Cloud-native ainava, ko raksturo tās dinamiskais, izkliedētais un efemēriskais raksturs, piedāvā nepieredzētu kustīgumu un mērogojamību. Tomēr tieši šis dinamisms sagrauj tradicionālās drošības paradigmas. Uzticama iekšējā tīkla koncepcija, ko aizsargā sacietēts perimetrs, kļūst aizvien novecojusi. Mikroservisi izplatās pa vairāku mākoņu vidēm, konteinerus pārvērš sekundēs, un API veido kritisko, bet neaizsargāto, savienojumu audumu. Šajā jaunajā realitātē, kā mēs izveidojam uzticību? Kā mēs aizsargājam jutīgos datus un kritiskās darba slodzes, kad perimetrs ir izšķīdis? Atbilde ir fundamentālā pārmaiņa drošības domāšanā: Zero Trust. Zero Trust nav produkts, bet stratēģiska pieeja kiberdrošībai, kas balstīta uz principu “Nekad neuzticieties, vienmēr pārbaudiet.” Tas diktē, ka nevienam lietotājam vai vienībai, neatkarīgi no tā, vai tā atrodas tradicionālās tīkla robežās vai ārpus tīkla robežām, nedrīkst uzticēties pēc noklusējuma. Tā vietā uzticība ir jāizveido skaidri un nepārtraukti jāpārbauda, un piekļuve ir piešķirta ar vismazāko nepieciešamo privilēģiju, pamatojoties uz kontekstu. Šis raksts padziļina Zero Trust Architecture (ZTA) pamatprincipus, izpēta unikālos izaicinājumus, kas saistīti ar tā īstenošanu mākoņradītajās vidēs, un izklāsta praktiskās stratēģijas, tehnolo Understanding Zero Trust: Core Principles Zero Trust arhitektūras pamatā, kā to formalizēja tādi frameworks kā NIST Special Publication 800-207, ir vairāki galvenie principi, kas fundamentāli pārveido mūsu pieeju drošībai: Never Trust, Always Verify: Tas ir stūrakmens. Zero Trust novērš novecojušo jēdzienu par netiešo uzticēšanos, pamatojoties uz tīkla atrašanās vietu. Katrs piekļuves pieprasījums, neatkarīgi no izcelsmes, ir jāuzskata par potenciāli naidīgu. Pieņemiet pārkāpumu: ZTA darbojas, pieņemot, ka pārkāpumi ir neizbēgami vai var būt jau notikuši.Tāpēc drošības pasākumi ir paredzēti, lai samazinātu uzbrukuma sprādziena rādiusu. Minimālā privilēģijas piekļuve: Lietotājiem un sistēmām jāpiešķir tikai absolūtās minimālās atļaujas, kas nepieciešamas to konkrēto uzdevumu veikšanai, īsākajam nepieciešamajam ilgumam. Šis princips attiecas ne tikai uz lietotāja kontiem, bet arī uz lietojumprogrammām, pakalpojumiem un tīkla plūsmām. Mikro-segmentācija: Plašu tīkla segmentu vietā Zero Trust atbalsta granulāru segmentāciju, bieži vien līdz individuālajam darba slodzes līmenim.Tīkla datplūsma ir ierobežota, pamatojoties uz identitāti un politiku, radot mazas, izolētas zonas (mikrosegmenti). Nepārtraukta uzraudzība un validācija: Uzticība nav vienreizējs notikums; tas ir dinamisks un to pastāvīgi jānovērtē. ZTA uzdod pastāvīgi uzraudzīt lietotāju uzvedību, ierīču veselību, tīkla datplūsmu un resursu piekļuves modeļus. novirzes no paredzamās uzvedības vai drošības pozīcijas izmaiņas var izraisīt atkārtotu autentifikāciju vai piekļuves atsaukšanu. Drošības pasākumi koncentrējas uz pašu resursu (datu, lietojumprogrammu, pakalpojumu) drošību, nevis tikai uz tīkla segmentiem, kuros tie atrodas. Cloud-Native Conundrum: unikāli izaicinājumi Lai gan Zero Trust principi ir universāli piemērojami, to īstenošana mākoņdatošanas vidē rada unikālu izaicinājumu kopumu, kas izriet no mākoņdatošanas būtības: Dynamic & Ephemeral Infrastructure: Cloud-native vides pastāvīgi plūst. Konteineri, bezservera funkcijas