Võrguperimeetri lõpp
Traditsiooniline turvamudel meenutas vallikraaviga kindlust — müüride sees oli kõik usaldusväärne, ohud peitusid väljaspool. Kaugtöö levimine, pilve üleminek ja kasvav SaaS-rakenduste arv muutsid turvalise siseperimeetri mõiste mõttetuks. Kohviku VPN-i kaudu ettevõtte süsteemidega ühendust võttev töötaja, tootmisettevõtte IoT-seade, välise pakkuja pilvekeskkonnas töötav rakendus — ükski neist ühendustest pole olemuslikult turvaline pelgalt seetõttu, et pärineb autoriseeritud IP-aadressilt.
Zero Trust arhitektuuri kolm alustala
Zero Trust põhineb kolmel sambal, mis peavad olema juurutatud samaaegselt, et mudel oleks tõhus. Esimene sammas on identiteedi verifitseerimine — iga juurdepääsupäring peab olema autenditud ja autoriseeritud, olenemata päritolust. Ühekordsest päeva alguse sisselogimisest ei piisa — juurdepääsukonteksti verifitseeritakse iga tundliku toimingu puhul. Teine sammas on minimaalsed õigused — kasutaja, rakendus või teenus saab juurdepääsu ainult konkreetse ülesande täitmiseks vajalikele ressurssidele selle kestuse ajaks. Kolmas sammas on rikkumise eeldamine — arhitektuur on projekteeritud eeldusel, et ründaja viibib juba võrgus, mis nõuab mikrosegmenteerimist ja sisemise liikluse krüpteerimist.
- Mitmeastmeline autentimine kõigile kasutajatele, sh administraatoritele
- Pidev seansi riskihindamine — konteksti muutus (asukoht, seade, kellaaeg) võib nõuda uut verifitseerimist
- Just-in-time juurdepääs privilegeeritud ressurssidele püsivate administraatoriõiguste asemel
- East-west liikluse krüpteerimine ettevõtte sisevõrgus
- Mikrosegmenteerimine, mis piirab ründaja võimalikku liikumist
Identiteet kui uus perimeeter
Zero Trust arhitektuuris muutub identiteet — kasutaja, seadme ja teenuse identiteet — peamiseks juurdepääsukontrolli mehhanismiks. Iga rakendus, iga mikroteenus, iga konteiner peaks omama krüptograafiliselt verifitseeritavat identiteeti. See nõuab ühtset identiteedihaldussüsteemi, mis katab kohalikud, pilve- ja välised ressursid ning automaatset identiteedi elutsüklit — õiguste andmisest tühistamiseni.
Nähtavus kui tõhususe eeltingimus
Zero Trust ilma tervikliku nähtavuseta on pime arhitektuur. Iga juurdepääsusündmus peab olema logitud viisil, mis võimaldab tagasiulatuvat analüüsi ja anomaaliate tuvastamist. SIEM-süsteemid, mis integreerivad võrgu-, rakendus- ja identiteedikihi logisid, võimaldavad korreleerida sündmusi, mis isoleeritult tunduvad süütud, kuid koos paljastavad ründekatse. Ohudetuvastamise automatiseerimine vähendab kompromiteerimise ja avastamise vahelist aega — valdkonna statistika kohaselt on see endiselt keskmiselt mitu nädalat.
Tee Zero Trustini — iteratiivne lähenemine
Zero Trusti täielik juurutamine on mitmeaastane projekt, mitte ühekordne tegevus. Praktiline lähenemine algab ressursside ja andmevoogude inventuurist, kriitiliste ressursside tuvastamisest ning tugeva autentimise juurutamisest nende juurdepääsuks. Järgmised iteratsioonid laiendavad mikrosegmenteerimise ja kontekstipõhise verifitseerimise ulatust. ESKOM.AI toetab organisatsioone nende operatiivküpsusele ja riskiprofiilile kohandatud Zero Trust strateegia ehitamisel, pakkudes verifitseerimis- ja monitoorimisprotsesside automatiseerimissüsteeme, mis on kooskõlas selle turvamudeliga.