Как реализовать Zero Trust в российских компаниях

Zero Trust перестал быть словом из презентаций иностранных вендоров. Модель описана в стандарте NIST SP 800-207 «Zero Trust Architecture», он вышел в августе 2020 года и остается основным документом по теме.

Проблема в другом: почти все материалы про Zero Trust на русском языке объясняют, что это хорошо, и не объясняют, с чего начать. Разбираем архитектуру по стандарту и порядок внедрения, а в конце - ошибки, которые видим у российских компаний на реальных проверках.

Что такое Zero Trust

Zero Trust, или нулевое доверие, - это подход, при котором ни один запрос не считается доверенным по умолчанию. Не важно, откуда он пришел: из интернета, из офисной сети или с ноутбука администратора.

NIST формулирует это через семь постулатов. Вот они, коротко:

• все источники данных и вычислительные сервисы считаются ресурсами;
• все соединения защищаются независимо от того, где находится узел сети;
• доступ к каждому ресурсу выдается на одну сессию;
• решение о доступе принимается по динамической политике: кто запрашивает, с какого устройства, в каком оно состоянии, как вел себя раньше;
• организация постоянно измеряет состояние всех своих активов, ни один из них не считается доверенным сам по себе;
• аутентификация и авторизация выполняются заново перед каждым доступом;
• организация собирает максимум данных о состоянии активов и трафика и использует их, чтобы улучшать политики.

Ключевое здесь третье и шестое: доступ выдается на сессию и проверяется заново. Не «пустили в сеть и дальше свободен», а «проверили сейчас, проверим и в следующий раз».

Почему традиционная модель безопасности больше не работает

Периметровая модель строится на допущении: снаружи опасно, внутри безопасно. Фаервол делит мир на две зоны, и попавший внутрь считается своим.

NIST в самом начале документа объясняет, почему это перестало работать: у современной организации нет одного периметра. Есть филиалы со своей инфраструктурой, удаленные сотрудники, облачные сервисы и подрядчики. А главное - после взлома периметра боковое перемещение внутри сети ничем не сдерживается.

Ровно то, что описывает NIST: периметр держал, а внутри доверяли всем.

Основные принципы Zero Trust

Стандарт описывает три логических компонента. Названия в переводе звучат тяжеловесно, но смысл простой.

Проверка каждого доступа

Движок политик решает, дать доступ или нет. Он берет корпоративную политику и внешние данные: состояние устройства, сведения об угрозах, журналы предыдущего поведения. Решение он принимает и записывает.

Администратор политик выполняет это решение: открывает канал между субъектом и ресурсом или обрывает его. Он же выдает токен на сессию.

Точка применения политик стоит на пути трафика и физически пропускает или разрывает соединение. Это может быть агент на ноутбуке, шлюз перед ресурсом или портал, через который идут все обращения.

Минимальные привилегии

Постулат четвертый прямо говорит: принципы минимальных привилегий применяются и к видимости, и к доступности. То есть сотрудник не только не может открыть чужую папку - он ее не видит.

Отдельно NIST выделяет администраторов и разработчиков. В унаследованных архитектурах у них часто сплошное разрешение на все. При переходе к Zero Trust к таким учетным записям применяют более строгие требования и обязательно ведут журнал действий.

Сегментация инфраструктуры

Микросегментация - один из трех вариантов реализации Zero Trust по разделу 3.1 стандарта. Ресурсы разносятся по отдельным зонам, перед каждой стоит своя точка применения политик.

Смысл в том, чтобы взлом одного узла не открывал дорогу ко всей сети. Сегментация не мешает атаке начаться, она мешает ей развиться.

Этапы внедрения Zero Trust

Раздел 7.3 стандарта описывает переход от периметровой архитектуры к Zero Trust семью шагами. Порядок важен: начинать с закупки решения - самая частая ошибка.

1. Найти субъектов

   Составить перечень тех, кто обращается к ресурсам: сотрудники, сервисные учетные записи, подрядчики. Отдельно выделить администраторов и разработчиков.

2. Найти активы

   Инвентаризация оборудования и цифровых объектов: ноутбуки, телефоны, устройства интернета вещей, учетные записи, приложения, сертификаты. Сюда же попадает теневая ИТ - то, что куплено и работает мимо ИТ-службы.

3. Описать процессы и оценить риски

   Ранжировать бизнес-процессы и потоки данных. NIST советует начинать с процесса с низким риском: сбой не ударит по всей организации.

4. Сформулировать политики

   Для выбранного процесса описать, кому и при каких условиях выдается доступ, какие атрибуты проверяются.

5. Подобрать решения

   И только теперь смотреть на продукты. К этому моменту понятно, что именно они должны уметь.

6. Развернуть и наблюдать

   Первый запуск лучше проводить в режиме наблюдения, не блокируя. Так видно, что политика ломает, до того как она что-то сломает.

7. Расширять охват

   Переносить в модель следующие процессы, опираясь на опыт первого.

Ошибки российских компаний

Стандарт отдельно разбирает угрозы самой архитектуре нулевого доверия (раздел 5). Ниже - те, что чаще всего встречаем в российских компаниях, и то, чем они оборачиваются.

Что мешает именно в России

К общим сложностям добавляется местная. Значительная часть решений, на которых Zero Trust строили до 2022 года, - иностранные. Заменять их приходится на российские, а российские сертифицированные продукты закрывают не все элементы схемы одинаково хорошо.

Практический вывод: не пытаться купить Zero Trust одной коробкой. Модель собирается из того, что уже есть - управления доступом, межсетевых экранов, средств контроля рабочих станций, - и достраивается там, где не хватает.

Ни один из семи постулатов здесь не выполнялся: состояние активов не измерялось, доверие выдавалось по расположению в сети, журналы никто не смотрел.

С чего начать

Zero Trust - это не продукт и не проект с датой окончания. Это порядок принятия решений о доступе, который выстраивают постепенно: один процесс, потом следующий.

Начинать стоит с двух вещей, которые не требуют закупок: перечня субъектов и перечня активов. Без них все остальное не на чем строить.