un virtuālās mašīnas tiek izveidotas, iznīcinātas un skalētas automātiski minūšu vai sekunžu laikā. Statiskie IP bāzes noteikumi un tradicionālās perimetra aizsardzības ir neefektīvas pret šādām pārejošām darba slodzēm. Izplatītās arhitektūras un palielināta uzbrukuma virsma: mikroservisi sadala monolītiskās lietojumprogrammas uz mazākiem, neatkarīgiem komponentiem, vienlaikus nodrošinot elastību, tas ievērojami palielina tīkla gala punktu un komunikācijas ceļu skaitu (darbību no austrumiem uz rietumiem), kam nepieciešama drošība, ievērojami paplašinot uzbrukuma virsmu. API izplatīšana: API ir mākoņdatošanas lietojumprogrammu mugurkauls, kas atvieglo komunikāciju starp mikroservisiem, trešo pušu integrācijām un lietotāja saskarnēm. Sarežģītība un mērogs: drošības pārvaldība potenciāli tūkstošiem mikropakalpojumu, konteineru, funkciju un API, kas izplatās hibrīda vai vairāku mākoņu vidē, rada ievērojamu sarežģītību. Identitātes pārvaldība: Cilvēku lietotāju, pakalpojumu kontu, lietojumprogrammu identitāšu un infrastruktūras komponentu atšķiršana kļūst kritiska un sarežģīta. Redzamība un uzraudzība: ir grūti iegūt visaptverošu redzamību efemēriskajās darba slodzēs, šifrētajā datplūsmā starp pakalpojumiem (bieži pakalpojuma tīkla ietvaros) un API mijiedarbībā. Automātika un integrācija (DevSecOps): Drošība nevar būt pēcpārdomas; tā ir vienmērīgi jāintegrē CI / CD cauruļvados. Dalītas atbildības modelim: organizācijām skaidri jāsaprot drošības atbildības sadalījums starp sevi un savu mākoņpakalpojumu sniedzējiem (CSP). Zero Trust īstenošana mākonī: stratēģijas un tehnoloģijas Veiksmīga Zero Trust ieviešana mākoņdatošanas vidē prasa daudzpusīgu pieeju, izmantojot konkrētas stratēģijas un tehnoloģijas dažādās drošības jomās.   Identity and Access Management (IAM) - The Foundation Identitāte ir nulles uzticības pamats. vai Piekļuves pieprasījums ir galvenais. * Pārvietojieties tālāk par paroliem. Universāli īstenojiet daudzfaktoru autentifikāciju (MFA) visiem lietotājiem.Izpētiet bezparoles autentifikācijas metodes (FIDO2, biometriku), lai uzlabotu drošību un lietotāja pieredzi. Kas Ko Strong Authentication: Granulārā piekļuves kontrole: Īstenojiet Role-Based Access Control (RBAC) un Attribute-Based Access Control (ABAC), lai īstenotu vismazākās privilēģijas. Identitātes federācija un SSO: Izmantojiet vienreizējas pieteikšanās (SSO) risinājumus, kas apvienoti ar centrālo identitātes sniedzēju (IDP), piemēram, Azure AD, Okta vai Ping Identity, lai konsekventi pārvaldītu identitātes visās mākoņa platformās un lietojumprogrammās. Privileģētās piekļuves pārvaldība (PAM): droši pārvaldīt un uzraudzīt privileģētos kontus (cilvēkiem un mašīnām), izmantojot PAM risinājumus.   2. attēls: Piemērs Azure AD nosacījuma piekļuves politikas konfigurācija.Parāda nosacījumu definēšanu (piemēram, lietotāja risku, ierīču atbilstību) un piešķiršanas kontroles (piemēram, pieprasa MFA) piekļuves mākoņa lietojumprogrammām.   