ความเป็นศูนย์การไว้วางใจในความปลอดภัยไซเบอร์: หลักการและการใช้งาน

บรรทัดสรุป: ความปลอดภัยแบบศูนย์การไว้วางใจแทนที่สมมติฐานที่ล้าสมัยว่าทุกอย่างภายในเครือข่ายของคุณปลอดภัย ผู้ใช้ อุปกรณ์ และการเชื่อมต่อทุกรายการได้รับการยืนยันอย่างต่อเนื่อง ซึ่งลดความเสี่ยงของการละเมิดในสภาพแวดล้อมที่เชื่อมต่อกับคลาวด์อย่างมาก”

ความปลอดภัยไซเบอร์แบบศูนย์การไว้วางใจคืออะไร

ความปลอดภัยเครือข่ายดั้งเดิมอาศัยแนวคิดง่าย ๆ: ไว้วางใจทุกอย่างภายในเส้นขอบและปิดกั้นภัยคุกคามที่ขอบ ไฟร์วอลล์ VPN และระบบตรวจจับการบุกรุกสร้างคูเมืองดิจิทัลรอบทรัพยากรของบริษัท เมื่อผู้ใช้หรืออุปกรณ์ผ่านประตู พวกเขาสามารถเคลื่อนไหวได้อย่างอิสระ

โมเดลนั้นไม่ได้ผลอีกต่อไป คลาวด์คอมพิวติ้ง การทำงานระยะไกล และอุปกรณ์มือถือได้ละลายเส้นขอบเครือข่ายออกไป พนักงานเข้าถึงข้อมูลที่ละเอียดอ่อนจากแล็ปท็อปส่วนตัวที่คาเฟ่ ผู้ขายบุคคลที่สามเชื่อมต่อโดยตรงกับระบบภายใน ผู้โจมตีที่ปลายทางเดียวสามารถย้ายข้างไปทั่วองค์การทั้งหมด

ความปลอดภัยไซเบอร์แบบศูนย์การไว้วางใจแก้ไขปัญหานี้โดยตรง แทนที่จะสมมติว่าสิ่งใดภายในเครือข่ายปลอดภัย ศูนย์การไว้วางใจถือว่าคำขออนุญาตการเข้าถึงทุกรายการมีความอันตรายโดยที่ผู้ใช้ อุปกรณ์ และการเชื่อมต่อต้องพิสูจน์ความชอบธรรมของพวกเขาก่อนได้รับสิทธิ์ในการเข้าถึงทรัพยากร สำหรับการมองแบบกว้างขึ้นเกี่ยวกับภูมิประเทศภัยคุกคาม โปรดดู ศูนย์ความปลอดภัยไซเบอร์ ของเรา

NIST Special Publication 800-207[1] เป็นกรอบงานของรัฐบาลกลางที่ครอบคลุมสำหรับการใช้งานสถาปัตยกรรมศูนย์การไว้วางใจ ครอบคลุมโมเดลการควบคุมการเข้าถึง รูปแบบการปรับใช้ และอัลกอริทึมการไว้วางใจอย่างละเอียด เผยแพร่โดยสถาบันแห่งชาติเพื่อมาตรฐานและเทคโนโลยี มันทำหน้าที่เป็นรากฐานที่องค์การส่วนใหญ่ใช้เมื่อวางแผนกลยุทธ์ศูนย์การไว้วางใจของพวกเขา

ศูนย์การไว้วางใจไม่ใช่ผลิตภัณฑ์เดียวที่คุณสามารถซื้อได้ มันเป็นโมเดลความปลอดภัย ปรัชญา และวิธีการสถาปัตยกรรมที่เปลี่ยนรูปวิธีการที่องค์การคิดเกี่ยวกับการเข้าถึงและการไว้วางใจในทุกระดับ

