De trend naar een "zero trust"-model voor beveiliging

Een "zero trust"-architectuur is een model voor netwerkbeveiliging waarbij elke gebruiker wordt gecontroleerd en gevalideerd aan de hand van de toegang die hij in het systeem krijgt en het risico dat verbonden is aan de functies en gegevens waartoe hij toegang probeert te krijgen. In plaats van een perimeter rond het netwerk aan te leggen en het te beschermen met firewalls en wachtwoorden, wordt met een "zero trust"-architectuur een continu proces van herbevestiging van het vertrouwen in de identiteit van de gebruiker tot stand gebracht terwijl die gebruiker zich door het systeem beweegt - op elk toegangspunt.

Zero trust wordt nu beschouwd als het ideaal voor elke beveiligingsprofessional die 's nachts goed wil slapen. Maar de term dreigt een leeg modewoord te worden als het wordt beschouwd als een eenmalige oefening in het opbouwen van verdediging, waarschuwt Thom Bailey, Senior Director, Strategy & Evangelism bij Mimecast.

"Het moet benaderd worden als een filosofie," zegt Bailey. "Het is minder een ding dan een manier van zijn."

Geschiedenis van Zero Trust Security

De filosofie van de "zero trust security" komt voort uit het werk van het Jericho Forum, een onderdeel van een wereldwijde normalisatie-organisatie die bekend staat als de Open Group. In 2003 werd het Jericho Forum opgericht om de veiligheid te "ont-perimeteriseren". Zij heeft de oorspronkelijke "zero trust principles" in 2007 uitgebracht als een reeks "geboden", gebaseerd op de aanname dat beveiliging specifiek moet zijn voor elk onderdeel in een netwerk.[1] De naam "zero trust" werd in 2010 bedacht door analist John Kindervag van het toenmalige Forrester Research om het model te definiëren.[2]

Hoe werkt een Zero Trust Model?

In plaats van een veiligheidsperimeter rond een netwerk op te zetten en elke gebruiker te vertrouwen die erop kan inloggen, gaat een "zero trust"-model ervan uit dat elke gebruikersidentiteit kan worden gecompromitteerd. Het maakt gebruik van multifactorauthenticatie (MFA) om de beveiliging verder te verbeteren dan de combinatie van gebruikersnaam en wachtwoord, en past een "least privilege"-principe toe, waarbij de gebruiker telkens de minst mogelijke toegang krijgt en extra validatie vereist is voordat de toegangsprivileges worden opgevoerd.

Bij beveiliging op basis van "zero trust" wordt telkens wanneer een gebruiker toegang probeert te krijgen tot een goed in het systeem, vertrouwen opgebouwd door het goed te vergelijken met het profiel van de gebruiker, de gevoeligheid van het goed waartoe toegang wordt verkregen en de context van de activiteit, zoals de locatie of het elektronische apparaat van de gebruiker, of zelfs de vraag of het werk van die gebruiker wel dat toegangsniveau vereist. Indien de contextuele aanwijzingen niet overeenstemmen, kan de gebruiker worden gevraagd zijn identiteit opnieuw te valideren alvorens verder te gaan.

Voordelen van een Zero Trust-raamwerk

Hoewel er geen 100% effectieve bescherming bestaat, is "zero trust security" populair geworden omdat het een antwoord biedt op veel van de uitdagingen en eisen die vandaag de dag de beveiliging van de meeste organisaties beïnvloeden:

• Het kan omgaan met complexiteit: De hybride en multicloud-operaties van vandaag worden steeds complexer; bijna de helft van de Amerikaanse organisaties gebruikt twee of drie infrastructure-as-a-service (IaaS)-clouds om wendbaar en concurrerend te blijven.[3] De eisen van agile operaties vereisen de mogelijkheid om snel en veilig te kunnen schakelen en gegevens tussen omgevingen te migreren, en door een zero trust-raamwerk op te zetten kan een organisatie haar bedrijfsmiddelen beschermen, of deze nu op locatie, in de cloud of in hybride omgevingen worden bewaard.
• Het kan omgaan met regelgeving: Met de toename van wet- en regelgeving op het gebied van cyberbeveiliging, zoals de California Consumer Privacy Act (CCPA) in de VS en de General Data Protection Regulation (GDPR) in Europa, komen organisaties steeds meer onder druk te staan om aan te tonen dat ze persoonlijke informatie in hun netwerken goed beveiligen. Zero trust, zoals de naam al aangeeft, voldoet aan de eisen, zelfs nu de regelgevers meer veiligheidseisen stellen. Bovendien neemt in zwaar gereguleerde sectoren zoals de financiële dienstverlening, defensie en de gezondheidszorg, de bezorgdheid over de beveiliging van gegevens explosief toe, net als de omvang van de datastores die de meeste organisaties nu aanhouden. Nogmaals, zero trust kan regelgevingsproblemen voor zijn door meteen naar de strengste norm te gaan.
• Het kan partnerschappen aan: Supply chain-aanvallen zijn niet voor niets een punt van zorg geworden: Steeds meer bedrijven geven verkopers en partners toegang tot hun netwerken, waardoor ze kwetsbaarder worden voor aanvallen zoals ransomware of denial of service (DoS) die via deze bedrijven lopen. Kleine ondernemingen, die wellicht niet over de middelen beschikken om een sterke beveiliging te handhaven, zijn bijzonder kwetsbaar om ongewilde partners van cybercriminelen te worden en aanvallen op grotere, winstgevendere doelwitten te vergemakkelijken. De totstandbrenging van een "zero trust"-kader plaatst die kwetsbare partners in een sterkere defensieve positie.

Kernbeginselen van Zero Trust

Zero trust principes erkennen dat silo's in organisaties poreus zijn geworden en dat werk van de ene silo naar de andere reist, dus beveiliging moet die workflows volgen om alle gebruikers veilig te houden, aldus Bailey.

