Zero Trust Securityปานกลาง

Zero Trust Security: ไม่ไว้ใจใครเลย ตรวจสอบเสมอ

ตลอดหลายทศวรรษที่ผ่านมา ความปลอดภัยของเครือข่ายทำงานเหมือนปราสาทที่มีคูน้ำล้อมรอบ เมื่อคุณอยู่ภายในกำแพงแล้ว คุณจะได้รับความไว้วางใจโดยอัตโนมัติ Zero Trust ปฏิเสธแนวคิดนั้นทั้งหมด ในโมเดล Zero Trust ไม่มีใครได้รับสิทธิ์ผ่านโดยไม่ต้องตรวจสอบ ไม่ว่าจะเป็นพนักงาน อุปกรณ์ หรือแม้แต่ระบบภายใน คำขอเข้าถึงทุกรายการจะถูกมองว่าอาจเป็นภัยคุกคาม จนกว่าจะพิสูจน์ได้เป็นอย่างอื่น

Zero Trust Security คืออะไร

Zero Trust คือกรอบความปลอดภัย ไม่ใช่ผลิตภัณฑ์หรือเครื่องมือชิ้นเดียว แนวคิดนี้ได้รับการกำหนดอย่างเป็นทางการโดย John Kindervarg นักวิเคราะห์จาก Forrester Research ในปี 2010 แม้ว่าแนวคิดพื้นฐานจะมีการพัฒนามาก่อนหน้านั้นหลายปีแล้ว หลักการหลักนั้นเรียบง่าย คือ ไม่ไว้ใจสิ่งใดโดยค่าเริ่มต้น ตรวจสอบทุกอย่างอย่างชัดเจน และมอบสิทธิ์การเข้าถึงให้ผู้ใช้งานเพียงเท่าที่จำเป็นสำหรับการทำงานของตนเท่านั้น

แนวทางนี้เป็นการตอบสนองโดยตรงต่อรูปแบบการทำงานในยุคปัจจุบัน ที่ผู้คนเข้าถึงระบบขององค์กรจากเครือข่ายที่บ้าน ร้านกาแฟ อุปกรณ์ส่วนตัว และแพลตฟอร์มคลาวด์ แนวคิดเดิมเกี่ยวกับ "เครือข่ายภายใน" ที่ปลอดภัยซึ่งล้อมรอบด้วยไฟร์วอลล์นั้นไม่สอดคล้องกับความเป็นจริงอีกต่อไป

หลักการทำงาน

Zero Trust อาศัยกลไกหลายอย่างที่ทำงานร่วมกัน ดังนี้

การยืนยันตัวตนและการอนุญาตอย่างต่อเนื่อง

แทนที่จะเข้าสู่ระบบเพียงครั้งเดียวและได้รับสิทธิ์การเข้าถึงในวงกว้าง ผู้ใช้งานและอุปกรณ์จะถูกตรวจสอบซ้ำอย่างต่อเนื่อง หากมีสิ่งใดเปลี่ยนแปลง ไม่ว่าจะเป็นตำแหน่งที่ตั้ง สถานะของอุปกรณ์ หรือพฤติกรรมของคุณ การเข้าถึงสามารถถูกเพิกถอนได้ทันที

การเข้าถึงด้วยสิทธิ์ขั้นต่ำ

ผู้ใช้งานจะได้รับเฉพาะสิทธิ์ที่จำเป็นสำหรับบทบาทหรืองานของตนเท่านั้น พนักงานฝ่ายการตลาดไม่มีเหตุผลที่จะเข้าถึงฐานข้อมูลของทีมวิศวกรรม และ Zero Trust จะบังคับใช้การแยกส่วนนั้นโดยอัตโนมัติ

Micro-Segmentation

เครือข่ายจะถูกแบ่งออกเป็นโซนเล็กๆ ที่แยกจากกัน แม้ว่าผู้โจมตีจะเจาะเข้าไปในส่วนหนึ่งได้ พวกเขาก็ไม่สามารถเคลื่อนที่ได้อย่างอิสระในส่วนอื่นๆ ของเครือข่าย การเคลื่อนที่แบบ Lateral Movement ซึ่งเป็นกลวิธีสำคัญในการละเมิดข้อมูลขนาดใหญ่ จะกลายเป็นเรื่องยากมาก

การตรวจสอบสุขภาพของอุปกรณ์

ก่อนให้สิทธิ์การเข้าถึง ระบบจะตรวจสอบว่าอุปกรณ์ของคุณเป็นไปตามข้อกำหนดหรือไม่ เช่น ซอฟต์แวร์ได้รับการอัปเดตแล้วหรือยัง มีการเปิดใช้งานระบบป้องกัน Endpoint อยู่หรือเปล่า และอุปกรณ์ได้ลงทะเบียนในระบบจัดการขององค์กรแล้วหรือไม่