หลักการศูนย์การไว้วางใจหลัก

ตารางต่อไปนี้สรุปหกหลักการพื้นฐานที่ขับเคลื่อนสถาปัตยกรรมศูนย์การไว้วางใจทั้งหมด

หลักการศูนย์การไว้วางใจ	ความหมายในทางปฏิบัติ
ยืนยันอย่างชัดเจน	รับรองความถูกต้องของผู้ใช้ อุปกรณ์ และคำขออนุญาตทุกรายการ — ทุกครั้ง ไม่ใช่แค่เมื่อเข้าสู่ระบบ
การเข้าถึงสิทธิน้อยที่สุด	ให้สิทธิ์เพียงแต่ที่จำเป็นสำหรับงานเฉพาะเท่านั้น ไม่มีสิ่งอื่น
สมมติว่าเกิดการละเมิด	ออกแบบระบบราวกับว่าผู้โจมตีอยู่ข้างในแล้ว จำกัดรัศมีการระเบิด
การแบ่งส่วนเครือข่าย	แบ่งเครือข่ายเพื่อให้โซนที่เสียหายหนึ่งไม่สามารถแพร่ระบาดไปข้างหนึ่ง
การรับรองความถูกต้องหลายปัจจัย	ต้องการปัจจัยที่สองนอกเหนือจากรหัสผ่านสำหรับจุดเข้าถึงทั้งหมด
การตรวจสอบอย่างต่อเนื่อง	บันทึกและวิเคราะห์กิจกรรมทั้งหมดแบบเรียลไทม์เพื่อจับความผิดปกติในช่วงแรก

แต่ละหลักการเสริมสร้างกันและกัน การเข้าถึงสิทธิน้อยที่สุดจำกัดว่าบัญชีที่ถูกบุกรุกสามารถเข้าถึงได้ การแบ่งส่วนจำกัดความเสียหายหากผู้โจมตีแม้แต่ยืนยันการรับรองความถูกต้อง การตรวจสอบอย่างต่อเนื่องตรวจจับพฤติกรรมที่ผิดปกติที่กฎที่คงที่จะพลาด ร่วมกัน หลักการเหล่านี้สร้างชั้นการป้องกันที่ทับซ้อนกันแทนที่จะเป็นผลิตภัณฑ์หรือการตั้งค่าเดียว

องค์ประกอบสถาปัตยกรรมศูนย์การไว้วางใจ

สถาปัตยกรรมศูนย์การไว้วางใจอาศัยองค์ประกอบต่าง ๆ ที่เชื่อมต่อกันทำงานร่วมกัน การทำความเข้าใจแต่ละส่วนช่วยให้องค์การวางแผนการปรับใช้ที่สมจริง

การจัดการข้อมูลประจำตัวและการเข้าถึง (IAM)

IAM เป็นพื้นฐานของศูนย์การไว้วางใจ โซลูชันเช่น Microsoft Entra ID (เดิมชื่อ Azure AD) Okta และ Ping Identity ยืนยันข้อมูลประจำตัวของผู้ใช้ก่อนให้สิทธิ์ในการเข้าถึงทรัพยากร คำขออนุญาตการเข้าถึงทุกรายการผ่านชั้น IAM ซึ่งประเมินข้อมูลประจำตัว บทบาท และบริบทก่อนการตัดสินใจอนุญาตหรือปฏิเสธ การปฏิบัติอย่างดี ในการจัดการข้อมูลประจำตัวและการเข้าถึง ยังช่วยป้องกันการเก็บข้อมูลประจำตัวและการโจมตีการเข้าแบบบัญชี

การรับรองความถูกต้องหลายปัจจัย (MFA)

MFA ต้องให้ผู้ใช้พิสูจน์ข้อมูลประจำตัวของพวกเขาผ่านปัจจัยที่แยกจากกันอย่างน้อยสองตัว: สิ่งที่พวกเขารู้ (รหัสผ่าน) สิ่งที่พวกเขามี (โทเค็นฮาร์ดแวร์หรือโทรศัพท์) หรือสิ่งที่พวกเขาเป็น (ไบโอเมตริก) Microsoft รายงานว่า MFA ปิดกั้น 99.9% ของการโจมตีการบุกรุกบัญชีอัตโนมัติ MFA เป็นสิ่งที่ไม่อาจปฏิเสธได้ในการปรับใช้ศูนย์การไว้วางใจใด ๆ

การแบ่งส่วนเล็ก ๆ

แทนที่จะถือว่าเครือข่ายเป็นเขตที่เชื่อถือได้เดียว การแบ่งส่วนเล็ก ๆ แบ่งมันออกเป็นส่วนขนาดเล็กที่แยกออก แต่ละส่วนบังคับใช้นโยบายการเข้าถึงของตัวเอง หากผู้โจมตีถูกบุกรุกหนึ่งส่วน พวกเขาไม่สามารถย้ายไปยังส่วนอื่นได้ เครื่องมือเช่น VMware NSX Illumio และ Cisco ACI เปิดใช้งานการแบ่งส่วนเล็ก ๆ ในขนาด

การตรวจจับและตอบสนองจุดสิ้นสุด (EDR)

