Descrivere il modello di Zero Trust
Zero Trust è una strategia di sicurezza, non un singolo prodotto o tecnologia. Opera sul principio di "trust nessuno, verificare tutto." invece di presumere che tutto all'interno di una rete aziendale sia sicuro e affidabile, Zero Trust richiede che ogni richiesta di accesso sia autenticata e autorizzata, indipendentemente dalla posizione in cui ha origine la richiesta.
Gli approcci di sicurezza tradizionali spesso si basavano su un modello "castle-and-moat": i controlli perimetrali sicuri mantenevano fuori il traffico non attendibile e tutto ciò che si trovava all'interno della rete era considerato sicuro. Questo modello funzionava abbastanza bene quando i dipendenti lavoravano da un ufficio fisso e i dati vivevano interamente in locale. Ma l'ambiente non descrive più la maggior parte delle organizzazioni.
Oggi, il lavoro avviene da qualsiasi luogo. I dipendenti usano dispositivi personali e aziendali, si connettono da reti domestiche e posizioni pubbliche e accedono ai dati in più servizi cloud. I dati aziendali si spostano tra data center locali, piattaforme cloud e applicazioni di terze parti. In questo ambiente, il perimetro di rete da solo non è più un limite di sicurezza affidabile. Gli utenti malintenzionati ignorano regolarmente i controlli perimetrali tramite phishing, furto di credenziali e vulnerabilità dell'applicazione, e una volta all'interno, possono spostarsi attraverso la rete se si presuppone che l'interno sia considerato attendibile per impostazione predefinita.
Zero Trust risolve questa realtà presupponendo che nessuna rete, dispositivo, utente o applicazione debba essere considerata attendibile per impostazione predefinita, anche quelli che hanno già eseguito l'autenticazione o sono connessi a una rete attendibile.
Guardare questo video per informazioni sulle Zero Trust.
Zero Trust principi guida
Il modello di Zero Trust si basa su tre principi guida che modellano il modo in cui vengono prese decisioni di sicurezza in ogni parte di un'organizzazione.
Verificare in modo esplicito: autenticare e autorizzare sempre in base a tutti i segnali disponibili, non solo a un singolo fattore, ad esempio una password o un percorso di rete. I segnali includono l'identità dell'utente, la posizione di accesso, il dispositivo in uso e lo stato di conformità, il servizio o l'applicazione a cui si accede, la classificazione dei dati coinvolti e eventuali anomalie, ad esempio orari o posizioni di accesso insolite. Più segnali è possibile valutare, maggiore è la certezza che la persona giusta acceda alla risorsa giusta.
Usare l'accesso con privilegi minimi: concedere agli utenti e ai sistemi solo l'accesso minimo necessario per svolgere il proprio lavoro, solo se necessario. Questo principio viene implementato tramite l'accesso JIT (Just-In-Time), concedendo l'accesso solo quando è necessario e revocandolo in un secondo momento, e tramite l'accesso JEA (Just-Enough-Access), concedendo solo le autorizzazioni specifiche necessarie per un'attività, anziché autorizzazioni generali "just in case". I criteri adattivi basati sul rischio possono anche limitare automaticamente l'accesso quando viene rilevata un'attività insolita o rischiosa.
Presupporre la violazione: progettare la strategia di sicurezza come se un utente malintenzionato riuscirà a superare le difese. Quando si presuppone una violazione, si segmenta l'accesso in modo che un account o un dispositivo compromesso non possa raggiungere liberamente tutto il resto. È possibile crittografare i dati end-to-end in modo che i dati intercettati siano illeggibili. Il monitoraggio e l'analisi vengono implementati in modo che, quando si verifica una violazione, venga rilevata rapidamente, si capisca cosa è stato violato e si possa limitare il danno.
Questi tre principi guidano il modo in cui viene implementato ogni aspetto della sicurezza: come gli utenti eseguono l'autenticazione, il modo in cui i dispositivi sono attendibili, il modo in cui le applicazioni sono autorizzate e come vengono protetti i dati.
Sette pilastri fondamentali
Nel modello di Zero Trust la sicurezza viene implementata in sette pilastri interconnessi. Sei di questi pilastri sono fonti di segnale, un piano di controllo per l'applicazione e risorse critiche da difendere. Il settimo pilastro raccoglie segnali da tutti e sei e fornisce visibilità, automazione e orchestrazione necessarie per rispondere e attenuare le minacce.
Le identità possono essere utenti, servizi o dispositivi. Quando un'identità tenta di accedere a una risorsa, deve essere verificata con l'autenticazione avanzata prima di concedere l'accesso. Dopo l'autenticazione, l'accesso è regolato da principi con privilegi minimi, concedendo solo l'accesso necessario per l'attività specifica. L'identità è il piano di controllo principale per la sicurezza moderna, perché quasi tutti gli attacchi riusciti alla fine si basano sulla compromissione o sull'abuso di un'identità.