Network Security & Segmentation Zero Trust pārdefinē tīkla drošību, pārceļoties no perimetru aizsardzības uz granulāru, uz identitāti balstītu segmentāciju. Izmantojiet mākoņradītās drošības grupas / ugunsmūrus (piemēram, AWS drošības grupas, Azure tīkla drošības grupas, GCP ugunsmūra noteikumus) un uzlabotus risinājumus, piemēram, pakalpojumu tīklus (Istio, Linkerd) vai īpašas mikro-segmentācijas platformas (Illumio, Akamai Guardicore), lai īstenotu politiku, kuras pamatā ir pakalpojuma identitāte, nevis tikai IP adreses. Zero Trust Network Access (ZTNA): aizstāj tradicionālos VPN ar ZTNA risinājumiem (pazīstami arī kā programmatūras definētie perimetri vai SDP). ZTNA piešķir piekļuvi konkrētām lietotnēm, pamatojoties uz pārbaudītu lietotāju un ierīces identitāti un kontekstu, nevis nodrošina plašu tīkla piekļuvi. Pakalpojumu tīkla drošība: Izmantojiet tādu pakalpojumu tīklu kā Istio vai Linkerd Kubernetes vidē, lai īstenotu savstarpējo TLS (mTLS) šifrētai komunikācijai starp mikroservisiem, piemērotu smalku satiksmes kontroles politiku un iegūtu redzamību starppakalpojumu komunikācijā.   Continuous Monitoring, Visibility, and Analytics Nepārtraukta uzraudzība ir būtiska, lai pārbaudītu uzticību un atklātu draudus. Centralizēta žurnalizācija un SIEM: agregē logus no visiem attiecīgajiem avotiem ( mākoņa platformām, lietojumprogrammām, gala punktiem, identitātes sniedzējiem, tīkla ierīcēm) centralizētā drošības informācijas un notikumu pārvaldības (SIEM) sistēmā korelācijai un analīzei. Lietotāju un vienību uzvedības analīze (UEBA): Izmantojiet UEBA rīkus, lai pamatotu lietotāju un pakalpojumu kontu normālu uzvedību un atklātu anomālijas, kas varētu liecināt par apdraudētiem kontiem vai iekšējiem draudiem. Cloud Security Posture Management (CSPM): Izmantojiet CSPM rīkus, lai nepārtraukti uzraudzītu mākoņa vidi kļūdu konfigurācijai, atbilstības pārkāpumiem un drošības riskiem. Native mākoņa rīki, piemēram, AWS Security Hub, Azure Security Center (Microsoft Defender for Cloud) un Google Security Command Center nodrošina pamatfunkcijas CSPM. Cloud Workload Protection Platforms (CWPP): Izmanto CWPP risinājumus, lai nodrošinātu redzamību un aizsardzību mākoņa darba slodzēm (VM, konteineriem, bezservera funkcijām), ieskaitot neaizsargātības pārvaldību, izpildes laika aizsardzību un uz mākoņu pielāgotas gala punkta noteikšanas un reaģēšanas (EDR) iespējas.   Securing Cloud-Native Workloads Lai aizsargātu dažādās darba slodzes, kas darbojas mākonī, ir nepieciešamas īpašas pieejas. Konteineru drošība: īsteno drošību visā konteineru dzīves ciklā: skenē attēlus reģistru un CI/CD cauruļvadu ievainojumiem, īsteno drošības politiku (piemēram, novēršot sakņu privilēģijas), uzrauga konteineru darbības laiku, lai atrastu draudus, un nodrošina pamata orķestratoru (piemēram, Kubernetes). Bezservera drošība: nodrošiniet bezservera funkcijas, piemērojot vismazākās privilēģijas IAM lomas, validējot ievades notikumu datus, nodrošinot funkciju kodu un atkarības un uzraugot izpildes žurnālus anomālijām. Kubernetes drošība: Aizsargājiet Kubernetes klasterus, konfigurējot RBAC, īstenojot tīkla politiku pod komunikācijai, droši pārvaldot noslēpumus, sacietējot mezglu konfigurācijas un regulāri skenējot neaizsargātības un kļūdu konfigurācijas.   API Security Ņemot vērā to kritisko lomu, API ir nepieciešami īpaši drošības pasākumi. Autentifikācija un autorizācija: nodrošiniet API, izmantojot stabilus mehānismus, piemēram, OAuth 2.0 un OpenID Connect (OIDC), lietotāja un lietojumprogrammu autentifikācijai/autorizācijai. API vārti: Izmantojiet API vārtiņus, lai centralizētu politikas īstenošanu, autentifikāciju, tarifu ierobežošanu, throttling un maršrutēšanu API. Ieejas validācija un draudu aizsardzība: stingri validējiet visus API ieejas, lai novērstu injekcijas uzbrukumus.Izmantojiet tīmekļa lietojumprogrammu ugunsmūrus (WAF), kas potenciāli ir integrēti ar API vārtiem, lai aizsargātu pret kopējiem tīmekļa un API specifiskajiem draudiem (piemēram, OWASP API drošības top 10). * Šifrēšana: Izpildiet TLS šifrēšanu visam API datplūsmai (dati tranzītā).   