ศูนย์การไว้วางใจต้องมีความมองเห็นไปยังทุกอุปกรณ์ที่เชื่อมต่อกับเครือข่าย โซลูชัน EDR เช่น CrowdStrike Falcon SentinelOne และ Microsoft Defender for Endpoint ติดตามสุขภาพของอุปกรณ์อย่างต่อเนื่อง ตรวจจับพฤติกรรมที่เป็นอันตราย และบังคับใช้นโยบายการเป็นไปตามข้อบัญญัติ อุปกรณ์ที่ตกล้มหลังจากการปฏิบัติตามข้อบัญญัติ (ระบบปฏิบัติการที่ล้าสมัย แพตช์ที่หายไป) สามารถถูกปิดกั้นโดยอัตโนมัติจากการเข้าถึงทรัพยากรที่ละเอียดอ่อน

การจัดการข้อมูลและเหตุการณ์ความปลอดภัย (SIEM)

แพลตฟอร์ม SIEM รวบรวมบันทึกจากทั่วทั้งสภาพแวดล้อมและใช้การวิเคราะห์เพื่อตรวจจับความผิดปกติ โซลูชันเช่น Splunk Microsoft Sentinel และ IBM QRadar ให้การตรวจสอบอย่างต่อเนื่องที่ศูนย์การไว้วางใจต้องการ การแจ้งเตือนแบบเรียลไทม์และการเล่นบทการตอบสนองโดยอัตโนมัติช่วยให้ทีมความปลอดภัยสามารถดำเนินการภัยคุกคามภายในนาทีแทนวัน

เครื่องมือนโยบายและผู้บริหารนโยบาย

ที่หัวใจของสถาปัตยกรรมศูนย์การไว้วางใจนั่งเครื่องมือนโยบาย องค์ประกอบนี้ประเมินคำขออนุญาตการเข้าถึงทุกรายการเทียบกับนโยบายที่กำหนด (บทบาทผู้ใช้ สุขภาพของอุปกรณ์ ตำแหน่ง เวลาของวัน คะแนนความเสี่ยง) และทำการตัดสินใจความไว้วางใจแบบเรียลไทม์ ผู้บริหารนโยบายจึงบังคับใช้การตัดสินใจนั้นโดยสั่งให้จุดบังคับใช้ที่เหมาะสมอนุญาตหรือปิดกั้นการเชื่อมต่อ

ศูนย์การไว้วางใจเทียบกับความปลอดภัยเส้นขอบดั้งเดิม

การทำความเข้าใจความแตกต่างระหว่างศูนย์การไว้วางใจและวิธีการเก่าชี้แจงว่าเหตุใดองค์การจึงกำลังเปลี่ยน

ปัจจัย	ความปลอดภัยเส้นขอบดั้งเดิม	ความปลอดภัยศูนย์การไว้วางใจ
โมเดลการไว้วางใจ	ไว้วางใจทุกอย่างภายในเครือข่าย	ไม่ไว้วางใจสิ่งใด ยืนยันทุกอย่าง
ขอบเขตการเข้าถึง	การเข้าถึงเครือข่ายแบบกว้างหลังจากการรับรองความถูกต้อง	การเข้าถึงต่อแอปพลิเคชันแบบละเอียด
ความถี่การยืนยัน	ครั้งหนึ่งเมื่อเข้าสู่ระบบ	ต่อเนื่อง คำขออนุญาตทุกรายการ
ความเสี่ยงการเคลื่อนไหวข้างหนึ่ง	สูง — ผู้โจมตีเคลื่อนไหวได้อย่างอิสระเมื่ออยู่ข้างใน	ต่ำ — การแบ่งส่วนจำกัดการละเมิด
การสนับสนุนการทำงานระยะไกล	ต้องการการเชื่อมอุโมงค์ VPN ทั้งหมดของการจราจร	การสนับสนุนแบบดั้งเดิมสำหรับการเข้าถึงแบบกระจาย
การมองเห็น	การตรวจสอบจราจรภายในที่จำกัด	การมองเห็นแบบเต็มข้ามการเชื่อมต่อทั้งหมด

ต่างจากวิธีการ VPN แบบดั้งเดิมที่ให้สิทธิ์การเข้าถึงเครือข่ายแบบกว้างเมื่อเชื่อมต่อ ศูนย์การไว้วางใจในการเข้าถึงเครือข่าย (ZTNA) ให้สิทธิ์ในการเข้าถึงเฉพาะแอปพลิเคชันที่บทบาทของผู้ใช้ต้องการ องค์การที่ยังคงอาศัย VPN ที่มุ่งเน้นความเป็นส่วนตัว สำหรับการเข้ารหัสสามารถวางชั้น ZTNA ไว้ด้านบนเพื่อควบคุมสิ่งที่ผู้ใช้แต่ละคนสามารถเข้าถึงได้จริง VPN จัดการอุโมงค์ที่เข้ารหัส ศูนย์การไว้วางใจจัดการการอนุญาตและการยืนยันต่อเนื่อง

