اعتماد صفر به عنوان دفاعی در برابر حملات زنجیره تامین

حمله زنجیره تامین SolarWinds یک ارزیابی دیوانه وار از تلاش های مدیریت ریسک زنجیره تامین در سطح جهانی را آغاز کرد. در این پاسخ تنظیم مجدد ناگهانی لنز ریسک گنجانده شده بود که از طریق آن همه فروشندگان شخص ثالث در نظر گرفته می شوند. معماری Zero Trust ابزاری برای افزایش انعطاف پذیری ریسک شخص ثالث ارائه می دهد، بدون اینکه مزایای عملیاتی روابط فروشنده را به خطر بیندازد.

معماری اعتماد صفر اکنون یک الزام اجباری تحت فرمان اجرایی امنیت سایبری جو بایدن است.

معماری اعتماد صفر (ZTA) چیست؟

Zero Trust یک معماری امنیت سایبری است که توسط NIST (موسسه ملی استاندارد و فناوری) توسعه یافته است. این چارچوب فرض می کند که تمام فعالیت های شبکه، اعم از داخلی یا خارجی، یک تهدید امنیتی است. همانطور که از نام آن پیداست، Zero Trust فرض می کند که همه کاربران تا زمانی که خلاف آن ثابت نشود، عوامل تهدید هستند.

این عزم سرسختانه برای متهم کردن همه کاربران است که Zero Trust را در جلوگیری و شناسایی حملات زنجیره تامین موثر می کند.

آیا چارچوب امنیتی Zero Trust از حملات زنجیره تامین جلوگیری می کند؟

هیچ دفاع امنیتی برای جلوگیری از حملات زنجیره تامین تضمین نمی شود، با این حال، معماری اعتماد صفر (ZTA) یکی از موثرترین راه حل ها برای محدود کردن تأثیر حملات زنجیره تامین است.

برای اینکه ZTA حداکثر پتانسیل را داشته باشد، این چارچوب باید هم در یک سازمان و هم در سراسر شبکه فروشنده آن پیاده سازی شود.

متأسفانه، همه فروشندگان این چارچوب را پیاده سازی نمی کنند و شناسایی سریع آنهایی که این کار را انجام می دهند دشوار است. سازمان ها به جای اینکه با ایمان کورکورانه عمل کنند، از ZTA خود با راه حلی پشتیبانی می کنند که به طور مداوم آسیب پذیری ها را در سراسر شبکه فروشنده نظارت می کند.

معماری Zero Trust چگونه کار می کند؟

اجزای یک معماری اعتماد صفر (ZTA) می توانند در محل یا از طریق یک سرویس مبتنی بر ابر قرار گیرند.

شکل زیر یک معماری سطح بالا ZTA و رابطه بین هر جزء اساسی را نشان می دهد.

تمام فعالیت های تأیید نشده شبکه بین نقطه تصمیم گیری خط مشی و نقطه اجرای خط مشی تغذیه می شود. فقط درخواست هایی که از الزامات سختگیرانه موتور خط مشی عبور می کنند، مجاز به انتقال به همه منابع سازمانی هستند.

عملکردهای اصلی اجزای ZTA به شرح زیر است.

موتور سیاست (PE)

موتور سیاست مغز ZTA است. این مؤلفه در نهایت تصمیم می گیرد که آیا درخواست های شبکه با فیلتر کردن آنها از طریق الگوریتم اعتماد (TA) مجاز هستند یا خیر. این الگوریتم اعتماد همچنین دسترسی را مطابق با مجوزهای سختگیرانه مبتنی بر نقش اعطا می کند.

مدیر خط مشی (PA)

مدیر خط مشی بر اساس تصمیم موتور خط مشی اقدامات نقطه تأیید خط مشی (PEP) را دستور می دهد. اگر PE درخواستی را تصویب کند، PA به PEP دستور می دهد تا اجازه دسترسی به منابع سازمانی را بدهد. اگر Policy Engine به درخواست شبکه اعتماد نداشته باشد، PEP دسترسی بیشتر را مسدود می کند.

نقطه اجرای خط مشی (PEP)

PEP دروازه بان نهایی است. یا ترافیک شبکه را بر اساس تصمیم موتور خط مشی رد می کند یا اجازه می دهد. PEP را می توان با به روزرسانی های خط مشی تغذیه شده از مدیر خط مشی (PA) پیکربندی کرد.