Data Security & Compliance Galu galā, Zero Trust mērķis ir aizsargāt datus, kas ietver izpratni par to, kur dati atrodas, to klasificēšanu un piemērojot atbilstošas kontroles. Datu klasifikācija un marķēšana: identificējiet un klasificējiet sensitīvus datus visās mākoņa vidēs. Šifrēšana: Šifrē sensitīvus datus gan atpūtas laikā (izmantojot mākoņa pakalpojumu sniedzēja KMS vai pārvaldītu datu bāzes šifrēšanu) un tranzītā (izmantojot TLS/mTLS). Datu zudumu novēršana (DLP): īsteno DLP risinājumus, lai uzraudzītu un novērstu sensitīvu datu izplūdi, izmantojot dažādus izplūdes punktus. Atbilstības kartēšana: Map Zero Trust kontrolē attiecīgās atbilstības sistēmas (piemēram, NIST CSF, PCI DSS, HIPAA, GDPR). Audita takas: nodrošināt visaptverošu revīzijas žurnalizāciju visiem piekļuves pieprasījumiem, politikas izmaiņām un drošības notikumiem. Galvenās tehnoloģijas un rīki Landscape ZTA īstenošana ietver tehnoloģiju kombināciju, kas bieži vien ir integrēta: Identitātes nodrošinātāji (IDP): Azure Active Directory, Okta, Ping Identity, Google Cloud Identity. ZTNA/SDP piegādātāji: Zscaler Private Access (ZPA), Palo Alto Networks Prisma Access, Cloudflare Access, Netskope Private Access, Akamai Secure Internet Access Enterprise. Mikro-segmentācija: Illumio Core, Akamai Guardicore segmentācija, Cisco Secure Workload (Tetration), mākoņdatu kontroles (drošības grupas, tīkla politikas). CSPM/CWPP: Palo Alto Networks Prisma Cloud, Aqua Security Platform, CrowdStrike Falcon Cloud Security, Sysdig Secure, Lacework Polygraph Data Platform, Wiz, Orca Security, Native Cloud Tools (AWS Security Hub, Azure Defender for Cloud, GCP Security Command Center). Servisa tīkls: Istio, Linkerd, Consul Connect. API drošība: API vārti (AWS API vārti, Azure API pārvaldība, Google Apigee), WAFs (Cloudflare, Akamai, F5), Dedicated API drošības piegādātāji (Salt Security, Noname Security). SIEM/SOAR: Splunk, IBM QRadar, Microsoft Sentinel, Exabeam, Securonix, LogRhythm. Reālā pasaules ieguvumi no Cloud-Native Zero Trust Zero Trust modeļa ieviešana mākoņdatošanas vidē sniedz ievērojamas priekšrocības: Uzlabota drošības pozīcija: dramatiski samazina uzbrukuma virsmu un ierobežo pārkāpumu sprādziena rādiusu, novēršot netiešo uzticēšanos un pielietojot vismazāko privilēģiju. Uzlabota draudu noteikšana un reaģēšana: nepārtraukta uzraudzība un granulēta redzamība ļauj ātrāk atklāt anomālas darbības un apdraudētas vienības. Labāka atbilstība un pārvaldība: granulētas piekļuves kontroles, visaptveroša revīzija un politikas īstenošana palīdz izpildīt stingras regulatīvās prasības. Droša attālā piekļuve: nodrošina drošu, lietojumprogrammu specifisku piekļuvi attāliem darbiniekiem un trešajām personām bez riskiem, kas saistīti ar tradicionālajiem VPN. Palielināta darbības efektivitāte: politikas īstenošanas un drošības uzdevumu automatizācija samazina manuālo piepūli un uzlabo konsekvenci. Veicot drošu digitālo