Мог ли кто-нибудь предсказать, во что превратится появившийся в прошлом веке мобильный телефон? И какое количество новых технологий возникнет в связи с его развитием? Стремительное распространение мобильных устройств и технологий беспроводной передачи данных, Интернета, облачных технологий, создание «Интернета вещей» — все это привело к тому, что примерно у половины взрослого населения Земли в кармане лежит мобильное устройство, имеющее доступ в Интернет практически из любой точки земного шара. И, само собой, это не могло не привести к использованию таких устройств для работы.
Теперь для выполнения своих служебных обязанностей совсем необязательно находиться в офисе, достаточно работодателю организовать доступ к корпоративным ресурсам, а сотруднику к ним подключиться — все, он на работе! Однако не все компании предоставляли своим сотрудникам удаленный доступ, считая, что это небезопасно, затратно, да и не нужно. Но начавшаяся в прошлом году пандемия и связанные с ней ограничения вынудили даже скептиков сделать выбор между удаленкой и потерями бизнеса, отдав предпочтение первому варианту.
В результате множество устройств, подключенных к корпоративной сети извне, использование облачных сервисов для хранения служебной информации окончательно размыли устоявшееся понятие периметра информационной безопасности. Когда большая часть активов и конечных устройств находится за пределами организации, спрятать их всех за одной большой «стеной» становится невозможным, что делает популярные ранее стратегии контроля доступа на основе защищаемого периметра практически неэффективными.
Так как же поступать? Ведущие аналитические компании в сфере информационной безопасности предлагают нам в качестве одного из вариантов решения новую парадигму кибербезопасности под названием Zero Trust или «Нулевое доверие». Zero Trust представляет собой набор концепций и идей, направленных на предотвращение успешных утечек данных за счет исключения излишнего доверия при принятии решений на запросы доступа, и базирующийся на принципе «никому не доверяй, всегда проверяй».
В концепции отсутствует деление пользователей на внутренних (доверенных) и внешних (недоверенных). Доверие в концепции Zero Trust рассматривается как уязвимость. Предполагается, что все пользователи по умолчанию недоверенные и их обращение к ресурсам требует дополнительной проверки. Другими словами, представьте, что каждый объект вашей сети равновероятно может оказаться скомпрометированным наравне с объектами, находящимися в сети Интернет.
Базируясь на принципах нулевого доверия, владельцы информационных систем имеют возможность строить архитектуру нулевого доверия (Zero Trust Architecture) — комплексный подход (стратегию) по обеспечению безопасности корпоративных ресурсов и данных. Эта стратегия охватывает управление учетными данными, идентификацию и авторизацию пользователей и процессов, управление привилегиями и доступом, контроль исполнения операций, защиту конечных точек, защиту и контроль сред функционирования, а также всю связанную инфраструктуру.
Информационные системы, построенные на принципах архитектуры нулевого доверия, могут достигнуть уровня максимальной безопасности за счет инвентаризации всех активов системы: хостов, пользователей, приложений, программных и рабочих процессов, а также видимости взаимодействия этих активов между собой. Кроме того, необходима корректная оценка всех активов системы на соответствие требованиям безопасности: что собой представляет хост, какой набор ОС и ПО на нем установлен, насколько этот набор безопасен для системы, какой пользователь работает с данного хоста, какими он обладает полномочиями и привилегиями, насколько правомерна работа данного пользователя на конкретном хосте и другое.
Безопасность достигается и благодаря непрерывности и немедленной адаптации системы защиты — ее архитектура такова, что она должна постоянно выявлять изменения, влияющие на защищенность системы, и адаптировать политики безопасности с учетом изменившегося ландшафта угроз.
Для построения систем c архитектурой «Нулевого доверия», предлагается использовать решения Zero Trust Network Access (далее — ZTNA), которые обеспечивают безопасный удаленный доступ, создавая вокруг приложения или группы приложений логическую границу доступа на основе идентификации и контекста, соответствуя при этом принципам модели Zero Trust.
В прессе часто называют ZTNA альтернативой, заменой или даже «убийцей» классического VPN, но это весьма поспешные выводы. ZTNA скорее должна обогащать существующие VPN, являясь их логическим продолжением. Необходимо рассматривать ZTNA как набор обязательных функций, которые должны быть включены разработчиками в свои продукты, в том числе и в VPN-клиенты, в виде дополнительных модулей, решая тем самым такие проблемы реализации VPN, как отсутствие идентификации и оценки безопасности устройства, с которого осуществляется доступ, предоставление сотрудникам полного доступа к сети после подключения, отсутствие контроля доступа на уровне приложений, ограничения при использовании BYOD-устройств и отсутствия возможности применения политик на основе дополнительного контекста. В результате решения упомянутых проблем мы можем получить универсальное решение, отвечающее современным вызовам, с которыми сталкивается информационная безопасность.
Компания «ИнфоТеКС» рассматривает свои продукты не только как решения класса ZTNA, а в первую очередь как методологию, позволяющую полностью реализовать архитектуру Zero Trust, соблюдая все ее базовые принципы при защите ИТ-инфраструктуры, в том числе и построенной в среде виртуализации, делая акцент на создании защищенных микропериметров безопасности. Если воспользоваться аналогией — это примеры судостроения, где корабль или подводная лодка разделены на отсеки, и в случае возникновения пробоины отсек герметизируется, при этом корабль остается на плаву.
Считается, что для реализации концепции Zero Trust потребуются новые продукты и решения, это не совсем так. Несмотря на то, что данная концепция является достаточно новой в мире информационной безопасности, реализовать ее можно с помощью уже существующих на данный момент продуктов.
