Núlltraust netöryggislausn: Meginreglur og framkvæmd

Meginniðurstaða: Núlltraust netöryggislausn kemur í stað úreltrar forsendunnar um að allt innan nets þíns sé öruggt. Hver notandi, tæki og tengifleytir er stöðugt staðfestur, sem dregur verulega úr hættu á brotum í skýjatengdum umhverfi.

Hvað er núlltraust netöryggislausn?

Hefðbundið netöryggis bauðst á einfaldri hugmynd: treysta öllu innan jaðarsins og hefta ógnir við brúnirnar. Eldveggir, VPN-kerfi og innrásargreining mynduðu stafræna grífu utan um auðlindir fyrirtækja. Þegar notandi eða tæki fór í gegnum hlið, gátu þau hreyft sig frjálst.

Það líkan virkar ekki lengur. Skýjatölva, fjar- og farsímaúr hafa leyst netjaðarinn algjörlega upp. Starfsmenn fá aðgang að næmum gögnum frá einkasamsettu tölvunum á kaffihúsum. Þriðju aðilir tengast beint innri kerfum. Árásarmenn sem komast inn á eina endapunkt geta flutzt um allt fyrirtæki.

Núlltraust netöryggislausn tekur þessa raunveruleika alvarlega. Í stað þess að gera ráð fyrir að allt innan netsins sé öruggt, meðhöndlar núlltraust hverja aðgangsvinnslu sem hugsanlega óheilbrigða. Hver notandi, hvert tæki og hver tengifleytir verða að sanna það réttmæti fyrir því að fá aðgang að neinum auðlindum. Fyrir víðtækari yfirsýn á ógnir, sjá okkar netöryggismiðstöð.

NIST Special Publication 800-207[1] er ákveðin alríkisrammi til að framkvæma núlltraustsarkitektúr. Hún fjallar um aðgangseftirlitskerfi, útfærslumynstur og traustalgrím í smáatriðum. Gefin út af Landsinstítúti staðla og tækni, henni þjónar sem grundvöllur flestir fyrirtæki nota við að skipuleggja núlltrauststefnu sína.

Núlltraust er ekki ein vara sem þú getur keypt. Það er netöryggislausn, hugmyndafræði og arkitektúrleg nálgun sem endurskipuleggur hvernig fyrirtæki hugsa um aðgang og traust á hverju stigi.

Meginreglur núlltrausts

Eftirfarandi tafla dregur saman sex grundvallarreglur sem knýja hverja núlltraustsarkitektúr:

Núlltraustsregla	Hvað það þýðir í framkvæmd
Sannprófa með skýrðu móti	Auðkenna hvern notanda, tæki og vinnslu — í hvert sinn, ekki bara við innskráningu
Aðgangur með lágmarksréttindum	Veita aðeins þær heimildir sem nauðsynlegar eru fyrir verkefni, ekkert meira
Gera ráð fyrir broti	Hönnun kerfa sem um leið og árásarmenn séu nú þegar inni; takmarka skjöl skemmda
Sundurgreining netunum	Deila netinu svo ein sem sé skaðuð hæl geti ekki breitt sig víðs
Margþáttatuðun	Krefjast annarrar þáttar umfram lykilorð fyrir allt aðgengi
Endalaus eftirlitsstarfsemi	Skrá og greina alla starfsemi í rauntíma til að ná tilvikum snemma

Hver regla styrkir hinar. Aðgangur með lágmarksréttindum takmarkar hvað skaðuð reikningur getur náð. Sundurgreining netunum inniheldur skjöl ef árásarmaður farið um sannprófun. Endalaus eftirlitsstarfsemi greinir óeðlilega hegðun sem kyrrstöðu reglur myndu missa. Saman mynda þessar reglur skapandi flöt varnaðar sem draga verulega úr hættu á árangursríku broti.

Hlutir núlltraustsarkitektúrs

Núlltraustsarkitektúr byggist á nokkrum samtengdum hlutum sem vinna saman. Skilningur á hverjum þeirra hjálpar fyrirtækjum að skipuleggja raunhæfa dreifingu.

Auðkenni og aðgangsstjórn (IAM)

IAM er hornsteinn núlltrausts. Lausnir eins og Microsoft Entra ID (áður Azure AD), Okta og Ping Identity sannprófa auðkenni notenda áður en aðgangur er veittur á neina auðlind. Allt aðgengi fer í gegnum IAM-lagið, sem metur auðkenni, hlutverk og samhengi áður en háð er leyfi eða neitun. Sterk auðkenni og aðgangsstjórnunaraðferðir hjálpa einnig til að koma í veg fyrir sannsöfnun skilríkja og yfirtöku reikninga.