วิธีการใช้งานสถาปัตยกรรมศูนย์การไว้วางใจ

การใช้งานศูนย์การไว้วางใจไม่ใช่โครงการของคืน องค์การส่วนใหญ่นำมาใช้ในเฟสกว่า 12 ถึง 24 เดือน นี่คือวิธีการเชิงปฏิบัติแบบทีละขั้นตอน

ขั้นตอนที่ 1: จับคู่พื้นผิวการป้องกันของคุณ

ระบุข้อมูล แอปพลิเคชัน สินทรัพย์ และบริการที่สำคัญที่สุดของคุณ (DAAS) ต่างจากพื้นผิวการโจมตีซึ่งกว้างใหญ่และขยายอย่างต่อเนื่อง พื้นผิวการป้องกันมีขนาดเล็กและกำหนดไว้อย่างชัดเจน เริ่มที่นี่

ขั้นตอนที่ 2: จับคู่การไหลของธุรกรรม

บันทึกวิธีการเคลื่อนไหวของการจราจรข้ามเครือข่ายของคุณ เข้าใจว่าผู้ใช้ที่ใดเข้าถึงแอปพลิเคชันใด จากอุปกรณ์ใด และผ่านเส้นทางใด คุณไม่สามารถบังคับใช้นโยบายกับการไหลที่คุณไม่เข้าใจได้

ขั้นตอนที่ 3: สร้างสถาปัตยกรรมรอบพื้นผิวการป้องกัน

ปรับใช้ไฟร์วอลล์เจนเนอเรชันถัดไป โซลูชัน IAM และเครื่องมือการแบ่งส่วนเล็ก ๆ รอบพื้นผิวการป้องกันของคุณ วางเครื่องมือนโยบายไว้ที่ใจกลางของการตัดสินใจการเข้าถึงทุกอย่าง NIST SP 800-207 บ้านสามโมเดลการปรับใช้: ตัวแทนอุปกรณ์/เกตเวย์ แบบ enclave และแบบ resource portal ปิดสิ่งที่เหมาะสมกับโครงสร้างพื้นฐานที่มีอยู่ของคุณ

ขั้นตอนที่ 4: สร้างนโยบายการเข้าถึงแบบละเอียด

กำหนดนโยบายการเข้าถึงแบบละเอียดโดยใช้วิธีการ Kipling: ใครขออนุญาตการเข้าถึง? แอปพลิเคชันใดที่พวกเขาเข้าถึง? เมื่อไร? พวกเขาตั้งอยู่ที่ไหน? ทำไมพวกเขาถึงต้องการการเข้าถึง? พวกเขากำลังเชื่อมต่อได้อย่างไร? คำถามหกข้อนี้สร้างพื้นฐานของกฎนโยบายทุกข้อ

ขั้นตอนที่ 5: ปรับใช้การรับรองความถูกต้องหลายปัจจัยทั่วทั้งหมด

ปรับใช้ MFA ข้ามจุดเข้าถึงทั้งหมด จัดลำดับความสำคัญบัญชีที่มีสิทธิ์ จากนั้นขยายไปยังผู้ใช้ทั้งหมด คีย์ความปลอดภัยฮาร์ดแวร์ (YubiKey Google Titan) ให้การป้องกันที่แข็งแกร่งที่สุดต่อการหลอมลวงอีเมล

ขั้นตอนที่ 6: เปิดใช้งานการตรวจสอบและการวิเคราะห์อย่างต่อเนื่อง

ปรับใช้แพลตฟอร์ม SIEM และ EDR เพื่อตรวจสอบการจราจรทั้งหมดแบบเรียลไทม์ สร้างเบสไลน์สำหรับพฤติกรรมปกติเพื่อให้ความผิดปกติทำให้เกิดการแจ้งเตือนทันที ทำให้การเล่นบทการตอบสนองโดยอัตโนมัติสำหรับรูปแบบภัยคุกคามทั่วไป

ขั้นตอนที่ 7: ย้อนกลับและขยาย

เริ่มต้นด้วยสินทรัพย์ที่ละเอียดอ่อนที่สุดของคุณและขยายการควบคุมศูนย์การไว้วางใจออกไป เฟสแต่ละเฟสควรรวมการทดสอบ การตรวจสอบ และการปรับแต่งนโยบาย ศูนย์การไว้วางใจไม่ใช่จุดหมายปลายทาง มันเป็นกระบวนการปรับปรุงอย่างต่อเนื่อง

