Zero Trust – nowoczesny model cyberbezpieczeństwa

Model Zero Trust stanowi fundamentalną zmianę w myśleniu o cyberbezpieczeństwie organizacji. W przeciwieństwie do tradycyjnych modeli zabezpieczeń, które koncentrowały się na ochronie sieci wewnętrznej firmy, Zero Trust opiera się na zasadzie „nigdy nie ufaj, zawsze weryfikuj”.

Ta nowoczesna filozofia bezpieczeństwa zakłada, że żadnemu użytkownikowi, urządzeniu ani aplikacji nie można ufać domyślnie, niezależnie od ich lokalizacji w sieci.

Ewolucja od tradycyjnych modeli bezpieczeństwa

Jeszcze przed erą dynamicznej transformacji cyfrowej i rosnących zagrożeń cybernetycznych, dominującym modelem bezpieczeństwa IT w organizacjach były zabezpieczenia określane mianem „zamku i fosy”. Zakładały one, że wszystko wewnątrz sieci korporacyjnej jest bezpieczne. Model ten sprawdzał się w czasach, gdy dane były przechowywane lokalnie, użytkownicy korzystali z komputerów stacjonarnych w biurze, a infrastruktura była jednolita i zamknięta.

Współczesne organizacje funkcjonują już jednak w znacznie bardziej złożonym środowisku cyfrowym. Wzrost popularności pracy zdalnej, migracji do chmury, urządzeń mobilnych oraz częstsze ataki wewnętrzne sprawiły, że tradycyjne modele stały się niewystarczające. W takiej rzeczywistości zaufanie domyślne staje się luką bezpieczeństwa, a nie elementem strategii obronnej.

Łatwo bowiem sobie wyobrazić, iż w dobie wyłudzania danych uwierzytelniających i przejmowania sesji, bezpieczeństwo całej organizacji może zostać zachwiane przez jednego jej członka, w wyniku choćby ataku typu phishing.

Stąd zrodziła się potrzeba wprowadzenia solidniejszych środków bezpieczeństwa i uwierzytelniania, opartych na zasadzie „nigdy nie ufaj, zawsze weryfikuj”. Powszechna w organizacjach stała się więc metoda Zero Trust, która to wyeliminowała koncepcję domyślnego zaufania i wprowadziła wymóg ciągłej autentykacji oraz autoryzacji dostępów do sieci korporacyjnej.

Kluczowe zasady Zero Trust

W dużym uproszczeniu model Zero Trust opiera się na trzech fundamentalnych filarach.

Założenie naruszenia
(Assume Breach)

Ostatnia zasada opiera się na minimalizacji zasięgu potencjalnego ataku, poprzez segmentowanie dostępów. Model ten zakłada, że naruszenie może się zdarzyć w każdym momencie, dlatego architektura musi być przygotowana na szybkie wykrywanie i reagowanie. Wykorzystuje się w niej kompleksowe szyfrowanie oraz zaawansowane analizy do wykrywania zagrożeń i poprawy mechanizmów obronnych w każdym elemencie infrastruktury sieciowej.

Jawna weryfikacja
(Verify Explicitly)

Uwierzytelnianie i autoryzacja dostępu na podstawie wszystkich dostępnych danych. Jakie to dane? Przede wszystkim tożsamość użytkownika, ale też jego lokalizacja czy stan urządzenia, z którego korzysta. Każda próba dostępu, niezależnie od pochodzenia, musi być uwierzytelniona, autoryzowana i ciągle monitorowana.

Zasada najmniejszych uprawnień
(Least Privilege Access)

Ograniczanie dostępu użytkowników oraz adaptacyjne zasady oparte na ryzyku, oraz ochronie danych. Tak więc w dużym skrócie – użytkownicy powinni otrzymywać tylko te uprawnienia, które są absolutnie niezbędne do wykonania ich codziennych zadań w firmie.

Komponenty architektury Zero Trust

Najistotniejsze jest tutaj odpowiednie przygotowaniu architektury całej infrastruktury sieciowej w firmie w oparciu na trzech podstawowych elementach.

Przede wszystkim jest to mikrosegmentacja, czyli praktyka izolacji obciążeń i osobnego zabezpieczania ich w celu ograniczenia ruchu lateralnego atakującego (poruszanie się wewnątrz sieci po uzyskaniu dostępu, w poszukiwaniu luk i dostępów w celu rozszerzenia ataku) w przypadku naruszenia bezpieczeństwa.  Sieć jest podzielona tu na małe, zarządzalne segmenty, które mogą być kontrolowane i monitorowane oddzielnie. Dzięki temu nawet jeśli atakujący przełamie jedną warstwę obrony, jego możliwości poruszania się po sieci są znacznie ograniczone.

Zero Trust wymaga również wdrożenia silnego, odpornego na phishing uwierzytelniania wieloskładnikowego (MFA) dla wszystkich pracowników, ze szczególnym naciskiem na konta o podwyższonych uprawnieniach.

Cała architektura wymaga też oczywiście ciągłego monitorowania i analizy wszystkich aktywności w sieci. Wykorzystuje się tu zaawansowane mechanizmy analizy zachowania (analiza behawioralna), które to pozwalają zidentyfikować anomalie i nietypowe dla użytkownika reakcje, takie jak logowanie w niestandardowych godzinach czy z innej lokalizacji.

Edukacja i rozwój kompetencji w obszarze Zero Trust

Wdrożenie modelu Zero Trust wymaga odpowiednio przygotowanych specjalistów. W odpowiedzi na rosnące zapotrzebowanie rynku, nasza uczelnia oferuje specjalistyczne programy kształcenia w tym zakresie.

Studia podyplomowe Cyberbezpieczeństwo w praktyce w PJATK przygotowują kadrę zarządzającą do podejmowania właściwych decyzji w zakresie cyberbezpieczeństwa, prezentując różne kategorie zagrożeń i sposoby reagowania na sytuacje kryzysowe.

Dla osób pragnących zdobyć głębszą wiedzę techniczną, dostępne są studia podyplomowe z zakresu cyberbezpieczeństwa systemów informatycznych i telekomunikacyjnych, które to obejmują zaawansowany program współrealizowany z firmą STM Cyber i wykorzystujący platformę „HackingDept” do nauki technik obronnych przed atakami hakerskimi. Co istotne, program ten jest aktualizowany przez zespół złożony z członków najlepszych polskich grup CTF – P4 i Dragon Sector. 

Studenci informatyki mogą również wybrać specjalizację w zakresie cyberbezpieczeństwa na studiach I stopnia, która przygotowuje absolwentów do pracy w komórkach bezpieczeństwa IT oraz umożliwia dalszy rozwój w dziedzinie cyberbezpieczeństwa w kontekście implementacji modeli Zero Trust.

Studia te otwierają też drogę do zawodu pentestera, którzy to odgrywają kluczową rolę w testowaniu skuteczności implementacji Zero Trust, przeprowadzając kontrolowane ataki na infrastrukturę IT w celu wykrycia słabych punktów, zanim zostaną one wykorzystane przez cyberprzestępców.