Margþáttatuðun (MFA)

MFA krefst þess að notendur sanki auðkenni sitt með a.m.k. tveimur aðskildum þáttum: eitthvað sem þeir vita (lykilorð), eitthvað sem þeir eiga (vélbúnaðarlykill eða sími) eða eitthvað sem þeir eru (lífmerkjaskannun). Microsoft tilkynnti að MFA stöðvi 99,9% sjálfvirkra árása á reikningstörfum. MFA er ekki umdeilt í neinum núlltraustsútfærslum.

Smásamsetning

Í stað þess að meðhöndla netið sem eina traustan svæði, deilir smásamsetning því í lítil, einangruð svæði. Hvert svæði framfylgir eigin aðgangsstefnum. Ef árásarmaður skaðar eitt svæði, geta þeir ekki flutzt um aðra. Verkfæri eins og VMware NSX, Illumio og Cisco ACI mögulegir smásamsetningu á stærðargráðu.

Greining og viðbrögð endapunkta (EDR)

Núlltraust krefst sýnileika á hvert tæki sem tengist netinu. EDR-lausnir eins og CrowdStrike Falcon, SentinelOne og Microsoft Defender for Endpoint fylgjast stöðugt með heilsu tækis, greina illum hegðun og framfylgja reglum um samræmi. Tæki sem fellur frá samræmi (úrelt OS, gölluðar færslur) getur verið sjálfkrafa lokað frá aðgangi að næmum auðlindum.

Öryggisupplýsingar og viðeigandi stjórn (SIEM)

SIEM-pallur safna loggjum frá öllu umhverfinu og beita greinum til að greina frávik. Lausnir eins og Splunk, Microsoft Sentinel og IBM QRadar veita stöðuga eftirlitsstarfsemi sem núlltraust krefst. Endalaus viðvaranir og sjálfvirk viðbragðsleiðaramót hjálpa öryggishópum að bregðast við ógnunum innan mínútna, ekki daga.

Stefnuvél og stjórnandi stefnu

Hjá hjörtum núlltraustsarkitektúrs situr stefnuvélin. Þessi þáttur metur hverja aðgangsvinnslu gegn skilgreindum stefnum (hlutverk notanda, heilsu tækis, stað, tímasetning dagsins, áhættueinkunn) og tekur rauntímatraustsákvörðun. Stefnustjórnandi framfylgir því ákvörðun með því að skipleiðbeina viðeigandi framfylgingarpunkti til að leyfa eða stöðva tengifleyti.

Núlltraust gegn hefðbundinni jaðaröryggi

Skilningur á andstöðunni milli núlltrausts og erfinglega aðferða skýrir hvers vegna fyrirtæki eru að breytast.

Þáttur	Hefðbundin jaðaröryggi	Núlltraust netöryggislausn
Traustalíkan	Treysta öllu innan netsins	Treysta engum; sannprófa allt
Aðgangssvið	Víðtækir netaggangur eftir sannprófun	Nákvær, fyrir hverja forrit aðgangur
Sannprófunartíðni	Einu sinni við innskráningu	Endalaus, hvert bið
Hættu á hliðarhreyfingu	Há — árásarmenn hreyfast frjálst þegar þeir eru inni	Lág — smásamsetning inniheldur brot
Stuðningur fjarvinnu	Krefst VPN-gangu allra umferðar	Innfæddur stuðningur fyrir dreifðan aðgang
Sýnileiki	Takmörkuð innri umferðarsöguð	Fullt sýnileiki yfir allt tengifleyt

Ólíkt hefðbundnum VPN-aðferðum sem veita víðtækan netaggangur þegar tengst hefur, veita núlltraustnetsaðgangur (ZTNA) aðgangur aðeins að tilteknu forriti sem hlutverk notanda krefst. Fyrirtæki sem enn treysta á friðhelgu VPN til dulkóðunar geta lagað ZTNA ofan á til að stjórna hvað hver notandi getur í raun náð. VPN-kerfi sér um dulkóðaðan göng; núlltraust sér um heimildir og stöðuga sannprófun.

Hvernig á að framkvæma núlltraustsarkitektúr

Framkvæmd núlltrausts er ekki yöfurkiðið verkefni. Flest fyrirtæki taka því upp í stigum yfir 12 til 24 mánuði. Hér er hagnýt, skreffast nálgun.

Skref 1: Kortleggja verndandi yfirborgir þinn

Auðkenna mikilvægustu gögn þin, forrit, auðlindir og þjónustu (DAAS). Ólíkt árásarmyndinni, sem er víðtæk og stöðugt stækkandi, er verndandi yfirborgir lítil og vel skilgreind. Byrjaðu hér.