transformāciju: ļauj organizācijām droši pieņemt mākoņdatošanas tehnoloģijas, mikropakalpojumus un DevOps praksi, neapdraudot drošību. Visbiežāk sastopamie lamatas un kā tos izvairīties Ceļojums uz Zero Trust ir sarežģīts un nav bez iespējamiem lamatām: Sarežģītība Overwhelm: Mēģinot īstenot visu uzreiz var būt pārsteidzoši. Izvairīšanās: Sāciet maz, koncentrējoties uz kritiskajiem aktīviem vai lietošanas gadījumiem. Pieņemt iteratīvu pieeju, nepārtraukti paplašinot un izsmalcinot ZTA īstenošanu. Negatīva lietotāja pieredze: Pārmērīgi ierobežojošas politikas vai apgrūtinoši autentifikācijas procesi var vilcināt lietotājus un kavēt produktivitāti.Izvairīšanās: Līdzsvarot drošības vajadzības ar lietotāja pieredzi.Iesaistīt lietotājus agri, izmantot pielāgojamu / nosacītu piekļuvi un izpētīt iespējas bez paroles. Rīku izpēte un integrācijas izaicinājumi: ZTA īstenošana bieži vien ietver vairākus rīkus. Izvairīšanās: prioritizējiet integrētās platformas, kur vien iespējams. Koncentrējieties uz instrumentiem ar izturīgiem API, lai nodrošinātu sadarbspēju. Automātikas trūkums: Politikas manuāla pārvaldība un reaģēšana uz brīdinājumiem dinamiskajās mākoņu vidēs nav ilgtspējīga.Izvairīšanās: Lieli ieguldījumi automatizācijā politikas definīcijai (Policy-as-Code), īstenošanai, uzraudzībai un reaģēšanai (SOAR). Nepietiekama uzraudzība un redzamība: kontroles īstenošana bez pietiekamas redzamības, lai pārbaudītu to efektivitāti, ir bīstama.Izvairīšanās: Nodrošināt visaptverošu uzraudzību identitātes, gala punktu, tīkla, lietojumprogrammu un datu jomā. Kultūras maiņas ignorēšana: nulles uzticēšanās ir tikpat daudz par kultūru, cik par tehnoloģijām. Pretestība pārmaiņām vai drošības izpratnes trūkums var apdraudēt īstenošanu. Izvairīšanās: Veicina drošības izpratnes kultūru. Uzsver, ka drošība ir ikviena atbildība. Secinājums Dinamiskajā, bez perimetru balstītajā mākoņdatošanas pasaulē Zero Trust vairs nav nišas jēdziens, bet gan stratēģisks imperatīvs. Pārkāpjot novecojušās perimetru balstītas aizsardzības un pieņemot filozofiju “Nekad neuzticieties, vienmēr pārbaudiet” ir būtiski, lai aizsargātu mūsdienu uzņēmumus. Īstenošanas ceļš prasa rūpīgu plānošanu, izmantojot pareizās tehnoloģijas visās identitātes, tīkla, darba slodzes, datu un uzraudzības jomās, kā arī risinot unikālos izaicinājumus, ko rada mākoņdatošanas vides. Sāciet savu Zero Trust ceļu, novērtējot savu pašreizējo drošības nostāju, identificējot augsta riska jomas un izstrādājot pakāpenisku ceļvedi.Sāciet īstenot pamatkontroli, piemēram, spēcīgu IAM un mikro segmentāciju kritiskām lietojumprogrammām.Atcerieties, ka Zero Trust nav galamērķis, bet gan nepārtraukts rafinēšanas un pielāgošanās process. References: Nacionālais standartu un tehnoloģiju institūts (NIST). (2020). Īpašā publikācija 800-207: Zero uzticības arhitektūra. https://doi.org/10.6028/NIST.SP.800-207 (Iekļaut URL no tīmekļa meklēšanas research_notes.md pēc vajadzības vai citēt konkrētus rakstus, ja tie ir tieši citēti / parafrāzēti plaši)

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Šis audio ir izveidots stāsta oriģinālvalodā!

Bez perimetra: arhitektūras uzticība mākoņu dzimtajā laikmetā Mohit Kumar Singh

About Author

KOMENTĀRI

PAKARINĀT TAGUS

ŠIS RAKSTS TIKS PĀRSTRĀDĀTS

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps