«Zero Trust» — одна з концепцій, про яку найчастіше згадують у сфері корпоративної безпеки, і водночас одна з тих, які найчастіше неправильно розуміють на рівні робочих груп.
Стратегічна доцільність цієї концепції очевидна. Однак операційна реальність для інженерів, які безпосередньо займаються налаштуванням політик брандмауера, набагато складніша.
Принцип простий: ніколи не довіряй, завжди перевіряй. Кожен запит на доступ розглядається як потенційна загроза і повинен пройти ретельну перевірку, перш ніж буде дозволено підключення. Згідно з дослідженням Gartner, на яке посилається AlgoSec, 63 % компаній у всьому світі вже завершили впровадження моделі Zero Trust. Команди, які й досі працюють над цим, рідко стикаються з труднощами у розумінні самої концепції. Складність полягає в реалізації: як привести існуючий набір політик брандмауера у відповідність до принципів Zero Trust, не порушивши при цьому робочий трафік і не викликавши необхідності в багатомісячному ручному доопрацюванні.
У цій статті розповідається, як це виглядає на практиці.
Більшість організацій знають, що таке підхід Zero Trust. Але лише деякі розуміють, чого він вимагає.
Що підхід Zero Trust вимагає від політики брандмауера
Zero Trust — це архітектура безпеки, побудована на п’яти основних компонентах: ідентичності, пристроях, мережі, додатках і робочих навантаженнях, а також даних. Для фахівців, які займаються розробкою політик брандмауера, три компоненти, що створюють найбільше операційне навантаження, — це мережі, додатки, робочі навантаження та дані.
Кожен із них вимагає точних, орієнтованих на додатки політик, що забезпечують дотримання принципу мінімальних привілеїв у масштабі всіх середовищ. Принцип мінімальних привілеїв передбачає надання доступу лише до ресурсів, необхідних для виконання завдання. Більшість наборів політик брандмауерів, сформованих у результаті багаторічних поступових змін, містять якраз протилежне: надмірно дозвільні правила, невикористовувані правила та правила, власника додатка для яких неможливо ідентифікувати.
Саме під час усунення цих проблем впровадження моделі Zero Trust стикається з реаліями політики брандмауера.
Де традиційне управління політиками призводить до конфліктів
Система управління політиками брандмауера була розроблена для середовища, орієнтованого на периметр. Правила створювалися для дозволу або блокування трафіку на основі IP-адреси джерела, IP-адреси призначення, порту та протоколу. Усередині периметра трафік за замовчуванням вважався надійним.
Підхід «Zero Trust» починається з розуміння додатка, а не правила.
Відмова від цієї неявної довіри призводить до виникнення перешкод у трьох конкретних сферах:
- Специфічність правил. Підхід Zero Trust вимагає, щоб кожен потік трафіку був явно авторизований і прив’язаний до конкретного додатка або бізнес-функції. Більшість традиційних наборів правил містять загальні, універсальні правила, які були створені для зручності і ніколи не переглядалися. Ці правила необхідно виявити, оцінити та посилити.
- Контекст додатка. Традиційні запити на зміну налаштувань брандмауера надходять у форматі «Від джерела A до пункту призначення B з використанням протоколу C». При цьому відсутній контекст додатка, немає уявлення про те, якій бізнес-функції служить це правило і які ризики, пов’язані з цим з’єднанням, можуть виникнути в майбутньому. Для забезпечення принципу мінімальних привілеїв у масштабі необхідно розуміти не тільки самі потоки даних, а й додатки, які їх генерують.
- Безперервна перевірка. Підхід Zero Trust вимагає постійного моніторингу та безперервної перевірки кожної політики та кожного потоку з’єднань. Ручні періодичні аудити брандмауерів не здатні йти в ногу з темпами змін у сучасних середовищах. Перевірки, що проводяться в певний момент часу, залишають прогалини, які усуває моніторинг у режимі реального часу.
Практична концепція управління політиками брандмауера в рамках моделі Zero Trust
Для приведення політик брандмауера у відповідність до принципів Zero Trust необхідні чотири ключові можливості. Вони ґрунтуються на концепції, розробленій компанією AlgoSec у рамках співпраці з організаціями з різних галузей, які займалися вирішенням саме цього завдання:
Чотири ключові можливості. Один підхід. Нульова довіра за замовчуванням.
- Забезпечення повної прозорості всього набору політик. Повна прозорість — це відправна точка: усі брандмауери та засоби захисту в мережі, правила та політики, що регулюють їхню роботу, а також схеми підключень для кожного бізнес-додатка. Без цієї основи рішення щодо застосування заходів безпеки ухвалюються на основі неповної інформації.
- Зв’язок кожного правила з додатком. Кожне правило брандмауера має бути прив’язане до бізнес-додатка, який воно підтримує. Коли правила зіставляються з додатками, фахівці з безпеки можуть визначати, які потоки зв’язку є виправданими з точки зору бізнесу, виявляти правила, для яких відсутня відповідальна особа, та впевнено забезпечувати дотримання принципу «мінімальних привілеїв». Такі платформи, як Horizon AppViz (раніше AppViz), автоматично виявляють вимоги додатків до підключення та перетворюють технічні мережеві дані на бізнес-контекст, що робить таке зіставлення практичним у масштабах усієї організації.
- Автоматизація аналізу ризиків під час кожної зміни політики. Перед впровадженням кожна зміна політики має пройти аналіз з точки зору ризиків, впливу на відповідність нормативним вимогам та подальших наслідків. Це передбачає прийом запитів на зміну трафіку, проведення автоматизованого аналізу ризиків, перевірку змін на всіх брандмауерах та в хмарних середовищах перед їх введенням в експлуатацію, а також реєстрацію кожного рішення для цілей аудиту. Horizon FireFlow (раніше FireFlow) забезпечує повний цикл цих операцій з автоматичним впровадженням після затвердження зміни.
- Постійний моніторинг. Політики брандмауера, журнали трафіку та зміни конфігурацій потребують постійного аналізу. Моніторинг у режимі реального часу дозволяє виявляти аномальну поведінку. Безперервне ведення журналів та аналітика прискорюють як виявлення загроз, так і забезпечення готовності до аудиту. Horizon Security Analyzer (раніше Firewall Analyzer) забезпечує таку основу для безперервного управління ризиками та дотриманням нормативних вимог у рамках усього комплексу політик.
Висновок
Управління політиками брандмауера за моделлю «Zero Trust» — це перехід від періодичного управління на основі правил до безперервного управління політиками з урахуванням особливостей додатків. Організації, які правильно реалізують цей підхід, починають із забезпечення прозорості додатків, співвідносять кожне правило з бізнес-функцією, автоматизують аналіз ризиків при кожній зміні та здійснюють безперервний моніторинг.
Інструментарій має значення, але на першому місці — дисципліна. Підхід «Zero Trust» працює тоді, коли кожне рішення щодо політики чітко сформульоване, обґрунтоване та постійно перевіряється.
AlgoSec Horizon забезпечує орієнтовану на додатки видимість, автоматизоване управління змінами політик та безперервний моніторинг відповідності вимогам у гібридних мережевих середовищах.
Источник: What Zero Trust Actually Means for Firewall Policy Management: A Practical Guide