Skref 2: Kortleggja viðskiptagöng

Fylgjið hvernig umferð flæðir yfir netið þitt. Skilja hverjir notendur fá aðgang að hverju forrit, frá hvaða tækjum og í gegnum hvaða leiðir. Þú getur ekki framfylgt stefnum á göngum sem þú skilur ekki.

Skref 3: Byggja arkitektúr um verndandi yfirborgir

Dreifa næstu kynslóðar eldveggir, IAM-lausnum og smásamsetningu um verndandi yfirborgir. Settu stefnuvélina í miðju hverrar aðgangsákvörðunar. NIST SP 800-207 útlistar þrjú dreifingarmynstur: tækjamöðl/gátt, söfnun og gátt auðlinda. Veldu eftir núverandi innviðum þínum.

Skref 4: Búa til nákvæmar aðgangsstefnur

Skilgreina nákvæmar aðgangsstefnur með Kipling-aðferðinni: Hver er að biðja um aðgang? Hvaða forrit eru þeir að fá aðgang? Hvenær fá þeir aðgang? Hvar eru þeir staðsettir? Hvers vegna þurfa þeir aðgang? Hvernig tengir þeir sig? Þessir sex spurningar mynda grunn að hverri stefnureglu.

Skref 5: Dreifa margþáttaaðferð um allt

Rulla út MFA yfir allt aðgengi. Fyrirfram réttindum, síðan út til allra notenda. Harðvörulyklar (YubiKey, Google Titan) veita sterkasta vernd gegn svikum.

Skref 6: Virkja endalaus eftirlitsstarfsemi og greiningu

Dreifa SIEM og EDR-lausnum til að fylgjast með allri umferð í rauntíma. Settu grunn fyrir eðlilega hegðun svo frávikir kveiki strax viðvaranir. Gera sjálfvirkan viðbragðsleiðaramót fyrir almenn ógnarmynstur.

Skref 7: Endurtaka og stækka

Byrjaðu með þínum viðkvæmustu eignum og stærkaðu núlltraustseftirlitsstarfsemi. Hver stig ætti að fela í sér prófun, sannprófun og stefnuaðlögun. Núlltraust er ekki áfangastaður; það er stöðugt ferli til að bæta.

Algeng núlltraustsmal

Fjar- og tvíhyrt vinnuafl

Fyrirtæki með starfsmenn sem vinna heima, á samstarfsrýmum eða hjá viðskiptavinum njóta strax af núlltrausti. Í stað þess að senda alla umferð í gegnum miðstöð VPN, sannprófa ZTNA-lausnir hvern notanda og tæki sjálfstætt. Þetta minnkar seinun og bætir öryggi á sama tíma.

Skýjaforrit fyrirtæki

Fyrirtæki sem keyra vinnuálag yfir AWS, Azure og Google Cloud þurfa samhæfðar aðgangseftirlitsstarfsemi sem spannar mörg umhverfi. Núlltrauststefnur fylgja notandanum og vinnuálagi, ekki netjaðarnum.

Stærðarregluð iðngreinin

Heilbrigðisstofnanir undir HIPAA, fjármálastofnanir undir PCI DSS og SOX og ríkisstofnanir eftir FedRAMP krefjast strangs aðgangseftirlits og endurskoðunarslóða. Núlltraust veitir hvort tveggja samkvæmt hönnun.

Aðgangur þriðju aðila og verktaka

Söluaðilar og verktakar þurfa oft aðgang að tilteknum innri kerfum. Núlltraust veitir þeim aðgangur aðeins að þeim auðlindum sem þeir þurfa, aðeins þann tíma sem þeir þurfa hann, með fullri skráningu á hverju aðgerð.

Samruna og yfirtökur

Þegar tvö fyrirtæki sameinast, kynna sameining neta þeirra verulega áhættu. Núlltraust gerir hverjum umhverfi að halda óháðri aðgangseftirlitsstarfsemi á meðan valkvætt veitir aðgangur á milli fyrirtækja fyrir hvert forrit.

Er núlltraust rétt fyrir fyrirtæki þitt?

Núlltraust netöryggislausn er ekki tímabundin þróun. Það er grundvallarbreyting á því hvernig fyrirtæki vernda gögn sín, forrit og notendur. Gömli jaðarmyndin gerði ráð fyrir að ógnir væru utan veggjarins. Í dag, með skýjatölvu, fjarútkoma og sífellt flóknari árásir eins og persónutölfar og sannsöfnun skilríkja, sú forsenda setur fyrirtæki á alvarleg hætta.