กรณีการใช้งานศูนย์การไว้วางใจทั่วไป

กำลังบัญชีงาน และการทำงานแบบไฮบริด

องค์การที่มีพนักงานทำงานจากบ้าน พื้นที่ทำงานร่วม หรือสถานที่ของไคลเอ็นต์ได้รับประโยชน์ทันทีจากศูนย์การไว้วางใจ แทนที่จะส่งการจราจรทั้งหมดผ่าน VPN ศูนย์ โซลูชันเช่นปิด ZTNA ยืนยันผู้ใช้และอุปกรณ์แต่ละรายการโดยอิสระ ซึ่งช่วยลดเวลาแฝง และปรับปรุงความปลอดภัยในเวลาเดียวกัน

องค์การที่เน้นคลาวด์

บริษัทที่ทำงานเคลื่อนไหวข้ามผ่าน AWS Azure และ Google Cloud ต้องการการควบคุมการเข้าถึงที่สม่ำเสมอที่ขยายปกติสภาพแวดล้อม ศูนย์นโยบายการไว้วางใจตามผู้ใช้และการทำงาน ไม่ใช่ขอบเขตเครือข่าย

อุตสาหกรรมที่มีการควบคุม

องค์การสุขภาพภายใต้ HIPAA สถาบันการเงินที่ควบคุมโดย PCI DSS และ SOX และหน่วยงานรัฐบาลที่ปฏิบัติตาม FedRAMP ทั้งหมดต้องการการควบคุมการเข้าถึงที่เข้มงวดและการติดตามแนบ ศูนย์การไว้วางใจให้ทั้งสองอย่างโดยการออกแบบ

การเข้าถึงบุคคลที่สามและผู้รับเหมา

ผู้ขายและผู้รับเหมามักจำเป็นต้องเข้าถึงระบบภายในเฉพาะ ศูนย์การไว้วางใจให้สิทธิ์ในการเข้าถึงเฉพาะทรัพยากรที่พวกเขาต้องการเท่านั้น สำหรับระยะเวลาที่พวกเขาต้องการเพียงอย่างเดียวเท่านั้น พร้อมการบันทึกเต็มของการกระทำทุกอย่าง

การควบรวมกิจการและการแยกตัวบริษัท

เมื่อสององค์การควบรวมกิจการ การรวมเครือข่ายของพวกเขาแนะนำความเสี่ยงที่มีนัยสำคัญ ศูนย์การไว้วางใจช่วยให้สภาพแวดล้อมแต่ละแห่งเก็บการควบคุมการเข้าถึงอิสระโดยให้สิทธิ์การเข้าถึงข้ามองค์การแบบคัดสรร บนพื้นฐานต่อแอปพลิเคชัน

ศูนย์การไว้วางใจเหมาะสำหรับองค์การของคุณหรือไม่

ความปลอดภัยไซเบอร์แบบศูนย์การไว้วางใจไม่ใช่แนวโน้มชั่วคราว มันเป็นการเปลี่ยนแปลงพื้นฐานในวิธีการที่องค์การปกป้องข้อมูล แอปพลิเคชัน และผู้ใช้ของพวกเขา โมเดลตามเส้นขอบเก่าสมมติว่าภัยคุกคามอยู่นอกผนัง วันนี้ ด้วยคลาวด์คอมพิวติ้ง การทำงานระยะไกล และการโจมตีที่เหลือเชื่อมากขึ้นเช่น การขโมยข้อมูลประจำตัว และการเก็บข้อมูลประจำตัว สมมติฐานนั้นทำให้องค์การเสี่ยง

การนำศูนย์การไว้วางใจมาใช้หมายถึงการมุ่งมั่นในการยืนยันต่อเนื่อง การเข้าถึงสิทธิน้อยที่สุด การแบ่งส่วนเครือข่าย การรับรองความถูกต้องหลายปัจจัย และการตรวจสอบแบบเรียลไทม์ มันต้องใช้การลงทุนในเทคโนโลยีและความเต็มใจที่จะคิดใหม่เกี่ยวกับวิธีการที่องค์การของคุณให้สิทธิ์และจัดการการเข้าถึง

ประโยชน์นั้นมีนัยสำคัญ: ลดความเสี่ยงของการละเมิด ท่านท้องฐานการปฏิบัติตามข้อบัญญัติที่แข็งแกร่งขึ้น การมองเห็นกิจกรรมเครือข่ายที่ดีกว่า และโมเดลความปลอดภัยที่ปรับขนาดกับองค์การของคุณ