I dispositivi creano una superficie di attacco di grandi dimensioni man mano che i dati passano dai dispositivi ai carichi di lavoro locali e al cloud. Ogni dispositivo che accede alle risorse rappresenta un potenziale punto di ingresso per gli utenti malintenzionati. Il monitoraggio dei dispositivi per lo stato di integrità e la conformità, nonché per prendere decisioni di accesso basate su tale stato, è un aspetto importante di Zero Trust. I dispositivi che non sono conformi o mostrano segni di compromissione possono essere bloccati o con accesso limitato.
Le applicazioni sono il modo in cui vengono utilizzati i dati. In una strategia di Zero Trust è necessaria visibilità su tutte le applicazioni usate nell'ambiente, incluse le applicazioni non approvate, talvolta denominate shadow IT, usate dai dipendenti senza approvazione formale. Questo pilastro include anche la gestione delle autorizzazioni richieste dalle applicazioni dalle piattaforme e le autorizzazioni concesse dagli utenti alle applicazioni che accedono ai dati.
I dati devono essere classificati, etichettati e crittografati in base agli attributi e alla riservatezza. Le attività di sicurezza in tutti gli altri pilastri servono alla fine per proteggere i dati. I dati devono portare la propria protezione, tramite la classificazione e la crittografia, in modo che rimangano sicuri anche all'esterno degli ambienti che l'organizzazione controlla.
L'infrastruttura, sia locale che basata sul cloud, rappresenta una superficie di attacco significativa. In Zero Trust, l'infrastruttura viene valutata continuamente per valuta della versione, conformità della configurazione e comportamento insolito. L'accesso just-in-time alle interfacce amministrative limita il periodo di esposizione. I dati di telemetria dall'infrastruttura consentono ai team di rilevare attacchi e anomalie e rispondere automaticamente.
Le reti devono essere segmentate in modo che un compromesso in una parte della rete non fornisca accesso senza restrizioni altrove. Ciò include una micro-segmentazione di rete più approfondita che crea limiti all'interno delle zone di rete, non solo nel perimetro. La protezione dalle minacce in tempo reale, la crittografia end-to-end del traffico di rete, il monitoraggio continuo e l'analisi devono essere applicate a livello di rete.
Visibilità, automazione e orchestrazione sono il settimo pilastro e il livello di integrazione che collega tutti gli altri insieme. Ognuno dei sei pilastri genera segnali e avvisi specifici. Senza un modo per aggregare, correlare e agire su questi segnali centralmente, i team di sicurezza affrontano un volume eccessivo di avvisi separati, un problema che porta a minacce perse e fatica analista. Questo pilastro offre una funzionalità integrata per gestire l'afflusso di dati, offrendo ai team di sicurezza informazioni migliori per prendere decisioni di fiducia e abilitare risposte automatiche alle minacce rilevate. Le tecnologie SIEM (Security Information and Event Management) e security orchestration, automated response (SOAR) sono fondamentali per questo pilastro: un SIEM inserisce e correla i segnali in tutti i pilastri per rilevare le minacce, mentre un SOAR usa tali rilevamenti per attivare playbook di risposta automatizzati.
Zero Trust in pratica
I sette pilastri non operano in isolamento. Si consideri uno scenario reale: un utente accede da una posizione non familiare in un dispositivo personale non gestito e tenta di accedere a un'applicazione finanziaria sensibile.
In un ambiente Zero Trust, i segnali provenienti da più pilastri vengono valutati simultaneamente. Il pilastro dell'identità controlla le credenziali dell'utente e rileva la posizione di accesso insolita come segnale di rischio. Il pilastro dei dispositivi rileva che il dispositivo non è registrato o conforme. La colonna delle applicazioni applica una politica che richiede l'accesso di dispositivi conformi per le app sensibili. Il pilastro della rete monitora la connessione e registra il tentativo. Il pilastro dei dati garantisce che i dati finanziari siano crittografati e controllati dall'accesso a livello di dati. La componente dell'infrastruttura registra il tentativo di accesso nella telemetria.
Il pilastro visibilità, automazione e orchestrazione integra tutti questi segnali. Invece di ogni pilastro che registra in modo indipendente un evento con gravità bassa, i segnali combinati vengono correlati a un rilevamento dei rischi con attendibilità elevata. I criteri automatizzati, guidati dai principi di "presupporre la violazione" e "verifica esplicitamente", aggiornano i requisiti di autenticazione, bloccano l'accesso all'applicazione sensibile e avvisano il team di sicurezza, tutti senza intervento manuale.
Questo è l'aspetto Zero Trust in pratica: verifica continua in ogni pilastro, risposte automatizzate che limitano i danni e visibilità centralizzata che offre ai team di sicurezza il quadro completo di ciò che è successo e perché.