فراتر از اصطلاح بازاریابی
«Zero Trust» اکنون تقریباً در صفحهٔ اصلی هر تأمینکنندهٔ امنیتی ظاهر میشود، که ردکردن آن بهعنوان نویز بازاریابی را آسان کرده. اما زیر برندسازی، یک تغییر واقعی و مفید در نحوهٔ طراحی دسترسی را توصیف میکند.
ایدهٔ اصلی، بدون اصطلاحات فنی: فرضکردن اینکه هر چیزی درون شبکهٔ شما بهطور خودکار قابلاعتماد است فقط به این دلیل که درون شبکه است را متوقف کنید.
مدل قدیمی که جایگزین میکند
امنیت شبکهٔ سنتی مانند یک قلعه کار میکرد: یک محیط قوی (فایروال، VPN) مهاجمان را بیرون نگه میداشت، و بهمحض اینکه درون آن محیط بودید، عموماً قابلاعتماد بودید. مشکل با نگاه به گذشته واضح است — بهمحض اینکه یک مهاجم یکبار از محیط عبور کند (یک کارمند فیشینگشده، یک لپتاپ بهخطرافتاده، یک VPN پیکربندینادرست)، دسترسی گسترده به همهچیز درون آن دارد.
Zero Trust فرض «درون شبکه» به معنای «امن» را حذف میکند.
Zero Trust واقعاً در عمل چگونه به نظر میرسد
هر درخواست را، نه فقط محیط را، تأیید کنید
هر درخواست دسترسی — به یک فایل، یک پایگاه داده، یک ابزار داخلی — بر اساس شرایط خودش احراز هویت و مجوز میشود، صرفنظر از اینکه از درون یا بیرون مرز شبکهٔ سنتی شروع شده.
دسترسی حداقلامتیاز بهعنوان پیشفرض، نه استثنا
کاربران و سیستمها دقیقاً به آنچه برای نقش خود نیاز دارند دسترسی میگیرند، نه بیشتر. حساب یک کارمند بازاریابی نباید بتواند به سیستمهای مالی برسد فقط چون از نظر فنی در همان شبکه است.
میکرو-سگمنتیشن
بهجای یک شبکهٔ داخلی مسطح واحد، سیستمها بهگونهای بخشبندی میشوند که بهخطرافتادن یک بخش بهطور خودکار به همهچیز دیگر دسترسی ندهد. اگر یک سرور نقض شود، شعاع انفجار محدود است.
نظارت مداوم، نه احراز هویت یکباره
یک ورود ساعت ۹ صبح تضمین نمیکند که همان جلسه ساعت ۹ شب هم مشروع است. سیستمهای Zero Trust بهطور مداوم سیگنالها — سلامت دستگاه، مکان، الگوهای رفتاری — را ارزیابی میکنند بهجای اعتماد نامحدود به یک رویداد ورود واحد.
واقعاً از کجا شروع کنیم
برای شروع به بودجهٔ امنیتی سازمانی نیاز ندارید. یک توالی واقعبینانه برای یک شرکت در حال رشد:
۱. احراز هویت چندعاملی روی همهچیز، بهخصوص دسترسی مدیریتی و از راه دور. ۲. موجودی کنید که چه کسی به چه چیزی دسترسی دارد، و هر چیزی که گستردهتر از لازم است را حذف کنید. این بهتنهایی معمولاً شگفتیهای ناراحتکنندهای را آشکار میکند. ۳. حساسترین سیستمهای خود (دادهٔ مالی، سوابق مشتری) را از ترافیک عمومی داخلی جدا کنید، حتی اگر بقیهٔ شبکه فعلاً مسطحتر بماند. ۴. دسترسی به سیستمهای حساس را ثبت و نظارت کنید، تا الگوهای غیرعادی بهجای نامرئیبودن تا یک حادثه، قابلمشاهده باشند. ۵. هر درخواست دسترسی را بهعنوان چیزی که به توجیه نیاز دارد در نظر بگیرید — تغییر ذهنی بهاندازهٔ ابزار اهمیت دارد.
محدودیت صادقانه
Zero Trust یک اصل معماری است، نه محصولی که میخرید و روشن میکنید. تأمینکنندگانی که یک «راهحل Zero Trust» واحد میفروشند معمولاً یک قطعه از یک تمرین بسیار بزرگتر و مداوم را میفروشند. پیشرفت در اینجا تدریجی است، نه یک پروژهٔ واحد با خط پایان.
اکثر شرکتهای در حال رشد Zero Trust را از صفر شروع نمیکنند — آن را به سیستمهایی که بهطور ارگانیک رشد کردهاند اضافه میکنند. میتوانیم به نقشهبرداری اینکه از کجا شروع کنید کمک کنیم.