เริ่มต้นด้วยสินทรัพย์ที่สำคัญที่สุดของคุณ จับคู่การไหลของการจราจร ปรับใช้ MFA และ IAM แบ่งส่วนเครือข่ายของคุณ ตรวจสอบทุกอย่าง ทุกขั้นตอนไปข้างหน้าลดการเปิดแสงของคุณต่อภัยคุกคามที่สำคัญที่สุด

References

1. NIST Special Publication 800-207

ทรัพยากรสำหรับหน้านี้

แผนภูมิและภาพอ้างอิงจากการทดสอบของเรา เปิดดูและแชร์ได้ฟรี

• 

• Zero Trust Cyber Security: Principles & ImplementationPDF · 1.2 MB

คำถามที่พบบ่อย

ทั้งหมดวิธีการทำงานการขู่เข็ญการป้องกันเครื่องมือแนวปฏิบัติที่ดี

ความปลอดภัยไซเบอร์แบบศูนย์การไว้วางใจในแง่ง่าย ๆ คืออะไร

ศูนย์การไว้วางใจหมายความว่าผู้ใช้ อุปกรณ์ หรือการเชื่อมต่อไม่ได้ได้รับการไว้วางใจโดยค่าเริ่มต้น แม้แต่ภายในเครือข่ายองค์การ คำขออนุญาตการเข้าถึงทุกรายการได้รับการยืนยันอย่างชัดเจน ให้สิทธิ์เพียงแต่สิทธิน้อยที่สุดที่จำเป็น และติดตามอย่างต่อเนื่อง มันแทนที่โมเดลที่เก่ากว่า “ไว้วางใจทุกอย่างภายในเส้นขอบ” ซึ่งล้มเหลวเมื่อคลาวด์คอมพิวติ้งและการทำงานระยะไกลละลายเส้นขอบนั้น NIST SP 800-207 เป็นกรอบงานของรัฐบาลกลางที่ครอบคลุมสำหรับการใช้งาน

หกหลักการหลักของศูนย์การไว้วางใจคืออะไร

หกหลักการคือยืนยันอย่างชัดเจน การเข้าถึงสิทธิน้อยที่สุด สมมติว่าเกิดการละเมิด การแบ่งส่วนเครือข่าย การรับรองความถูกต้องหลายปัจจัย และการตรวจสอบอย่างต่อเนื่อง แต่ละหลักการเสริมสร้างกันและกัน: การเข้าถึงสิทธิน้อยที่สุดจำกัดสิ่งที่บัญชีที่ถูกบุกรุกสามารถเข้าถึงได้ การแบ่งส่วนจำกัดการแพร่ระบาดข้างหนึ่ง และการตรวจสอบอย่างต่อเนื่องจับความผิดปกติที่กฎที่คงที่พลาด ร่วมกัน พวกเขาสร้างชั้นการป้องกันที่ทับซ้อนกันแทนที่จะเป็นผลิตภัณฑ์หรือการตั้งค่าเดียว

ภัยคุกคามใดที่ศูนย์การไว้วางใจป้องกันซึ่ง VPN ดั้งเดิมไม่ป้องกัน

VPN ดั้งเดิมเข้ารหัสอุโมงค์ แต่ให้สิทธิ์การเข้าถึงเครือข่ายแบบกว้างเมื่อเชื่อมต่อ ดังนั้นผู้โจมตีที่ขโมยข้อมูลประจำตัวหนึ่งสามารถย้ายข้างไปทั่วเครือข่าย ศูนย์การไว้วางใจในการเข้าถึงเครือข่าย (ZTNA) ให้สิทธิ์ในการเข้าถึงเฉพาะแอปพลิเคชันที่บทบาทของผู้ใช้ต้องการ พร้อมการยืนยันคำขออนุญาตทุกรายการ ซึ่งโดยตรงจำกัดการเคลื่อนไหวข้างหนึ่ง การเก็บข้อมูลประจำตัว และการโจมตีการเข้าแบบบัญชี ซึ่งการป้องกันเฉพาะเส้นขอบพลาด

