{"id":58926,"date":"2022-09-30T14:04:19","date_gmt":"2022-09-30T12:04:19","guid":{"rendered":"https:\/\/biznes.t-mobile.pl\/?p=58926"},"modified":"2022-09-30T14:04:20","modified_gmt":"2022-09-30T12:04:20","slug":"polityka-zerowego-zaufania-czyli-bezpieczenstwo-wedlug-sase","status":"publish","type":"post","link":"https:\/\/biznes.t-mobile.pl\/pl\/polityka-zerowego-zaufania-czyli-bezpieczenstwo-wedlug-sase","title":{"rendered":"Polityka zerowego zaufania, czyli bezpiecze\u0144stwo wed\u0142ug SASE"},"content":{"rendered":"\n\n\n
Z TEGO ARTYKU\u0141U DOWIESZ SI\u0118:<\/span><\/strong>\n
    \n
  1. NA CZYM POLEGA ZERO TRUST NETWORK ACCESS (ZTNA)?<\/strong><\/li>\n
  2. DLACZEGO WDRO\u017bENIE ZTNA JEST NIEZB\u0118DNE W ROZWI\u0104ZANIACH BAZUJ\u0104CYCH NA SD-WAN?<\/strong><\/li>\n
  3. JAKIE S\u0104 KLUCZOWE ELEMENTY ARCHITEKTURY ZTNA?<\/strong><\/li>\n
  4. JAKIE KORZY\u015aCI NIESIE KONCEPCJA ZEROWEGO ZAUFANIA W ROZWI\u0104ZANIACH SASE (SECURE ACCESS SERVICE EDGE)?<\/strong><\/li>\n<\/ol>\n<\/td>\n<\/tr>\n<\/thead>\n<\/table>\n

    Tradycyjne systemy bezpiecze\u0144stwa stosowane do ochrony cyfrowych zasob\u00f3w przedsi\u0119biorstwa traktowa\u0142y dowolny ruch wewn\u0105trz sieci (lokalny), jako zaufany. Wymaga\u0142y jednorazowej, zwykle jednostopniowej, weryfikacji to\u017csamo\u015bci u\u017cytkownika, a nawet mog\u0142y bazowa\u0107 wy\u0142\u0105cznie na adresie IP lub lokalizacji urz\u0105dzenia, z kt\u00f3rego u\u017cytkownik korzysta\u0142. Inaczej m\u00f3wi\u0105c: ka\u017cdy, kto znalaz\u0142 si\u0119 \u201ew perymetrze\u201d korporacyjnej sieci lokalnej zyskiwa\u0142 dost\u0119p do wszystkich jej zasob\u00f3w. Jednocze\u015bnie konieczne by\u0142o wprowadzenie kontroli dost\u0119pu do wewn\u0119trznych danych firmy, co wymaga\u0142o od administrator\u00f3w ustalenia hierarchii u\u017cytkownik\u00f3w, dodatkowych regu\u0142 i etap\u00f3w weryfikacji1<\/sup>.<\/p>\n

    Nikomu nie ufaj, zawsze sprawdzaj<\/h2>\n

    S\u0142abo\u015bci tego modelu dostrze\u017cono ju\u017c na pocz\u0105tku XXI wieku, a termin \u201ezero trust\u201d oznaczaj\u0105cy \u015bci\u015blejsze regu\u0142y dotycz\u0105ce cyberbezpiecze\u0144stwa i kontroli dost\u0119pu pojawi\u0142 si\u0119 w 2010 roku za spraw\u0105 analityk\u00f3w firmy Forrester Research. Jednak dopiero cyfryzacja niemal wszystkich aspekt\u00f3w funkcjonowania biznesu \u2013 w tym korzystanie z chmury, popularno\u015b\u0107 pracy zdalnej i hybrydowej, czy mo\u017cliwo\u015b\u0107 wykorzystywania prywatnych urz\u0105dze\u0144 do zada\u0144 s\u0142u\u017cbowych (BYOD) spowodowa\u0142a konieczno\u015b\u0107 wdro\u017cenia nowych rozwi\u0105za\u0144 w tej dziedzinie. Na to na\u0142o\u017cy\u0142o si\u0119 rosn\u0105ce z ka\u017cdym rokiem zagro\u017cenie wynikaj\u0105ce z atak\u00f3w phishingowych, kradzie\u017cy to\u017csamo\u015bci czy prostych b\u0142\u0119d\u00f3w u\u017cytkownik\u00f3w wewn\u0119trznych prowadz\u0105cych do narusze\u0144 bezpiecze\u0144stwa. Wed\u0142ug raportu Verizon2<\/sup>, za blisko jedn\u0105 trzeci\u0105 incydent\u00f3w bezpiecze\u0144stwa w firmach odpowiadaj\u0105 w\u0142a\u015bnie pracownicy.<\/p>\n