Innleiðing núlltrausts þýðir skuldbinding við endalaus sannprófun, aðgangur með lágmarksréttindum, sundurgreining netunum, margþáttatuðun og rauntíma eftirlitsstarfsemi. Það krefst fjárfestingar í tækni og tilbúnleika til að hugsa um hvernig fyrirtæki þitt veitir og stýrir aðgangi.

Bæta er veruleg: minnkuð hætta á broti, sterkari samræmi, betra sýnileiki á netúmferð og öryggislausn sem stækkast með fyrirtæki þínu.

Byrjaðu með þínum mikilvægustu eignum. Kortleggja umferðsgöngur þína. Dreifa MFA og IAM. Deila netinu. Fylgjast með öllu. Hvert framfaraskref dregur úr útsetningunni fyrir ógnunum sem skipta máli mest.

Tilvísanir

1. NIST Special Publication 800-207

Tilföng fyrir þessa síðu

Gröf og tilvísunarmyndir úr prófunum okkar, ókeypis að skoða og deila.

• 

• Zero Trust Cyber Security: Principles & ImplementationPDF · 1.2 MB

Oftar spurt spurningar

AlltHvernig það virkarÓgnanirVörnVerkfæriBestu starfsvenjur

Hvað er núlltraust netöryggislausn í einföldum orðum?

Núlltraust þýðir að enginn notandi, tæki eða tengifleytir sé treystur sjálfkrafa, jafnvel innan fyrirtækjanetisins. Allt aðgengi er sannprófað með skýrðu móti, veitt aðeins lágmarks-réttindum og stöðugt fylgst með. Það kemur í stað eldri „treysta öllu innan jaðarsins” kerfa, sem bilar þegar skýja- og fjarútkoma leysir jaðarinn. NIST SP 800-207 er ákveðinn alríkisrammi til að framkvæma hann.

Hverjir eru sex meginreglur núlltrausts?

Sex reglurnar eru sannprófa með skýrðu móti, aðgangur með lágmarksréttindum, gera ráð fyrir broti, sundurgreining netunum, margþáttatuðun og endalaus eftirlitsstarfsemi. Hver styrkir hinar: aðgangur með lágmarksréttindum takmarkar hvað skaðuð reikningur getur náð, sundurgreining inniheldur hliðarhreyfingu og endalaus eftirlitsstarfsemi grípur frávika sem kyrrstöðu reglur myndu missa. Saman mynda þeir skapandi flöt varnaðar frekar en staka vara eða stilling.

Hvaða ógnir verndar núlltraust gegn sem hefðbundið VPN gerir ekki?

Hefðbundið VPN dulkóðar gönginn en veitir víðtækan netaggangur þegar tengst hefur, svo árásarmaður sem stela einum skilríkjum getur flutzt um allt netið. Núlltraustnetsaðgangur (ZTNA) veitir aðgangur aðeins að tilteknu forriti sem hlutverk notanda krefst, með hverri vinnslu enduendurstaðfest. Þetta takmarkar beint hliðarhreyfingu, sannsöfnun skilríkja og yfirtöku reikninga, ógnirnar sem jaðar-aðeins varnir missa.

Hvernig takmarkar núlltraust hliðarhreyfingu eftir brot?

Núlltraust gerir ráð fyrir að árásarmenn séu nú þegar inni og hannaðir um það. Smásamsetning deilir netinu í einangruð svæði, svo skaðaðir eitt svæði gefur ekki aðgang til annarra, með verkfærum eins og VMware NSX, Illumio eða Cisco ACI. Sameinað með aðgangi með lágmarksréttindum og endalaus eftirlitsstarfsemi í gegnum SIEM-pallur, þetta dregur úr skjölum skemmda hvers skaðaðs reikninga eða endapunkta.

Hvað er núlltraustnetsaðgangur (ZTNA) og hvernig er hún frábrugðin VPN?

ZTNA veitir aðgangur aðeins að tilteknu forriti sem hlutverk notanda krefst, frekar en víðtækan netaggangur sem VPN-gangið veitir þegar tengst hefur. Fyrirtæki geta lagað ZTNA ofan á núverandi friðhelgu VPN: VPN sér um dulkóðaðan ganga á meðan núlltraust sér um heimildir og endalaus per-request sannprófun, lokandi bilið sem VPN-aðeins aðgangur skilur.

Kemur núlltraust í stað MFA eða virkar með henni?

