Zero Trust اشاره به مفاهیم امنیتی دارد که فرض بر این است که کاربران، سیستم‌ها و سرویس‌ها بصورت پیش فرض مورد اعتماد نیستند و می‌بایست در هر مرحله تمام کاربران بیرون یا داخل شبکه برای دسترسی به منابع سازمانی احراز هویت شوند.
۱. معرفی:
دلیل ایجاد مفهوم Zero Trust افزایش میزان رخدادهای امنیتی است و به دلیل دسترسی کاربران از سیستم های مختلف، نمی‌توان خط مشی‌های شفافی را از بیرون سازمان در تجهیزات امنیتی اعمال نمود. در روش سنتی بصورت پیش فرض کاربران داخل سازمان مورد اعتماد هستند. مهم‌ترین مشکل این روش هنگامی است که مهاجم بتواند به طریقی به داخل سازمان در هر سطحی نفوذ کند. سپس می‌تواند دسترسی خود را گسترش دهد و به منابع مهم سازمان دسترسی پیدا کند. مفهوم Zero Trust بعد از حادثه Operation Aurora اتفاق افتاد. Operation Aurora مجموعه حملات سایبری است که توسط APT مانند گروه Elderwood در بیجینگ چین اجرا شده است. این گروه وابسته به PLA(People’s Liberation Army) است. جزئیات این حادثه در سال ۲۰۱۰ توسط گوگل در پستی در وبلاگ خود در مورد رویداد توضیح داده شد. این حملات از اواسط سال ۲۰۰۹ تا دسامبر ۲۰۰۹ ادامه یافت. چند سال بعد گوگل اعلام کرد که مفهوم Zero Trust را در شبکه خود پیاده‌سازی کرده است. عملکرد گوگل منجر به گسترش استفاده از تکنولوژی Zero Trust شد.
مفهوم Zero Trust با اصل حداقل دسترسی، منجر به محو شدن عناصر فیزیکی شبکه در محل شده است. شرکت‌ها علاقمند هستند که کارکنان در حالت دورکاری بدون ضرردهی و با بازدهی بیشتری کار کنند. این مفهموم منجر به محو شدن VPN شد و این امکان را فراهم ساخت که هر فرد و دستگاهی مستقیماً با منابع مورد نظر ارتباط از راه دور امن برقرار کند.
۲. Zero Trust چیست:
معمولاً زیرساخت شرکت‌ها بعد از توسعه‌های متناوب پیچیده می‌شوند. در یک شرکت چندین شبکه داخلی، کارمندان دورکار، تجهیزاتی مانند موبایل و لپ‌تاپ که به منابع شرکت متصل می‌شوند و سرویس‌های ابری وجود دارد که برای هر کدام زیرساخت توسعه داده می‌شود. زمانی که سازمانی بعد از یک دوره توسعه، پیچیدگی شبکه افزایش پیدا کرد، دیگر نمی‌تواند از روش‌های قدیمی برای محافظت از آن استفاده کنند. همچنین اگر یک مهاجم با استفاده از یک آسیب‌پذیری بتواند وارد سیستم شود، به راحتی می‌تواند کل سیستم را تحت تأثیر قرار دهد.
برای حل این مشکل روش جدید امنیتی برای اولین بار نام Zero Trust(ZT) توسط آنالیزور شرکت Forrester Research Inc در سال ۲۰۱۰ زمانی که این مفهوم ارائه می‌کرد، معرفی شد. در مدل این روش مهاجم در داخل و بیرون شبکه سازمان وجود دارد. ولی در روش سنتی فرض بر این بود که مهاجم فقط از طریق اینترنت و خارج از شبکه داخلی سازمان به سرویس و خدمات سازمان دسترسی دارد.
۲.۱ الگوی Zero Trust:
در الگوی Zero Trust سازمان به هیچ موردی اعتماد کامل ندارد و مداوما در حال بررسی منابع شبکه و کاربران است. در صورت مشاهده هرگونه خطر احتمالی، عملیات محدود سازی برای کاهش خطر را اجرا می‌کند. برای مثال، برای اینکه خطری از جانب کاربر برای سازمان وجود نداشته باشد، سازمان حداقل دسترسی مورد نیاز کاربر را فراهم می‌کند و تمام منابعی که مورد نیاز کاربر نیست را از دسترس خارج می‌کند. همچنین مرتبا فرایند احرازهویت و اعتبار سنجی انجام می‌شود.