ศูนย์การไว้วางใจจำกัดการเคลื่อนไหวข้างหนึ่งหลังจากการละเมิดได้อย่างไร

ศูนย์การไว้วางใจสมมติว่าผู้โจมตีอยู่ข้างในแล้วและออกแบบรอบวิธีนั้น การแบ่งส่วนเล็ก ๆ แบ่งเครือข่ายออกเป็นส่วนที่แยกออก ดังนั้นการถูกบุกรุกหนึ่งส่วนไม่ให้สิทธิ์การเข้าถึงส่วนอื่น ๆ โดยใช้เครื่องมือเช่น VMware NSX Illumio หรือ Cisco ACI ร่วมกับการเข้าถึงสิทธิน้อยที่สุดและการตรวจสอบอย่างต่อเนื่องผ่านแพลตฟอร์ม SIEM สิ่งนี้ย่อแรศมีการระเบิดของบัญชีหรือจุดสิ้นสุดที่ถูกบุกรุกใดส่วนหนึ่ง

ศูนย์การไว้วางใจในการเข้าถึงเครือข่าย (ZTNA) คืออะไร และมันแตกต่างจาก VPN อย่างไร

ZTNA ให้สิทธิ์ในการเข้าถึงเฉพาะแอปพลิเคชันที่บทบาทของผู้ใช้ต้องการ แทนที่จะเป็นการเข้าถึงเครือข่ายแบบกว้างที่อุโมงค์ VPN ให้เมื่อเชื่อมต่อ องค์การสามารถวางชั้น ZTNA ไว้ด้านบนของ VPN ที่มุ่งเน้นความเป็นส่วนตัวที่มีอยู่: VPN จัดการอุโมงค์ที่เข้ารหัส ในขณะที่ศูนย์การไว้วางใจจัดการการอนุญาตและการยืนยันต่อเนื่องต่อคำขออนุญาตแต่ละรายการ ปิดช่องว่างที่การเข้าถึงเฉพาะ VPN เหลือไว้

ศูนย์การไว้วางใจแทนที่ MFA หรือทำงานร่วมกับมัน

MFA เป็นองค์ประกอบที่จำเป็นของศูนย์การไว้วางใจ ไม่ใช่การแทนที่มัน Microsoft รายงานว่า MFA ปิดกั้น 99.9% ของการโจมตีการเข้าแบบบัญชีอัตโนมัติ ซึ่งทำให้มันไม่อาจปฏิเสธได้ข้ามจุดเข้าถึงทั้งหมด การปรับใช้ศูนย์การไว้วางใจปรับใช้ MFA เริ่มต้นด้วยบัญชีที่มีสิทธิ์ จากนั้นขยายไปยังผู้ใช้ทั้งหมด บ่อยครั้งโดยใช้คีย์ความปลอดภัยฮาร์ดแวร์เช่น YubiKey หรือ Google Titan เพื่อปกป้องการหลอมลวงอีเมลที่แข็งแกร่งกว่า

เครื่องมือใดที่ใช้จริงเพื่อสร้างสถาปัตยกรรมศูนย์การไว้วางใจ

สแต็กเต็มขยายข้ามข้อมูลประจำตัว จุดสิ้นสุด เครือข่าย และการตรวจสอบ IAM มาจาก Microsoft Entra ID Okta หรือ Ping Identity EDR มาจาก CrowdStrike Falcon SentinelOne หรือ Microsoft Defender for Endpoint การแบ่งส่วนเล็ก ๆ ใช้ VMware NSX Illumio หรือ Cisco ACI แพลตฟอร์ม SIEM เช่น Splunk Microsoft Sentinel หรือ IBM QRadar ให้การตรวจสอบอย่างต่อเนื่องที่โมเดลต้องการ

เครื่องมือนโยบายคืออะไร และเหตุใดมันจึงเป็นศูนย์กลางของศูนย์การไว้วางใจ

เครื่องมือนโยบายนั่งที่หัวใจของสถาปัตยกรรมศูนย์การไว้วางใจ ประเมินคำขออนุญาตการเข้าถึงทุกรายการเทียบกับปัจจัยเช่นบทบาทผู้ใช้ สุขภาพของอุปกรณ์ ตำแหน่ง เวลาของวัน และคะแนนความเสี่ยงเพื่อทำการตัดสินใจการอนุญาตหรือปฏิเสธแบบเรียลไทม์ ผู้บริหารนโยบายจึงบังคับใช้การตัดสินใจนั้นโดยสั่งให้จุดบังคับใช้ NIST SP 800-207 บ้านสิ่งนี้เป็นองค์ประกอบการตัดสินใจหลักของโมเดล