Архитектура Zero Trust считается беспериметровой, поэтому для ее реализации необходимо сдвинуть направление защиты от находящихся на границе периметра шлюзов безопасности в сторону конечных устройств, а в рамках сегментации перейти с сетевого уровня на уровень приложений, вплоть до пары взаимодействия «пользователь-приложение». Для решения этой задачи на конечных устройствах следует использовать решения класса Endpoint Protection, средства защиты информации от несанкционированного доступа (СЗИ от НСД), управлять учетными данными пользователей с помощью решений семейства Identity and Access Management (IAM). Желательно применять технологию единого входа в систему Single Sign-On (SSO), а для разграничения доступа с обеспечением постоянного контроля безопасности сетевых сессий уже в рамках разрешенного доступа внутри защищаемой информационной системы понадобятся продукты класса Next Generation Firewall (NGFW).
Кроме обеспечения защиты информации и контроля доступа, для построения архитектуры Zero Trust нужно обеспечить мониторинг и анализ активности сети, тем самым повысив существующий уровень безопасности информационных систем и центров обработки данных при общем сокращении финансовых и временных затрат, за счет автоматизации процесса и сокращения времени на выявление и реагирование на инциденты ИБ. Для этих целей могут пригодиться решения семейства Managed Detection and Response (MDR).
Для тех, кто уже столкнулся с проблемами обеспечения защиты информации при организации доступа в новых реалиях и задумался модернизировать свою систему безопасности, следуя принципам Zero Trust, мы предлагаем придерживаться следующих рекомендаций.
Шифруйте данные
Для этих целей предлагается использовать технологию VPN, которая позволяет построить туннель с шифрованием передаваемых по нему данных.
Многофакторная аутентификация
Сегодня однофакторная аутентификация с парой «логин-пароль» уже недостаточна. При запросах к ресурсам необходимо пользоваться многофакторной аутентификацией.
Микросегментация
В отличие от классического подхода, подразумевающего защиту внешнего периметра от проникновения извне, модель Zero Trust предполагает разделение корпоративной сети на небольшие сегменты в виде детализированных политик межсетевого экрана на уровне приложений, что должно позволить сдерживать несанкционированный боковой трафик (например, трафик между информационными системами внутри защищаемого периметра) и предотвращать распространение атаки внутри организации. Тем самым через микросегментацию допускается только абсолютный минимум легитимного трафика между сегментами, в то время как весь остальной трафик должен автоматически блокироваться.
Создание микропериметров
Помимо сегментации сети, необходимо определить критические активы и сформировать их карту, после чего создать вокруг них архитектуру микропериметров, установив на них СЗИ от НСД или решения класса Endpoint Protection. На выходе получается множество защищенных периметров со своими политиками безопасности и правами доступа.
Принцип наименьших привилегий
Для предотвращения нежелательных действий как самого пользователя, так и злоумышленников, получивших доступ к его устройству, учетной записи пользователя необходимо предоставить лишь те права доступа, которые понадобятся для его работы. Например, у менеджера отдела продаж не должно быть доступа к репозиторию разработчиков, сотрудник бухгалтерии не должен иметь административных прав на своем ПК. Надо также учесть, что при переходе сотрудника с одной должности на другую должны изменяться его права и привилегии. Если следовать данному принципу, то в тех случаях, когда пользователю выданы минимально необходимые права, компрометация пользователя или системы не приведет к компрометации всей инфраструктуры.
Мониторинг и аналитика
С ростом количества и качественным изменением угроз информационной безопасности компаниям приходится не только предпринимать меры по защите информации, но и создавать системы мониторинга и регистрации событий ИБ, повышая тем самым общий уровень безопасности своего предприятия. Для решения этой задачи рекомендуется внедрить в корпоративную сеть решение класса MDR.
Почему Zero Trust — это будущее?
Zero Trust максимально усложняет утечку данных
Благодаря обязательной многофакторной аутентификации и применению гранулированных политик доступа пользователя, выстроенных на основе контекстных данных, многократно усложняется кража ценных активов либо становится совсем невозможной.
Уменьшает поверхность атаки
За счет сегментации на уровне приложений злоумышленник, в случае проникновения внутрь одного сегмента, не сможет перемещаться в другие.
Помогает управлять рисками
Сеть, построенная на архитектуре Zero Trust, позволяет применять контекстно зависимые политики, непрерывный мониторинг и аналитику событий в сети, тем самым увеличивая быстроту реагирования и оперативного расследования инцидентов ИБ.
Оппортунистические атаки теряют смысл
Для получения ценных данных, атаки должны быть таргетированными, а стало быть, более дорогими для атакующего, что делает их зачастую невыгодными злоумышленнику.
Подводя итог вышесказанному, хочется еще раз подчеркнуть, что переход к концепции Zero Trust — это непростой процесс. Он требует инвентаризации парка офисной техники, личных устройств сотрудников, создания и применения политик безопасности. Стоит ли игра свеч? Наш ответ однозначен — стоит, ведь успешная реализация данной концепции позволит эффективно противостоять актуальным киберугрозам, сохраняя при этом удобство использования информационных систем.
Накопленный в течение 30 лет опыт в сфере разработки средств защиты информации, результаты собственных исследований, изучение лучших мировых практик в области кибербезопасности позволяют нам создавать высококонкурентные продукты, удовлетворяющие потребностям рынка. «ИнфоТеКС» и в дальнейшем планирует совершенствовать свои решения и продукты в рамках развития архитектуры «Нулевого доверия», в том числе в сотрудничестве с нашими технологическими партнерами, помогая клиентам и партнерам сохранять информацию в полной безопасности.