MFA er nauðsynlegur þáttur núlltrausts, ekki endurskipulegging fyrir hann. Microsoft tilkynnir MFA stöðvi 99,9% sjálfvirkra árása á reikningstörfum, sem gerir hana óumdeilt yfir allt aðgengi. Núlltraustsútfærslur rúlla MFA út byrjað réttindum, síðan út til allra notenda, oft með harðvöru lyklum eins og YubiKey eða Google Titan til að styrkja svikivarn.

Hvaða verkfæri eru í raun notuð til að byggja núlltraustsarkitektúr?

Fullum stafla spannar auðkenni, endapunkta, net og eftirlitsstarfsemi. IAM kemur frá Microsoft Entra ID, Okta eða Ping Identity. EDR kemur frá CrowdStrike Falcon, SentinelOne eða Microsoft Defender for Endpoint. Smásamsetning notar VMware NSX, Illumio eða Cisco ACI. SIEM-pallur eins og Splunk, Microsoft Sentinel eða IBM QRadar veita endalaus eftirlitsstarfsemi sem líkanið krefst.

Hvað er stefnuvél og hvers vegna er hún miðlæg fyrir núlltraust?

Stefnuvélin situr hjá hjörtum núlltraustsarkitektúrs, metur hverja aðgangsvinnslu gegn þáttum eins og hlutverk notanda, heilsu tækis, stað, tímasetning dagsins og áhættueinkunn til að taka rauntíma leyfi eða neitun ákvörðun. Stefnustjórnandi framfylgir síðan þessari ákvörðun með því að skipleiðbeina framfylgingarpunkti. NIST SP 800-207 útlistar þetta sem meginákvarðanatöku þáttur líkansins.

Hvernig byrja ég að framkvæma núlltraust án þess að trufla rekstur?

Byrja með kortlagningu verndandi yfirborgum, litlu setti gagnrýninna gagna, forrita, auðlinda og þjónustu frekar en allri árásarmyndinni. Síðan fylgjið göngunum til að skilja hverjir fá aðgang að hverju og hvaðan. NIST SP 800-207 útlistar þrjú dreifingarmynstur, tækjamöðl/gátt, söfnun og gátt auðlinda, svo þú getur valið einn sem passa við núverandi innviða þína áður en byggir út.

Hvað er Kipling-aðferðin til að setja núlltraustsaðgangsstefnur?

Kipling-aðferðin byggir nákvæmar aðgangsstefnur um sex spurningar: hver er að biðja um aðgang, hvaða forrit eru þeir að fá aðgang, hvenær, hvar eru þeir staðsettir, hvers vegna þurfa þeir aðgang og hvernig tengir þeir sig. Þessir sex spurningar mynda grunn að hverri stefnureglu sem framfylgt er af stefnuvélinni, skipti víðtækum hlutverkum netaggangi fyrir per-request, samhengis ákvörðunum.

Hversu langan tíma tekur fullkominni núlltraustsútfærslu í raun?

Flest fyrirtæki taka núlltrausti upp í stigum yfir 12 til 24 mánuði frekar en sem eitt verkefni. Röð ætti: kortleggja verndandi yfirborgir, fylgjast göngunum, byggja arkitektúr um hana, búa til nákvæmar stefnur í gegnum Kipling-aðferðina, dreifa MFA um allt, virkja SIEM og EDR eftirlitsstarfsemi, síðan endurtaka. Hvert stig inniheldur prófun og stefnuaðlögun áður en stækkun til næsta auðlindarflokks.

Er núlltraust nauðsynlegt fyrir stærðarreglu iðngreinin eins og heilbrigðisstofnun eða fjármálastarfsemi?

Já. Heilbrigðisstofnanir undir HIPAA, fjármálastofnanir undir PCI DSS og SOX og ríkisstofnanir eftir FedRAMP krefjast strangs aðgangseftirlits og fullra endurskoðunarslóða, sem núlltraust veitir samkvæmt hönnun í gegnum stöðuga sannprófun og per-forrit skráningu. Þriðju aðilir seljendur og verktakar fá einnig aðgengi takmarkað við aðeins tilteknar auðlindir og tímaramma sem þeir þurfa.

Hvað gerist ef tæki bilar samræmispróf undir núlltrausti?

EDR-lausnir eins og CrowdStrike Falcon, SentinelOne eða Microsoft Defender for Endpoint fylgjast stöðugt með heilsu tækis, og tæki sem fellur frá samræmi, svo sem keyrt úrelt OS eða vantar færslur, getur verið sjálfkrafa lokað frá aðgangi að næmum auðlindum. Þetta framfylging gerist hjá stefnuvélinni, sem endurkeyrir heilsu tækis sem einn þáttur í hverri aðgangsákvörðun, ekki aðeins einu sinni við innskráningu.