Een "zero trust"-benadering is gebaseerd op enkele kernvereisten:

• Voortdurende validatie: Zoals de naam al zegt, een zero trust model vertrouwt niemand. Elke gebruiker moet voortdurend worden uitgedaagd door een controle op de achtergrond die de gebruiker koppelt aan de activiteit, de toegang van die gebruiker en het risiconiveau voordat hij toestemming krijgt om verder te gaan op het netwerk. Elke verbinding is een gesloten lus die opnieuw moet worden geopend wanneer de gebruiker naar een ander onderdeel van het systeem gaat, of het nu gaat om gegevens, apps of andere digitale bronnen.
• Beperkt aanvalsoppervlak: Aangezien geen enkele beveiliging ooit 100% is, moet een "zero trust"-architectuur er eerst van uitgaan dat kwaadwillige toegang zal gebeuren en dan een manier vinden om de "straal van ontploffing" te beperken mocht een aanvaller het systeem binnendringen. Een verbintenis tot toegang met de minste privileges is een manier om dat te bereiken; het beperkt hoe ver een slechte actor kan komen eens hij in het netwerk is. E-mailfilters die e-mailadressen blokkeren of op een witte lijst plaatsen, kunnen ook helpen door te voorkomen dat verdachte e-mails bij de beoogde ontvangers terechtkomen en door risicovolle bestanden in quarantaine te plaatsen totdat ze zijn gescand en gevalideerd.
• Individuele contextgebaseerde toegang: Het toegangsbeleid moet rekening houden met de context van de gebruikersactiviteit - de geolocatie, het gebruikte apparaat, de bron waartoe toegang wordt verkregen en andere factoren - in real time en zich aanpassen naarmate de behoeften en functies veranderen. "Stel, iemand logt in vanuit Boston, waar hij woont, en 20 minuten later logt hij in vanuit Singapore," stelt Bailey. Zulk "onmogelijk reizen" is een tip voor kwaadaardige activiteiten. Zero trust security is bedoeld om de vele manieren en plaatsen aan te pakken waarop mensen vandaag de dag werken en "hoe we met hen omgaan als ze komen en gaan," zegt hij.

Hoe een Zero Trust beveiligingsmodel te implementeren

Zero trust architectuur moet worden benaderd als een filosofie - als een volwassen en verfijnde manier voor organisaties om naar hun omgeving te kijken, zegt Bailey. Elke afzonderlijke beveiligingstechnologie kan slechts een deel van het geheel zijn. Organisaties moeten een "zero trust"-model samenstellen door tools van meerdere verkopers te integreren.

"Zie het als defensief rijden. Je moet weten waar je spiegels zijn, je moet weten of er snelheidscontroles of roodlichtcamera's zijn of dat er kinderen van school naar huis lopen," zegt hij. "Het is heel moeilijk voor een verkoper om zeer normatief te zijn rond zero trust, omdat we maar één onderdeel zijn - misschien zijn we de remmen, of de rechterspiegel of het achterlicht."

Een paar "zero trust" beste praktijken kunnen helpen:

• Ken uw bezittingen: Het is moeilijk te beschermen waarvan niemand weet dat het bestaat. Een audit van de bestaande middelen is altijd een goede eerste stap voordat het individuele toegangsbeleid wordt opgesteld dat de basis vormt van een "zero trust"-architectuur. Kennis van de bronnen in het netwerk en hun risiconiveaus maakt een toegangsbeleid mogelijk dat de beveiligingsmaatregel afstemt op het risico en voorkomt dat belangrijke bedrijfsmiddelen onbeschermd blijven - of omgekeerd, zoveel frictie bij gebruikers veroorzaken dat ze het dagelijkse werk belemmeren.
• Beperken en optimaliseren: Hoop op het beste, maar bereid u voor op het ergste en stel een toegangsbeleid en noodplannen op die passen bij uw risiconiveaus en operationele behoeften. Volgens het principe van de verkleining van de aanvalsoppervlakken moeten organisaties een toegangsbeleid met zo weinig mogelijk privileges hanteren en hun middelen compartimenteren om te voorkomen dat een aanvaller zich vrijelijk door het systeem kan bewegen. Maak plannen met cloudleveranciers om deze beveiligingen uit te breiden tot buiten het on-premises netwerk.
• Automatiseer zoveel als u kunt: De constante validatie en gebruikersauthenticatie die nodig is voor echte zero trust beveiliging is te zwaar voor handmatige verwerking. Het valideren van apparaten, het afstemmen van gebruikers op hun gedrag en het afstemmen van de context op de gebruiker vereist een doeltreffende technologie. Kunstmatige intelligentie en machinaal leren blijken nuttige instrumenten te zijn om gedragsanalyses uit te voeren en gebruikspatronen en apparaatidentiteiten te matchen om gebruikers te authenticeren zonder wrijving te veroorzaken die de bedrijfsactiviteiten verstoort.

De kern van de zaak

Voor de organisaties van vandaag, die geconfronteerd worden met toenemende cyberdreigingen en eisen voor flexibiliteit en snelheid, biedt zero trust security een manier om cyberrisico's te beheren. Maar een echt "zero trust"-model vereist een voortdurende inzet van de organisatie en steun van een aantal opkomende technologieën om het te realiseren. Lees hoe Mimecast gebruik maakt van AI, een belangrijke voorwaarde voor een zero trust-benadering.

[1] "Geboden," Jericho Forum

[2] "Een terugblik op Zero Trust: Never Trust, Always Verify," Forrester

[3] "Cisco Describes Hybrid Clud 'New Normal',' Touts Cloud Operating Model for Success," Virtualization and Cloud Review