Zero Trust Security: Soha ne bízz meg, mindig ellenőrizz

Évtizedeken át a hálózati biztonság úgy működött, mint egy várárokkal körülvett kastély. Ha egyszer bekerültél a falak mögé, megbízhatónak számítottál. A Zero Trust ezt a feltételezést teljesen elveti. A Zero Trust modellben senki sem kap szabad átjárást — sem az alkalmazottak, sem az eszközök, sem a belső rendszerek. Minden hozzáférési kérelmet potenciálisan ellenségesnek tekintenek, amíg az ellenkezője be nem bizonyosodik.

Mi is ez pontosan?

A Zero Trust egy biztonsági keretrendszer, nem egyetlen termék vagy eszköz. John Kindervarg, a Forrester Research elemzője formalizálta 2010-ben, bár a mögöttes gondolatok már évek óta fejlődtek. Az alapelv egyszerű: alapértelmezés szerint semmiben sem szabad megbízni, mindent explicit módon ellenőrizni kell, és a felhasználóknak csak a munkájuk elvégzéséhez szükséges minimális hozzáférést szabad biztosítani.

Ez közvetlen válasz arra, ahogyan a modern munkavégzés valójában zajlik. Az emberek otthoni hálózatokról, kávézókból, személyes eszközökről és felhőplatformokról érik el a vállalati rendszereket. A tűzfallal körülvett, biztonságos „belső hálózat" régi koncepciója már nem tükrözi a valóságot.

Hogyan működik?

A Zero Trust több egymást kiegészítő mechanizmusra támaszkodik:

Folyamatos hitelesítés és engedélyezés

Ahelyett, hogy egyszer bejelentkeznek és széles körű hozzáférést kapnak, a felhasználókat és az eszközöket folyamatosan újraellenőrzik. Ha valami megváltozik — a tartózkodási helyed, az eszközöd állapota, a viselkedésed — a hozzáférés azonnal visszavonható.

Legkisebb jogosultság elve

A felhasználók csak az adott szerepkörhöz vagy feladathoz szükséges jogosultságokat kapják meg. Egy marketing alkalmazottnak semmi keresnivalója nincs a fejlesztői adatbázisban, és a Zero Trust automatikusan érvényesíti ezt az elkülönítést.

Mikro-szegmentálás

A hálózatokat kis, izolált zónákra osztják fel. Még ha egy támadó be is hatol az egyik szegmensbe, nem tud szabadon mozogni a hálózat többi részén. Az oldalirányú mozgás — a nagyobb adatszivárgások egyik kulcstaktikája — rendkívül nehézzé válik.

Eszköz egészségének ellenőrzése

A hozzáférés megadása előtt a rendszer ellenőrzi, hogy az eszközöd megfelel-e a követelményeknek: naprakész-e a szoftver? Fut-e a végpontvédelem? Be van-e vonva az eszköz a szervezet felügyeleti rendszerébe?

Többfaktoros hitelesítés (MFA)

A Zero Trust környezetek szinte mindig megkövetelik az MFA használatát. Egy ellopott jelszó önmagában ritkán elegendő a hozzáférés megszerzéséhez.

Miért fontos ez a VPN-felhasználók számára?

A VPN-ek és a Zero Trust érdekes kapcsolatban állnak egymással. A hagyományos VPN-ek hálózati peremmodellen működnek — csatlakozás után a felhasználók általában széles körű hozzáférést kapnak a belső erőforrásokhoz. Ez pontosan az a fajta implicit bizalom, amelyet a Zero Trust elvet.

Sok szervezet ma már a Zero Trust Network Access (ZTNA) felé fordul, mint a hagyományos VPN-ek részletesebb alternatívája vagy kiegészítője. Ahelyett, hogy az összes forgalmat egyetlen hozzáférési ponton tunneleznék át, a ZTNA személyazonosság és kontextus alapján biztosít hozzáférést meghatározott alkalmazásokhoz.

Mindazonáltal a VPN-ek még mindig szerepet játszanak a Zero Trust architektúrákban. Egy VPN biztosíthatja a szállítási réteget — titkosítva a forgalmat az eszközöd és egy szerver között —, míg a Zero Trust szabályzatok szabályozzák, hogy valójában mit tehetsz, ha már csatlakozva vagy. Ezek különböző biztonsági rétegek, amelyek együtt is működhetnek.

Ha VPN-t használsz a távoli munkavégzéshez, a Zero Trust megértése segít megérteni, hogy a vállalat miért követelhet meg MFA-t, eszközregisztrációt vagy alkalmazásszintű hozzáférés-vezérlést a VPN-kapcsolat mellett. Ezek nem akadályok — hanem szándékos biztonsági rétegek.

Gyakorlati példák

  • Távoli munkavégzés: Egy alkalmazott csatlakozik egy vállalati alkalmazáshoz. A Zero Trust rendszer ellenőrzi a személyazonosságát, meggyőződik arról, hogy az eszköz frissített és megfelel a követelményeknek, megerősíti, hogy a bejelentkezési hely várható, majd csak azokhoz az eszközökhöz biztosít hozzáférést, amelyekre szüksége van — nem a teljes belső hálózathoz.
  • Felhőkörnyezetek: Egy AWS-en, Azure-on és Google Cloudon szolgáltatásokat futtató vállalkozás Zero Trust szabályzatokat alkalmaz annak biztosítására, hogy egyetlen kompromittált hitelesítő adat se férhessen hozzá egyszerre mindhárom környezethez.
  • Alvállalkozói hozzáférés: Egy szabadúszó időkorlátos, alkalmazásspecifikus hozzáférést kap anélkül, hogy valaha is érintkezne a szélesebb vállalati hálózattal. A szerződés lejártakor a hozzáférést azonnal visszavonják.

A Zero Trust egyre inkább a komolyan vett biztonságot szem előtt tartó szervezetek standardjává válik. Akár hálózati architektúrát értékelő vállalkozásról, akár a modern biztonsági eszközök működését megérteni kívánó egyénről van szó, a Zero Trust egy alapvető fogalom, amelyet érdemes ismerni.