ฉันจะเริ่มใช้งานศูนย์การไว้วางใจได้อย่างไรโดยไม่ทำให้การดำเนินการหยุดชะงัก

เริ่มต้นโดยจับคู่พื้นผิวการป้องกันของคุณ ชุดเล็ก ๆ ของข้อมูล แอปพลิเคชัน สินทรัพย์ และบริการที่สำคัญแทนที่จะเป็นพื้นผิวการโจมตีทั้งหมด จากนั้นบันทึกการไหลของธุรกรรมเพื่อเข้าใจว่าผู้ใช้เข้าถึงแอปพลิเคชันใดจากที่ใด NIST SP 800-207 บ้านสามโมเดลการปรับใช้ ตัวแทนอุปกรณ์/เกตเวย์ แบบ enclave และ resource portal เพื่อให้คุณสามารถเลือกหนึ่งที่ตรงกับโครงสร้างพื้นฐานที่มีอยู่ของคุณก่อนสร้างออก

วิธีการ Kipling สำหรับตั้งนโยบายการเข้าถึงศูนย์การไว้วางใจคืออะไร

วิธีการ Kipling สร้างนโยบายการเข้าถึงแบบละเอียดรอบคำถามหกข้อ: ใครขออนุญาตการเข้าถึง แอปพลิเคชันใดที่พวกเขากำลังเข้าถึง เมื่อไร ที่ไหน พวกเขาตั้งอยู่ ทำไมพวกเขาถึงต้องการการเข้าถึง และวิธีการเชื่อมต่อ คำถามหกข้อนี้สร้างพื้นฐานของกฎนโยบายทุกข้อที่บังคับใช้โดยเครื่องมือนโยบาย แทนการเข้าถึงเครือข่ายแบบกว้างตามบทบาทด้วยการตัดสินใจตามบริบทต่อคำขออนุญาต

การปรับใช้ศูนย์การไว้วางใจแบบเต็มรูปแบบจริง ๆ ใช้เวลานานแค่ไหน

องค์การส่วนใหญ่นำศูนย์การไว้วางใจมาใช้ในเฟสกว่า 12 ถึง 24 เดือนแทนที่จะเป็นโครงการเดียว ลำดับการทำงานคือ: จับคู่พื้นผิวการป้องกัน บันทึกการไหลของธุรกรรม สร้างสถาปัตยกรรมรอบมัน สร้างนโยบายแบบละเอียดผ่านวิธีการ Kipling ปรับใช้ MFA ทั่วทั้ง เปิดใช้งานการตรวจสอบ SIEM และ EDR จากนั้นย้อนกลับ เฟสแต่ละเฟสรวมการทดสอบและการปรับแต่งนโยบายก่อนขยายไปยังกลุ่มสินทรัพย์ถัดไป

ศูนย์การไว้วางใจจำเป็นสำหรับอุตสาหกรรมที่ควบคุมเช่นสุขภาพหรือการเงิน

ใช่ องค์การสุขภาพภายใต้ HIPAA สถาบันการเงินที่ควบคุมโดย PCI DSS และ SOX และหน่วยงานรัฐบาลที่ปฏิบัติตาม FedRAMP ทั้งหมดต้องการการควบคุมการเข้าถึงที่เข้มงวดและการติดตามแนบแบบเต็ม ศูนย์การไว้วางใจให้ทั้งสองอย่างโดยการออกแบบผ่านการยืนยันต่อเนื่องและการบันทึกต่อแอปพลิเคชัน ผู้ขายบุคคลที่สามและผู้รับเหมายังได้รับการเข้าถึงจำกัดเฉพาะทรัพยากรเฉพาะและระยะเวลาที่พวกเขาต้องการ

จะเกิดอะไรขึ้นหากอุปกรณ์ล้มเหลวการตรวจสอบการปฏิบัติตามข้อบัญญัติภายใต้ศูนย์การไว้วางใจ

โซลูชัน EDR เช่น CrowdStrike Falcon SentinelOne หรือ Microsoft Defender for Endpoint ติดตามสุขภาพของอุปกรณ์อย่างต่อเนื่อง และอุปกรณ์ที่ตกล้มหลังจากการปฏิบัติตามข้อบัญญัติ เช่นการทำงานระบบปฏิบัติการที่ล้าสมัยหรือแพตช์ที่หายไป สามารถถูกปิดกั้นโดยอัตโนมัติจากการเข้าถึงทรัพยากรที่ละเอียดอ่อน การบังคับใช้นี้เกิดขึ้นที่เครื่องมือนโยบาย ซึ่งประเมินสุขภาพของอุปกรณ์อีกครั้งเป็นปัจจัยหนึ่งในการตัดสินใจทุก ๆ คำขออนุญาต ไม่ใช่แค่ครั้งเดียวเมื่อเข้าสู่ระบบ