    Architektura Zero Trust opiera si\u0119 na za\u0142o\u017ceniu, \u017ce w dobie powszechno\u015bci mobilnych urz\u0105dze\u0144 i ci\u0105g\u0142ego dost\u0119pu do sieci nale\u017cy weryfikowa\u0107 bezpiecze\u0144stwo na ka\u017cdym kroku, a uprawnienia nie przys\u0142uguj\u0105 na zawsze, lecz s\u0105 przyznawane na podstawie bie\u017c\u0105cej oceny i potrzeb. Ma to szczeg\u00f3lne znaczenie w przypadku rozwi\u0105za\u0144 bazuj\u0105cych na SD-WAN<\/a>, kt\u00f3re umo\u017cliwiaj\u0105 elastyczne funkcjonowanie przedsi\u0119biorstw o rozproszonych zasobach (liczne oddzia\u0142y, pracownicy zdalni, r\u00f3\u017cne kategorie urz\u0105dze\u0144, w tym urz\u0105dzenia mobilne i Internetu Rzeczy). Uzupe\u0142nieniem architektury SD-WAN o funkcjonalno\u015bci z obszaru bezpiecze\u0144stwa jest SASE \u2013 czyli przesuni\u0119cie weryfikacji to\u017csamo\u015bci na brzeg sieci i przyznawanie u\u017cytkownikom uprawnie\u0144 wed\u0142ug ich bie\u017c\u0105cych r\u00f3l. Oznacza to, \u017ce u\u017cytkownicy i urz\u0105dzenia s\u0105 traktowani tak samo niezale\u017cnie od ich fizycznej lokalizacji, uzyskuj\u0105 bezpieczny dost\u0119p do zasob\u00f3w, a jednocze\u015bnie otrzymuj\u0105 tylko takie uprawnienia, jakie s\u0105 aktualnie potrzebne do wykonania zadania.<\/p>\n

    Trzy filary bezpiecze\u0144stwa w modelu zerowego zaufania<\/h2>\n

    Podstaw\u0105 modelu ZTNA jest weryfikacja to\u017csamo\u015bci u\u017cytkownik\u00f3w, realizowana przy u\u017cyciu uwierzytelnienia dwusk\u0142adnikowego, kt\u00f3re zabezpiecza dane organizacji w przypadku wycieku hase\u0142 lub kradzie\u017cy firmowego sprz\u0119tu. W rozwi\u0105zaniu SASE od T-Mobile<\/a>, polityka ta zak\u0142ada r\u00f3wnie\u017c analiz\u0119 bezpiecze\u0144stwa urz\u0105dzenia \u2013 weryfikacj\u0119 systemu operacyjnego i oprogramowania antywirusowego3<\/sup>. Dopiero spe\u0142nienie wszystkich za\u0142o\u017conych przez administratora warunk\u00f3w pozwala korzysta\u0107 z korporacyjnej sieci.<\/p>\n

    Drugim niezb\u0119dnym elementem jest segmentacja sieci \u2013 u\u017cytkownik z uprawnieniami dost\u0119pu do jednego obszaru nie mo\u017ce automatycznie uzyskiwa\u0107 dost\u0119pu do innego obszaru. Takie szczeg\u00f3\u0142owe \u2013 granularne \u2013 ustawienia uprawnie\u0144 pozwalaj\u0105 znacz\u0105co podnie\u015b\u0107 bezpiecze\u0144stwo danych i aplikacji firmy, a w przypadku incydentu bezpiecze\u0144stwa wr\u0119cz uchroni\u0107 dane przed wykradzeniem, zniszczeniem czy zaszyfrowaniem \u2013 jak ma to miejsce w przypadku atak\u00f3w ransomware4<\/sup>.<\/p>\n

    Wreszcie trzeci\u0105 kwesti\u0105 jest monitorowanie zachowa\u0144 u\u017cytkownik\u00f3w, identyfikacja zagro\u017ce\u0144 oraz szyfrowanie danych zar\u00f3wno w ruchu, jak i w spoczynku. W przypadku rozwi\u0105zania SASE oferowanego przez T\u2011Mobile mo\u017cliwe jest prowadzenie ci\u0105g\u0142ego monitoringu aktywno\u015bci u\u017cytkownik\u00f3w oraz pomiar wydajno\u015bci aplikacji. Rozwi\u0105zanie to pozwala r\u00f3wnie\u017c na weryfikacj\u0119 ruchu internetowego przechodz\u0105cego przez SASE Gateway i blokowanie dost\u0119pu do niebezpiecznych aplikacji oraz potencjalnych zagro\u017ce\u0144 z internetu. Oznacza to, \u017ce firmowe dane b\u0119d\u0105 chronione nawet wtedy, gdy pracownik da si\u0119 nabra\u0107 na sztuczki in\u017cynierii spo\u0142ecznej stosowane przez haker\u00f3w albo b\u0119dzie pr\u00f3bowa\u0142 uruchomi\u0107 nieautoryzowane aplikacje czy obejrze\u0107 zainfekowane strony.<\/p>\n