کاربردهای مختلف معماری Zero Trust

ZTA را می توان متناسب با نیازهای مختلف اکوسیستم تنظیم کرد. همه تغییرات ZTA قادر به محافظت در برابر حملات زنجیره تامین هستند، اما اجرای برخی از آنها آسان تر از سایرین است.

سازمان ها باید ساختار ZTA را انتخاب کنند که به حداقل تلاش پیاده سازی نیاز دارد.

تنوع ZTA - بخش 1 - حاکمیت هویت پیشرفته

این رایج ترین ادغام ZTA است. در این تغییر، فقط کسانی که دسترسی ممتاز دارند مجاز به اتصال به منابع سازمانی هستند. برای تسهیل این پروتکل، سیاست های دسترسی به منابع سازمانی باید شامل اجزای زیر باشد:

• هویت هر کاربر مجاز
• ویژگی های اختصاص داده شده برای هر کاربر مجاز
• لیست دستگاه های مجاز
• وضعیت دارایی ها

سیاست های دسترسی به منابع سازمانی همچنین می توانند برای اعطای دسترسی جزئی به منابع سازمانی در صورت رعایت شرایط خاص (به عنوان مثال، اگر دسترسی از مکان های خاص درخواست شده باشد) پیکربندی شوند.

شرکت هایی که مدل حاکمیت شناسایی پیشرفته را اتخاذ می کنند معمولا شامل یک شبکه دسترسی بازدیدکننده جداگانه هستند. این امر دسترسی منابع سازمانی را به کاربران ممتاز محدود می کند و در عین حال امکان دسترسی به سایر دارایی های کمتر آسیب پذیر را فراهم می کند.

مدل Enhanced Identity ZTA برای شناسایی آسیب پذیری های امنیتی در سطح کاربر ابتدا بهینه شده است.

تنوع ZTA - بخش بندی میکرو

اکوسیستم های بزرگی که می خواهند به سرعت یک راه حل دفاعی حمله زنجیره تامین دیجیتال را پیاده سازی کنند، مقیاس بندی تنوع حاکمیت هویت پیشرفته را دشوار می دانند. مدل تقسیم بندی خرد بسیار ایده آل تر است زیرا بر ایمن سازی مناطق شبکه آسیب پذیر به جای کل اکوسیستم تمرکز دارد.

این "مناطق" یا "بخش ها" توسط فایروال های نسل بعدی (NGFWs) یا دستگاه های دروازه با هدف خاص محافظت می شوند. نتیجه مجموعه ای از بخش های محافظت شده است که دسترسی به دارایی را از طریق چندین دروازه PEP اعطا یا رد می کند.

تنوع ZTA - بخش 3 - زیرساخت شبکه و نرم افزار محیطهای رد شده

در این تغییر، ساختار شبکه برای پیاده سازی ZTA، معمولا در لایه 7 اصلاح می شود. پس از یکپارچه، PA شبکه را بر اساس تصمیمات گرفته شده توسط PE کنترل می کند.

در این تنظیمات، همه درخواست های شبکه قبل از اینکه به منابع سازمانی اجازه دسترسی داشته باشند یا از دسترسی محروم شوند، از یک PEP واحد که توسط یک PA اداره می شود، عبور می کنند.

تغییر ZTA 4 - استقرار مبتنی بر عامل دستگاه یا gateway

در این تغییر، PEP به دو بخش تقسیم می شود - یکی روی یک دارایی و دیگری در مقابل یک منبع. این راه اندازی معمولا در راه اندازی کار از راه دور پیاده سازی می شود.

به عنوان مثال، یک کارمند درخواستی را برای اتصال به یک منبع از طریق یک لپ تاپ صادر شده توسط شرکت صادر می کند. این درخواست از طریق یک عامل (معمولا یک جزء نرم افزاری) تسهیل می شود. سپس لپ تاپ به مدیر خط مشی متصل می شود که سپس دسترسی را از طریق موتور خط مشی تأیید می کند.

مدیریت خط مشی و موتور خط مشی می تواند یک سرویس ابری (اجرای مشتری-سرور اتحاد امنیت ابری) یا یک دارایی محلی باشد. اگر موتور خط مشی اجازه درخواست را بدهد، مدیر خط مشی دروازه منبع مربوطه را فعال می کند و یک اتصال تکمیل شده برقرار می شود.