شبکه سازمان به بخش های کوچکتر تقسیم شده و روش‌های متفاوتی برای دسترسی به منابع هر بخش در نظر گرفته می‌شود. احراز هویت چند فاکتوری و بررسی اصالت تجهیزاتی که درخواست دسترسی به منابع سازمان را دارند یکی دیگر از مفاهیم اصلی در ZT است. چرخه فعالیت در پیاده سازی منطق ZT در شبکه سازمان شامل موارد زیر میباشد:
- مشخص ساختن بخش‌هایی از سازمان که نیازمند محافظت هستند
- شفاف سازی چرخه تراکنش‌های انجام شده در شبکه
- طراحی معماری ZT بر اساس نیازمندی‌های سازمان
- ایجاد خط مشی‌های حداقل اعتماد
- پایش و نگهداری مستمر سیستم
۳. معماری Zero Trust:
Zero Trust Architecture یا ZTA معماری امنیت سایبری برای شرکت‌ها و براساس مفاهیم اعتماد صفر است. این معماری، سازمان را در مقابل نشت اطلاعات محافظت می‌نماید و حرکات مشکوک در داخل شبکه را محدود می‌کند. ZTA به ابزار یا تجهیزات خاص گفته نمی‌شود. ZTA نوعی نگرش است که داری چندین بخش منطقی است. این بخش‌ها به شکل لوکال و یا سرویس ابری پیاده سازی می‌شوند. مدلی مفهوم فریم‌ورک ZTA در شکل یک آمده است. شکل یک ارتباط منطقی عناصر و ارتباطات بین قسمت‌های مختلف را نشان می‌دهد. در شکل یک، نقطه تصمیم گیری سیاست (Policy Decision Point or PDP) دارای دو قسمت منطقی است. این دو قسمت شامل موتور سیاست‌ها (policy engine) و مدیریت سیاست‌ها (policy administrator) است. قسمت‌های منطقی ZTA در بخش کنترلی (Control Plane) مجزا با یکدیگر ارتباطات دارند درحالی که داده های سیستم‌ها در بخش دیتا (Data Plane) با یکدیگر ارتباط برقرار می‌کند.
۳.۱ هسته مرکزی Zero Trust:
۳.۱.۱ Policy Engine(PE):
این بخش مسئول تصمیم گیری نهایی برای دادن دسترسی به کاربر به یک منبع درخواست شده است. PE از سیاست‌های سازمان و منابع خارجی دیگر، ورودی می‌گیرد. این ورودی‌ها برای تایید یا عدم تایید اعتماد در الگوریتم‌های PE برای اعطا کردن، انکار یا باطل کردن دسترسی به منابع استفاده می‌شوند. PE با Policy Administrator(PA) مکمل هم هستند. PE تصمیمات را می‌گیرد و در لاگ (لاگ‌ها شامل قبول دسترسی یا انکار دسترسی است) ذخیره می‌کند و PA تصمیمات را اجرا می‌کند.
۳.۱.۲ Policy Administrator(PA):
این بخش مسئول ایجاد یا خاموش کردن راه‌های ارتباطی بین کاربر و منابع سازمان است. این بخش هرگونه احراز هویت مبتنی بر نشست و یا توکن احرازهویت یا اعتبار استفاده شده توسط کلاینت برای دسترسی به منابع شرکت را تولید می‌کند. PA ارتباط نزدیکی با PE دارد و اجرای تصمیمات برای دادن دسترسی یا رد آن به تصمیمات PE بستگی دارد. اگر نشست مجاز باشد و درخواست احرازهویت شده باشد، PA شروع نشست را تنظیم می‌کند. در برخی از پیاده‌سازی‌ها ممکن است PE و PA را به عنوان سرویس واحد در نظر بگیرند. ارتباط این دو نود از طریق بخش کنترلی انجام می‌شود.
۳.۱.۳ Policy Enforcement Point(PEP):
این بخش مسئول فعال کردن، مانیتور کردن و قطع ارتباط بین کاربران و منابع شرکت است. ارتباط PEP با PA برای ارسال و به‌روز رسانی درخواست‌ها و سیاست های جدید PA است. این یک بخش منطقی در ZTA است. ولی می‌تواند به دو بخش دیگر تقسیم شود: سمت کلاینت (ابزار نصب شده در لپ‌تاپ) و سمت منابع سازمان (ابزار کنترلی بخش gateway منابع که دسترسی به آنها را کنترل می‌کند) و یا یک ابزار کنترلی دسترسی به پورتال که نقش نگهبان را در راه ارتباطی دارد.
