Úvod

Pojem „zero trust“ slýcháme už dlouhé roky. SASE, ZTNA nebo posilování IAM se často popisují jako zázračná kouzla nové éry. Mnoha provozním inženýrům však zní spíš jako „jenom přidáme další vrstvy ověřování“, a proto se dívají dost chladně.

Je tedy zero trust skutečně novým bezpečnostním paradigmatem, nebo jen nafouknutým módním slovem? V tomto textu se na jeho podstatu podívám kriticky.

Předpoklad perimetrické bezpečnosti

Nejprve si připomeňme tradiční bezpečnostní model. V éře IPv4 chránilo podnikové LANy privátní adresování a NAT, takže zvenčí byly prakticky nedostupné. Firewall navíc blokoval komunikaci „zvenku dovnitř“, a proto dlouho platilo, že stačí uhlídat hranici a vnitřek je bezpečný.

Tento model byl neuvěřitelně silný a od devadesátých let až zhruba do roku 2010 skutečně držel internetové používání v bezpečí. „Jakmile se připojíš přes VPN, máš volný průchod“ – to byl typický obraz perimetrické bezpečnosti.

Proč se zero trust dostal do popředí

Situace se ale změnila.

Rozmach cloudu a mobilních zařízení

Zaměstnanci začali používat SaaS z domova i z kaváren a hranice se rozplynula.

Vnitřní útoky a laterální šíření malwaru

Stačí jediné proniknutí dovnitř a LAN, tedy „ostrov důvěry“, zůstane bez obrany.

Vliv Google BeyondCorp

Google představil model BeyondCorp, který si získal pozornost jako „nová bezpečnost bez hranic“.

Na scénu tak nastoupil slogan „zero trust“. Slovní spojení zní úderně a heslo „nevěř nikomu“ zasáhlo i vedení firem.

Nejčastější omyly kolem zero trust

Instituce jako NIST nebo CISA nikdy netvrdily „hranice musí úplně zmizet“. Říkají, že přechod probíhá postupně a většina organizací skončí u hybridu perimetru a zero trustu.

Proč se tedy tolik rozšířila víra v „univerzální lék“?

  • prodejci potřebovali své produktové balíčky prezentovat jako „nezbytné komponenty zero trustu“;
  • příklad Google se často četl jako „model, který zvládne okopírovat každý“;
  • po incidentech se zero trust používal jako „kouzelná odpověď“, proč by se nehoda bývala nestala.

Myšlenka jako taková smysl dává, ale ve formě módního slova byla silně přeháněná.

Úskalí „světa bez perimetru“: dokud žijí tlustí klienti, hranice nezmizí

Zde je klíčový bod. Kdyby všichni pracovali na tenkých klientech a na koncových zařízeních nezůstávala data, zero trust by zapadl perfektně. Jenže reálné firmy stále používají bohaté desktopové aplikace a výkonné notebooky.

Tlustý klient má lokálně aplikace i data, takže infikovaný stroj projde legitimní autentizací a začne se šířit dovnitř. Takové laterální pohyby nakonec zastaví zase jen perimetrická opatření – firewall, segmentace, oddělené VLANy.

Chápat zero trust jako „perimetr už není potřeba“ je tedy omyl. Klíčovou otázkou je, jak optimálně navrstvit míru ochrany na hranicích.

Co tedy zero trust skutečně je?

Když to takto rozložíme, podstata zero trust je překvapivě přímočará.

  • Časté představy „Magická nová technologie“ „Revoluce, která ruší hranice“ „Všemocné řešení“

  • Realita Opustit naivní předpoklad „uvnitř LAN je automaticky bezpečno“ Poskládat dohromady stávající technologie – autentizaci, autorizaci, kontrolu zařízení, dohled nad logy – a nasadit bezpečnostní provoz, který nepočítá s implicitní důvěrou

Samotné technické prvky nejsou nové.

  • MFA (dvoufaktor)
  • SAML nebo OAuth pro federaci identit
  • MDM (správa mobilních zařízení)
  • EDR (detekce a reakce na koncových bodech)
  • CASB (kontrola přístupu do cloudu)
  • SASE (cloudová síťová a bezpečnostní platforma)

Zero trust tyto prvky jen seskupuje a dává jim společnou vlajku.

Závěr: skutečná hodnota zero trust

Je zero trust módní slovo, nebo technologie? Odpověď zní: „Je to módní obal na myšlenku, ale má hodnotu v tom, že nás nutí zpochybnit staré předpoklady.“

Když se mě někdo zeptá „Co je to zero trust?“, rád odpovím takto:

Přestaňte věřit, že prostředí uvnitř perimetru (například LAN) je automaticky bezpečné, a místo toho poskládejte technologie tak, abyste provozovali bezpečnost bez implicitní důvěry. Jinak dnešní realitu neustojíte.

Není to žádné kouzlo ani nová sada produktů. Ale pokud odsuneme marketingové legendy, zůstane cenná „projekční filozofie“.

FAQ (často kladené otázky)

Q: Jaký je rozdíl mezi zero trust a VPN? A: VPN je „klíč k perimetru“ – po vstupu dovnitř je vše implicitně důvěryhodné. Zero trust naopak vyžaduje průběžnou autentizaci a dohled i po vstupu.

Q: Znamená zero trust, že už nepotřebujeme firewall? A: Ne. Perimetrická kontrola je pořád zásadní, zejména kvůli infikovaným tlustým klientům a omezování laterálního pohybu.

Q: Dokáže zero trust zavést i malá firma? A: Ano, postupně. Začněte třeba dvoufaktorem nebo posíleným monitoringem logů.

Q: Je zero trust nová technologie? A: Samotné technologie jsou známé. Zero trust je především nové zarámování těch existujících.

Související odkazy