    Zalety dla organizacji<\/h2>\n

    Koncepcja Zero Trust Network Access jest naturalnym i niezb\u0119dnym rozwini\u0119ciem polityki bezpiecze\u0144stwa w organizacjach korzystaj\u0105cych z pe\u0142ni mo\u017cliwo\u015bci technologii cyfrowych. W otoczeniu, w kt\u00f3rym funkcjonuj\u0105 zar\u00f3wno pracownicy stacjonarni, jak i zdalni, korzystaj\u0105cy z urz\u0105dze\u0144 mobilnych o r\u00f3\u017cnych systemach operacyjnych i zabezpieczeniach programowych, gdzie zasoby przechowywane s\u0105 w \u015brodowisku multicloud, utrzymanie wysokiego poziomu ochrony przy u\u017cyciu tradycyjnych metod jest po prostu niemo\u017cliwe. Z tego powodu model zerowego zaufania jest fundamentalnym elementem rozwi\u0105za\u0144 SASE, umo\u017cliwiaj\u0105c bezpieczne korzystanie z zasob\u00f3w firmy z dowolnego miejsca na \u015bwiecie i przez dowolny typ sieci. Dla u\u017cytkownik\u00f3w oznacza to wygodniejsz\u0105 prac\u0119, bez r\u00f3\u017cnicowania na u\u017cytkownik\u00f3w \u201ewewn\u0119trznych\u201d i \u201ezewn\u0119trznych\u201d.<\/p>\n

    Dla mened\u017cer\u00f3w IT wdro\u017cenie koncepcji zerowego zaufania prze\u0142o\u017cy si\u0119 natomiast na wi\u0119ksz\u0105 odporno\u015b\u0107 na ataki z zewn\u0105trz, zw\u0142aszcza te z wykorzystaniem wykradzionych hase\u0142, czy phishingu. Konieczno\u015b\u0107 weryfikacji to\u017csamo\u015bci oraz segmentacja sieci s\u0105 w stanie ustrzec firmowe zasoby przed niefrasobliwo\u015bci\u0105 i zaniedbaniami u\u017cytkownik\u00f3w, a nawet przed ich z\u0142o\u015bliwym, celowym dzia\u0142aniem. I nawet je\u017celi, mimo wszystkich zabezpiecze\u0144, do incydentu bezpiecze\u0144stwa jednak dojdzie, jego skutki b\u0119d\u0105 ograniczone.<\/p>\n

    Nie przesadzi\u0107 z brakiem zaufania<\/h2>\n

    Mo\u017ce si\u0119 wydawa\u0107, \u017ce model nie ma \u017cadnych s\u0142abych stron i nic nie powinno powstrzymywa\u0107 organizacji przed wdra\u017caniem bardzo silnych procedur weryfikacji to\u017csamo\u015bci i ograniczania uprawnie\u0144 do minimum.<\/p>\n

    Tak jednak nie jest. Paradoksalnie, zbyt silnie forsowany model zerowego zaufania mo\u017ce doprowadzi\u0107 do obni\u017cenia bezpiecze\u0144stwa. Stanie si\u0119 tak, kiedy ograniczenia na\u0142o\u017cone przez administrator\u00f3w b\u0119d\u0105 zbyt krepuj\u0105ce dla u\u017cytkownik\u00f3w. Skorzystaj\u0105 oni w\u00f3wczas z aplikacji i sprz\u0119tu nieautoryzowanego przez organizacj\u0119 (tzw. shadow IT) do efektywnego wykonywania zleconych im zada\u01445<\/sup>.<\/p>\n

    Drugim zagro\u017ceniem wynikaj\u0105cym ze zbyt restrykcyjnej polityki zerowego zaufania jest potencjalne hamowanie nowatorskich rozwi\u0105za\u0144 i konieczno\u015b\u0107 szukania kompromis\u00f3w mi\u0119dzy ci\u0105g\u0142o\u015bci\u0105 biznesow\u0105, a rozwi\u0105zaniami technologicznymi.<\/p>\n

    Podsumowanie<\/h3>\n

    Model ZTNA, jako fundament nowoczesnych rozwi\u0105za\u0144 infrastruktury informatycznej, z pewno\u015bci\u0105 b\u0119dzie zyskiwa\u0142 na popularno\u015bci wraz z rozwojem us\u0142ug SASE i SD-WAN. Jego w\u0142a\u015bciwe wdro\u017cenie w organizacji pozwoli na efektywne wykorzystywanie zasob\u00f3w, ochron\u0119 kluczowych danych i aplikacji przed nieautoryzowanym dost\u0119pem oraz wzmocnienie odporno\u015bci na ataki z zewn\u0105trz. Najwa\u017cniejsze elementy tego modelu to:<\/p>\n