چگونه معماری اعتماد صفر (ZTA) را پیاده سازی کنیم؟

اجرای چارچوب ZTA را می توان در سه مرحله خلاصه کرد:

• مرحله 1 - تأیید همه کاربران
• مرحله 2 - تأیید همه دستگاه های کاربر
• مرحله 3 - تأیید کلیه امتیازات دسترسی.

کاربران باید هر سه لایه احراز هویت را پشت سر بگذارند تا به عنوان قابل اعتماد برچسب گذاری شوند. علاوه بر اینکه دسترسی عوامل تهدید به داده های حساس را بسیار دشوار می کند، ZTA همچنین ردیابی مجرمان سایبری را که اقدام به حمله می کنند با مجبور کردن آنها به رعایت استانداردهای انطباق در هنگام ورود، امکان پذیر می کند.

سازمان های بدون چارچوب امنیتی می توانند یک راه حل خالص ZTA را پیاده سازی کنند. چارچوب های موجود می توانند یک محیط ترکیبی ZTA را برای ادغام راه حل های ZTA اتخاذ کنند و از تعمیرات اساسی رقابتی (و پرهزینه) جلوگیری کنند.

معماری Zero Trust را می توان در 7 مرحله پیاده سازی کرد

مرحله 1 - شناسایی همه کاربران

یک سازمان باید همیشه از همه کاربران شبکه آگاه باشد. هر رویداد باید ثبت شود و با جزئیات کاربران تایید شده مقایسه شود.

ثبت شده و با جزئیات کاربران تایید شده مقایسه شده است.

اطلاعات کاربر تایید شده باید شامل موارد زیر باشد:

• نام کاربران تایید شده و عملکردهای مجاز آنها
• هویت همه نهادهای غیرشخصی و عملکردهای مجاز آنها

درک این نکته مهم است که این مرحله یک تلاش مداوم است. در چارچوب ZTA، هویت کاربران به طور مداوم در کل چرخه عمر دسترسی تأیید می شود.

مرحله 2 - شناسایی دارایی های سازمانی

نظارت بر دسترسی به دارایی با شناسایی تمام منابع سازمانی در شبکه شما شروع می شود. یک رکورد به روز از همه دارایی ها و پروتکل های دسترسی آنها باید نگهداری شود.

دارایی های شبکه می تواند شامل موارد زیر باشد:

تمام نقاط پایانی داخلی و خارجی

• لپ تاپ های کارمندان (به ویژه کارمندان از راه دور)
• دستگاه های تلفن همراه
• دستگاه های اینترنت اشیا (IoT)
• دستگاه های شخص ثالث

همه راه حل های نرم افزاری

• نرم افزار داخلی
• نرم افزار همکاری از راه دور
• نرم افزار فروشنده شخص ثالث
• حساب های کاربری داخلی و خارجی

با شناسایی تمام دارایی ها، دسترسی آنها قابل نظارت و کنترل است. احراز هویت چند عاملی (MFA) باید در حالت ایده آل بر روی همه دارایی ها اجرا شود، در جایی که این امکان وجود ندارد، باید از اشکال دیگر احراز هویت دارایی استفاده شود.

یک گزارش دارایی دقیق باید به طور منظم به روز شود تا تمام اتصالات دارایی احراز هویت شده، لیستی از به روزرسانی های دارایی و سایر تغییرات دارایی را مستند کند.

مرحله 3 - شناسایی تمام فرآیندهای شبکه

هیچ ارتباط برقرار شده در اکوسیستم FTA نباید تعجب آور باشد، همه آنها باید مجاز باشند و بنابراین انتظار می رود.

همه اتصالات باید ثبت و بر اساس سطوح دسترسی ممتاز مربوطه طبقه بندی شوند. خطرات بالقوه مرتبط با هر فرآیند باید شناخته شود. این امر از تخصیص نظارت بر منابع کارآمد پشتیبانی می کند - فرآیندهای پرخطر به عمق نظارت بیشتری نسبت به فرآیندهای کم خطر نیاز دارند.

فرآیندهای ثبت شده می تواند شامل موارد زیر باشد:

• گردش
• جریان داده
• پروتکل
• رویدادهای ساختاریافته

مرحله 4 - پیش نویس سیاست های ZTA

اکنون که تمام فعالیت های بالقوه شبکه شناسایی شده است، باید قوانین حاکم بر این فعالیت ها ایجاد شود که به عنوان سیاست های Zero Trust نیز شناخته می شود.

