Johdanto

Termi “zero trust” on ollut tapetilla jo vuosien ajan. SASE, ZTNA ja vahvistettu IAM markkinoidaan kuin uuden aikakauden taikasanoina. Moni käytännön insinööri kuitenkin katsoo ilmiötä viileästi ja kysyy: “Eikö tämä ole vain vahvempaa tunnistautumista?”

Onko zero trust todella uusi tietoturvaparadigma vai pelkkä muotisana? Tässä artikkelissa tarkastelen kriittisesti, mistä siinä oikeasti on kyse.

Perimetriajattelun perintö

Aloitetaan perinteisestä mallista. IPv4-aikakaudella yksityiset osoiteavaruudet ja NAT suojasivat sisäverkkoja, ja ulkopuolelta tehtyjä suoria yhteyksiä syntyi harvoin. Palomuurit estivät “ulkoa sisään” -liikenteen, ja oletus “kunhan reuna pitää, sisäverkko on turvallinen” piti pitkään pintansa.

Malli toimi erinomaisesti: 1990-luvulta 2010-luvulle asti se kannatteli yritysten Internetin-käytön turvallisuutta. “Kun pääset VPN:n kautta sisään, kaikki on sallittua” kuvasi perimetrisuojaa täydellisesti.

Miksi zero trust nousi esiin

Tilanne kuitenkin muuttui.

Pilvi ja mobiili käytössä

Työntekijät käyttävät SaaS-palveluja kotona ja kahviloissa, jolloin reuna hämärtyy.

Sisäiset uhkat ja haittaohjelmien sivuttaisliike

Kun hyökkääjä pääsee kerran sisään, LANin “luottamuksen saari” jää suojaamatta.

Google BeyondCorpin vaikutus

Googlen BeyondCorp teki “reunan rikkomisesta” uuden turvallisuusidean.

Näin syntyi zero trustin lippu. Iskulause “Älä luota kehenkään” puhutteli erityisesti johtoa.

Zero trustiin liitettyjä väärinkäsityksiä

NIST tai CISA eivät missään vaadi “luopukaa perimetristä täysin”. Heidän viestinsä on päinvastoin, että siirtymä tapahtuu vaiheittain ja useimmat organisaatiot toimivat pitkään hybridissä, jossa yhdistyvät perimetrisuojaus ja zero trust.

Miksi silti uskotaan kaiken ratkaisevaan hopealuotiin?

  • Toimittajat haluavat myydä tuoteperheensä “zero trustin välttämättöminä osina”.
  • Googlen esimerkki luetaan väärin universaaliksi malliksi, jonka kuka tahansa voi kopioida.
  • Tapausten jälkeen selitetään jälkikäteen, että “zero trust olisi estänyt tämän”, jolloin termistä tulee jälkiviisastelun väline.

Ajatusmallina zero trust on eheä, mutta hype on paisuttanut sitä yli mittansa.

“Perimetriä ei tarvita” -harha: niin kauan kuin rich client -ympäristöt pysyvät, reunaakin tarvitaan

Tässä on ratkaiseva kohta. Jos kaikki käyttäisivät thin client -laitteita eikä dataa jäisi laitteille, zero trust sopisi täydellisesti. Todellisuudessa yritykset nojaavat yhä rich client -tietokoneisiin.

Rich client pitää sovellukset ja datan paikallisesti. Kun laite saastuu, hyökkääjä pääsee läpi oikeilla tunnuksilla ja liikkuu verkossa sivusuunnassa. Tämän liikkeen pysäyttäminen vaatii edelleen perimetrityyppisiä kontrollleja, kuten palomuureja ja verkon segmentointia.

Zero trust = ei perimetriä -tulkinta on siis väärin. Todellinen arkkitehtuurikysymys on kuinka paksu reunasuojan on oltava juuri teidän ympäristössänne.

Mikä zero trust lopulta on?

Kokonaisuus tiivistyy lopulta hyvin yksinkertaiseksi.

  • Väärin ymmärretty mielikuva “Taianomainen uusi teknologia” “Vallankumous, joka poistaa perimetrin” “Kaiken parantava lääke”

  • Todellinen sisältö Luovutaan mukavasta oletuksesta “LANin sisällä on automaattisesti turvallista” Yhdistetään olemassa olevia tekniikoita – tunnistautuminen, valtuutus, laitteen kunnon tarkistus, lokiseuranta – ja toteutetaan turvallisuuden operointi, joka poistaa implisiittisen luottamuksen

Yksikään osa ei ole uusi:

  • MFA (monivaiheinen tunnistautuminen)
  • SAML ja OAuth -federointi
  • MDM (mobile device management)
  • EDR (endpoint detection and response)
  • CASB (cloud access security broker)
  • SASE (verkko- ja tietoturvapalvelujen yhdistävä alusta)

Zero trust vain paketoi ja uudelleenkehystää ne yhteisen periaatteen alle.

Johtopäätös: zero trustin todellinen arvo

Onko zero trust muotisana vai teknologiapino? Vastaus: se on ajattelutavan paketoinut muotisana, mutta arvokas, koska se haastaa vanhentuneet oletukset.

Kun joku kysyy “Mitä zero trust on?”, vastaan näin:

Luovutaan oletuksesta, että perimetrin (esimerkiksi LANin) sisällä on automaattisesti turvallista, ja orkestroidaan sopivat tekniikat niin, että turvallisuuden operointi eliminoi implisiittisen luottamuksen. Ilman tätä ajattelutapaa todellisuus ei enää toimi.

Zero trust ei ole taianomainen uusi tuote. Mutta kun markkinapuheen liioittelun kuorii pois, jäljelle jäävä arkkitehtuurinen ajattelutapa on aidosti hyödyllinen.

UKK

K: Miten zero trust eroaa VPN:stä? V: VPN on “avain”, jolla pääsee perimetriin; sisällä käyttäjään luotetaan. Zero trustissa tunnistautumista ja valvontaa jatketaan myös sen jälkeen.

K: Poistaako zero trust palomuurien tarpeen? V: Ei poista. Varsinkaan rich client -ympäristöissä tarvitset edelleen perimetrityyppistä kontrollia estämään saastuneiden päätelaitteiden sivuttaisliikkeen.

K: Voiko pk-yritys ottaa zero trustin käyttöön? V: Voi, vaiheittain. Aloita esimerkiksi MFA:sta, vahvista sitten lokiseurantaa ja laajenna siitä.

K: Onko zero trust uusi teknologia? V: Tekniikat eivät ole uusia. Zero trust kokoaa ne yhtenäiseksi toimintamalliksi.

Lisälukemista