Multi-Factor Authentication (MFA)

สภาพแวดล้อมแบบ Zero Trust มักกำหนดให้ใช้ MFA เกือบทุกครั้ง รหัสผ่านที่ถูกขโมยเพียงอย่างเดียวจึงแทบไม่เพียงพอที่จะได้รับสิทธิ์การเข้าถึง

ความสำคัญสำหรับผู้ใช้งาน VPN

VPN และ Zero Trust มีความสัมพันธ์ที่น่าสนใจ VPN แบบดั้งเดิมทำงานบนโมเดลขอบเขตเครือข่าย เมื่อเชื่อมต่อแล้ว ผู้ใช้งานมักได้รับสิทธิ์การเข้าถึงทรัพยากรภายในในวงกว้าง ซึ่งนี่คือสิ่งที่ Zero Trust ปฏิเสธโดยตรง

หลายองค์กรกำลังเปลี่ยนมาใช้ Zero Trust Network Access (ZTNA) เป็นทางเลือกที่ละเอียดกว่าหรือใช้ควบคู่กับ VPN แบบดั้งเดิม แทนที่จะส่งทราฟฟิกทั้งหมดผ่านจุดเข้าถึงเดียว ZTNA จะให้สิทธิ์การเข้าถึงแอปพลิเคชันเฉพาะอย่างตามข้อมูลตัวตนและบริบท

อย่างไรก็ตาม VPN ยังคงมีบทบาทในสถาปัตยกรรม Zero Trust VPN สามารถรักษาความปลอดภัยในชั้น Transport ด้วยการเข้ารหัสทราฟฟิกระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ ในขณะที่นโยบาย Zero Trust ควบคุมสิ่งที่คุณสามารถทำได้จริงเมื่อเชื่อมต่อแล้ว ทั้งสองเป็นชั้นความปลอดภัยที่แตกต่างกันและสามารถทำงานร่วมกันได้

หากคุณใช้ VPN สำหรับการทำงานจากระยะไกล การทำความเข้าใจ Zero Trust จะช่วยให้คุณเข้าใจว่าทำไมบริษัทจึงอาจกำหนดให้ใช้ MFA การลงทะเบียนอุปกรณ์ หรือการควบคุมการเข้าถึงในระดับแอปพลิเคชันเพิ่มเติมจากการเชื่อมต่อ VPN สิ่งเหล่านี้ไม่ใช่อุปสรรค แต่เป็นชั้นความปลอดภัยที่ออกแบบมาอย่างตั้งใจ

ตัวอย่างในทางปฏิบัติ

• การทำงานจากระยะไกล: พนักงานเชื่อมต่อกับแอปพลิเคชันขององค์กร ระบบ Zero Trust จะตรวจสอบตัวตนของพวกเขา ยืนยันว่าอุปกรณ์ได้รับการ Patch และเป็นไปตามข้อกำหนด ยืนยันว่าตำแหน่งที่เข้าสู่ระบบนั้นคาดการณ์ได้ จากนั้นจึงให้สิทธิ์การเข้าถึงเฉพาะเครื่องมือที่พวกเขาต้องการเท่านั้น ไม่ใช่เครือข่ายภายในทั้งหมด

• สภาพแวดล้อมคลาวด์: ธุรกิจที่รันบริการบน AWS, Azure และ Google Cloud ใช้นโยบาย Zero Trust เพื่อให้แน่ใจว่าข้อมูลรับรองที่ถูกละเมิดเพียงชุดเดียวไม่สามารถเข้าถึงทั้งสามสภาพแวดล้อมได้พร้อมกัน

• การเข้าถึงของผู้รับเหมา: นักพัฒนาอิสระได้รับสิทธิ์การเข้าถึงเฉพาะแอปพลิเคชันที่กำหนดระยะเวลาไว้ โดยไม่แตะต้องเครือข่ายองค์กรในวงกว้าง เมื่อสัญญาสิ้นสุด สิทธิ์การเข้าถึงจะถูกเพิกถอนทันที

Zero Trust กำลังกลายเป็นมาตรฐานสำหรับองค์กรที่ให้ความสำคัญกับความปลอดภัยอย่างจริงจัง ไม่ว่าคุณจะเป็นธุรกิจที่กำลังประเมินสถาปัตยกรรมเครือข่าย หรือบุคคลทั่วไปที่พยายามทำความเข้าใจว่าทำไมเครื่องมือรักษาความปลอดภัยในยุคปัจจุบันจึงทำงานในแบบที่เป็น Zero Trust คือแนวคิดพื้นฐานที่ควรรู้จัก