سیاست های ZT مجموعه ای از قوانین لیست سفید هستند. آنها معیارهای کاربران مجاز و منابع خاصی را که می توانند به آنها دسترسی داشته باشند مشخص می کنند. تمام ترافیک شبکه ای که با سیاست های Zero Trust مطابقت ندارد توسط فایروال مسدود می شود.

لیست زیر تمام سوالاتی را که یک سیاست Zero Trust باید به وضوح پاسخ دهد و چند نمونه از نهادهایی که می توانند برای پاسخ به آنها استفاده شوند، تشریح می کند.

چه کسی می تواند به یک منبع معین دسترسی داشته باشد؟

• شناسه های کاربری.
• فرآیند احراز هویت کاربر، مانند احراز هویت چند عاملی (MFA).
• پروفایل های اطلاعات میزبان (HIPs) برای جلوگیری از دسترسی کاربران غیرمجاز به منابع خاص.

برای دسترسی به منابع از چه برنامه هایی استفاده می شود؟

• تمام برنامه های مجاز را با ایجاد یک خط مشی لایه 7 مبتنی بر برنامه فهرست کنید.

چه زمانی کاربران به منابع دسترسی دارند؟

• برنامه های دسترسی باید برای منابع در ساعات خاصی ایجاد شود. اجرای این سیاست مهم است زیرا حملات سایبری معمولا در خارج از ساعات کاری رخ می دهد تا از شناسایی فرار کند.

هر منبع در کجا قرار دارد؟

• مکان هر منبع را مشخص کنید. این به شما امکان می دهد دسترسی را بر اساس موقعیت جغرافیایی محدود کنید.

چرا به داده ها دسترسی پیدا می شود؟

• هر کاربر باید دلیل قانع کننده ای برای دسترسی به هر منبع داشته باشد. دانستن "چرا" به شما کمک می کند تا درجه حفاظتی را که هر منبع به آن نیاز دارد برنامه ریزی کنید.

چگونه به هر منبع دسترسی پیدا می شود؟

• رمزگذاری نقطه پایانی را اعمال کنید
• اصل حداقل امتیاز را پیاده سازی کنید

مرحله 5 - راه حل های Zero Trust را تولید کنید

در این مرحله، تمام اسناد سیاستی به طرح های ملموس تبدیل می شوند. در حالت ایده آل، راه حل های متعدد باید ایجاد شوند و سپس به کارآمدترین گزینه ها فیلتر شوند.

معیارهای انتخاب می تواند شامل موارد زیر باشد:

• زمان اجرا
• تعداد قطعاتی که نیاز به نصب دارند
• اثرات موقعیت جغرافیایی بر کارایی

مرحله 6 - استقرار راه حل های Zero Trust

اکنون بالاخره راه حل های ZTA قابل اجرا هستند. راه حل ها باید در ابتدا به یک زیرمجموعه معماری کوچک معرفی شوند و تنها پس از دستیابی به نتایج مطلوب مقیاس بندی شوند.

همه راه حل های Zero Trust مستقر شده باید برای شناسایی مشکلات و بهینه سازی مداوم ادغام ها نظارت شوند. از آنجایی که این اولین پیاده سازی معماری Zero Trust است، باید اجرای سختگیرانه تری از شرایط خط مشی نسبت به پس از عرضه کامل وجود داشته باشد.

این به سازمان ها کمک می کند تا بدترین سناریوها را در خود جای دهند و به آنها بیشترین شانس را برای اجرای روان معماری Zero Trust در صورت پیاده سازی کامل آن می دهد.

مرحله 7 - مقیاس بندی فریمورک اعتماد صفر

با راه حل های ZT که ثابت شده است روی یک زیر مجموعه آزمایشی کار می کند، اکنون می توان این چارچوب را برای کل سازمان گسترش داد.

سیاست ها برای هر بخش اکوسیستم جدید طراحی و سپس ایجاد می شوند. یک راه حل ZT بر روی زیرمجموعه کوچکی از آن بخش ایجاد و آزمایش می شود و سپس در کل بخش عرضه می شود.

پس از هر چرخه، مسائل جدید باید مستند شود و بلافاصله برای بهینه سازی کارایی حل شود.