۳.۲ اجزای خارجی Zero Trust:
علاوه بر بخش های مرکزی سازمان در پیاده‌سازی ZTA، تعداد دیگری عناصر نقش ورودی و سیاست‌های جدید را برای تصمیم‌گیری PE ایجاد می‌کنند. این منابع شامل داده‌های لوکال و منابع خارجی است که شامل:
۳.۲.۱ Continuous diagnostics and mitigation (CDM) system:
این بخش اطلاعات وضعیت دارایی‌های سازمان را جمع آوری و به‌روز رسانی تنظیمات نرم افزاری را پیاده‌سازی می‌کند. سیستم CDM اطلاعات در مورد سیستمی که دسترسی به منابع را درخواست نموده است را به PE ارایه می‌دهد. مانند اینکه آیا سیستم آخرین سیستم عامل به‌روز، نرم‌افزار مورد تایید سازمان و آسیب‌پذیری‌های شناخته شده را داراست. سیستم CDM مسئول تشخیص و اعمال سیاست‌ها در تجهیزات غیر سازمانی در زیرساخت سازمان است.
۳.۲.۲ Industry Compliance System:
این بخش سازمان را با قوانین بخش رگولاتوری صنعت هماهنگ می‌کند (مانند الزامات FISMA). این بخش شامل تمام سیاست‌هایی می‌شود که سازمان باید برای انطباق با صنعت در نظر بگیرد.
۳.۲.۳ Threat Intelligence Feeds:
این بخش اطلاعات از منابع داخلی و خارجی سازمان را تولید می‌کند و این اطلاعت به PE در مورد تصمیم گیری در مورد دسترسی‌ها کمک می‌کند. این بخش می‌تواند دارای چندین سرویس باشد که اطلاعات را از منابع داخلی و یا چندین منبع خارجی در خصوص جدیدترین اطلاعات حملات و آسیب‌پذیری‌ها جمع آوری می‌کند. همچنین شامل جدیدترین باگ‌های امنیتی در نرم‌افزار، تشخیص جدیدترین بدافزارها و گزارش‌های حملات به دارائی‌ها است.بخش PE تصمیم بر انکار دسترسی از سمت دارایی‌های شرکت را دارد.
۳.۲.۴ Network and System Activity Logs:
این بخش لاگ‌های تمام دارایی های مختلف سازمان، ترافیک شبکه، عملیات‌های دسترسی به منابع و رویداد‌های دیگر را جمع‌آوری می‌کند تا بتواند وضعیت امنیت سیستم‌های سازمان را بصورت زنده یا نزدیک‌ترین زمان به اتفاق ارایه دهد.
۳.۲.۵ Data Access Policies:
این بخش مربوط به ویژگی‌ها، نقش‌ها و سیاست‌ها در مورد دسترسی به منابع سازمان است. نقش‌ها را می‌توان با کدگذاری (از طریق رابط مدیریتی) و یا بصورت داینامیک توسط PE ایجاد نمود. این سیاست‌ها نقطه شروع برای دسترسی معتبر به منابع هستند. این سیاست‌ها براساس تعریف نقش‌ها و نیازمندهای سازمان است.
۳.۲.۶ Enterprise public key infrastructure (PKI):
این بخش مسئول تولید لاگ مشکلات گواهی در هنگام دسترسی به منابع، سرویس‌ها و نرم‌افزارهای سازمان است.
۳.۲.۷ ID management system:
این بخش مسئول ایجاد، ذخیره و مدیریت حساب‌کاربری، کاربران شرکت است (برای مثال سرورهای LDAP). این سیستم شامل اطلاعات اساسی کاربران (مانند: نام، آدرس ایمیل و اعتبارنامه‌ها) و دیگر مشخصه‌های سازمانی مانند نقش‌ها، ویژگی دسترسی‌ها و دارائی‌های ثبت شده است.
۳.۲.۸ Security information and event management(SIEM) system:
این بخش اطلاعات امنیتی را برای آنالیز جمع‌آوری می‌کند. این اطلاعات برای تصحیح سیاست‌ها و هشدار در مورد حملات احتمالی به دارایی‌های شرکت مورد استفاده قرار می‌گیرد.
برای خواندن مقالات دیگر و آموزش باگ بانتی به وبلاگ باگدشت مراجعه کنید.
