncept Zero Trust odjednom postao arhitektura izbora za rješavanje nove stvarnosti. CIO i IT administratori širom svijeta sada prihvataju sigurnosni okvir Zero Trust, koji je brzo evoluirao od popularne riječi do strateškog diferencijanta i poslovnog imperativa. Vlade također igraju na kartu ZTNA: na primjer, 2021. američka savezna vlada izvršnom je naredbom naredila razvoj Zero Trust arhitekture u svim vladinim agencijama.
Zero Trust se obično objašnjava navođenjem slogana "nikad ne veruj; uvek verifikuj" ili se definiše kao model informacijske sigurnosti koji prema zadanim postavkama odbija pristup aplikacijama i podacima. To je često tek nešto više od tautologije. No, šta ZTNA znači u praksi?
Prvo, sredstva poput laptopa ili servera su ona koja postaju fokus stalnih provjera identiteta, zdravlja uređaja i politike pristupa. To znači da fokus nije više na mrežnim uređajima kao što su firewall koji pružaju VPN pristup, već na uvijek uključenim softverskim agentima instaliranim na svakom elementu. Samo na ovom nivou agenta, koji vrši dubinski pregled aktivnosti korisnika u realnom vremenu, pristup ZTNA-u može se istinski nametnuti. Zbog toga je ZTNA bliža EDR/XDR ili SASE tehnologijama, što je čini idealnom tehnologijom za konsolidaciju sigurnosnih stackova.
Druga implikacija ZTNA je identitet. U stvari, upravljanje identitetom temelj je svake Zero Trust strategije, posebno kada se uzme u obzir da je kompromis identiteta taktika broj 1 koja se koristi u modernim napadima.
U svijetu u kojem je perimetar nestao, organizacije moraju istovremeno staviti svoja sredstva na raspolaganje ovlaštenim korisnicima dok ih štite od zlonamjernih aktera. Ti ovlašteni korisnici nisu samo uredski i udaljeni zaposleni, već i poslovni partneri - od vanjskih ugovornih radnika do kupaca koji pristupaju, recimo, aplikaciji za naručivanje robe. Prečesto se ovi identiteti potiskuju u izolirane silose unutar aplikacija i nisu zaštićeni od najnovijih taktika zlouporabe vjerodajnica.
Koje su ključne inicijative u smislu usklađivanja upravljanja identitetom sa ZTNA? Oktin izvještaj opisuje mnoge od njih, uključujući:
Povežite direktorije zaposlenih s kritičnim aplikacijama u oblaku, da vidite tko čemu pristupa bez obzira gdje se nalazio.
Implementirajte višefaktorsku autentifikaciju (MFA) za zaposlene kako biste osigurali da su ključevi zaštićeni od krađe akreditiva.
Dodajte MFA za vanjske korisnike, kao što su poslovni partneri i izvođači.
Implementirajte jedinstvenu prijavu (SSO) za zaposlene, za podržane aplikacije.
Omogućite resetiranje faktora samoposluživanja i smanjite troškove službe za pomoć.
Automatizirajte dostavljanje i deproviziju za aplikacije.
Automatizirajte dodjelu i deaktivaciju za zaposlene i vanjske korisnike u modelu zasnovanom na ulogama.
Omogućite upravljanje privilegovanim pristupom infrastrukturi u oblaku.
Koristite različite faktore autentifikacije u grupama korisnika na osnovu rizika i smanjite troškove licenciranja.
Implementirajte politike pristupa zasnovane na kontekstu.
Dodajte siguran pristup interfejsima za programiranje aplikacija (API)
Implementirajte siguran pristup bez lozinke na cijelom području.
Donesite odluke o pristupu na sloju podataka na osnovu lokacije korisnika i uređaja.
Izvješće otkriva da su mnoge organizacije barem pokrenule dosta ovih inicijativa. Međutim, upravljanje sigurnim pristupom za vanjske korisnike (MFA, automatizirano oduzimanje, itd.) još uvijek je prilično rijetko. Isto se može reći i za politike pristupa zasnovane na kontekstu i za pristup bez lozinke.
Jasno je da je još je dug put do upravljanja identitetom usklađenim sa modernim scenarijima pristupa, a time i put do pune zrelosti Zero Trust-a.
