Bevezetés

A „zero trust” kifejezést már jó ideje harsogják mindenütt. SASE, ZTNA, megerősített IAM – mindet úgy adják el, mintha a jövő varázspálcái volnának. A terepen dolgozó mérnökök viszont gyakran csak ennyit kérdeznek: „Nem arról van szó, hogy egy kicsit szigorúbb lett az azonosítás?”

Valóban új biztonsági paradigma a zero trust, vagy csupán egy jól csengő divatszó? Ebben a cikkben kritikus szemmel vizsgálom meg, mi is ez valójában.

A peremvédelem, mint kiindulópont

Kezdjük a hagyományos biztonsági modellel. Az IPv4-korszakban a privát címterek és a NAT miatt a belső hálózatot alig lehetett kívülről elérni. A tűzfalak blokkolták a „kívülről befelé” irányuló forgalmat, így sokáig érvényben volt az az alapelv, hogy amíg a perem tart, a belső háló biztonságban van.

Ez a modell kifejezetten erős volt, és a kilencvenes évektől egészen a 2010-es évekig valóban fenntartotta az internetes munkavégzés biztonságát. „Ha bejutottál a VPN-re, minden ajtó nyitva” – ez a peremvédelem archetípusa.

Miért került előtérbe a zero trust

A helyzet azonban megváltozott.

A felhő és a mobil elterjedése

Az alkalmazottak otthonról vagy kávézóból érik el a SaaS-szolgáltatásokat, a perem így elmosódik.

Belső fenyegetések és a kártevők oldalirányú terjedése

Ha egyszer bejut a támadó, a LAN belső tere – a „bizalom szigete” – védtelen marad.

A Google BeyondCorp hatása

A Google BeyondCorp modellje tette divattá, hogy „törjük szét a peremet” és építsünk új biztonsági működést.

Így lett zászló a „zero trust”. A „Ne bízz senkiben” szlogen erősen hatott a felső vezetésre is.

Tévhitek a zero trust körül

A NIST, a CISA és más szervezetek sosem mondták, hogy „dobd el teljesen a peremet”. Következetesen azt hangsúlyozzák: az átállás fokozatos, és a legtöbb szervezet peremvédelem és zero trust hibridjeként fog működni.

Miért tartja mégis magát a „mindenható megoldás” mítosza?

  • A gyártók szeretnék úgy pozicionálni termékcsomagjaikat, mint a „zero trust megvalósításának nélkülözhetetlen” elemeit.
  • A Google esettanulmányát sokan úgy olvasták, hogy „ezt bárki egy az egyben lemásolhatja”.
  • Incidensek után gyakran hangzik el utólag, hogy „ha zero trust lett volna, nem történik meg”, így vált a kifejezés utólagos magyarázó szóvá.

A zero trust gondolatisága konzisztens, de divatszóként túlzásokat kapott.

A „nincs több perem” csapdája: amíg maradnak vastag kliensek, kell a perem

Itt jön a lényeges pont. Ha mindenki vékony kliensről dolgozna, amely nem tárol adatot, a zero trust tökéletesen illeszkedne. A valóságban azonban a cégek továbbra is teljes értékű PC-ket használnak.

A vastag kliens helyben tartja az alkalmazásokat és az adatot, így ha a gép fertőzött lesz, a támadó legitim hitelesítéssel tud oldalra terjedni. Ennek a laterális mozgásnak a megfékezéséhez továbbra is peremszerű kontrollokra – tűzfalakra, szegmentálásra – van szükség.

Ezért tévedés a „zero trust = nincs perem” azonosítás. A valódi tervezési feladat az, hogy miként optimalizáljuk a perem vastagságát a saját környezetünkben.

Akkor végül mi a zero trust?

Ha így rendszerezzük, nagyon egyszerűvé válik a kép.

  • A tévhit „Varázslatos új technológia” „Forradalom, amely megszünteti a peremet” „Mindenre jó csodafegyver”

  • A valóság Az, hogy felhagyunk azzal az édes illúzióval, miszerint „a LAN belseje magától biztonságos”. Azt jelenti, hogy a meglévő technológiákat – hitelesítés, jogosultságkezelés, eszközvizsgálat, naplózás – úgy kombináljuk, hogy kiiktassuk az implicit bizalmat, és így építsük fel az üzemeltetést.

Maguk az építőelemek nem újak.

  • MFA (többtényezős hitelesítés)
  • SAML és OAuth alapú federáció
  • MDM (mobil eszközmenedzsment)
  • EDR (végpont-felderítés és -reakció)
  • CASB (felhő-hozzáférés szabályozás)
  • SASE (hálózat- és biztonsági szolgáltatások felhőalapon)

Mind régi megoldás. A zero trust mindössze egy zászló, amely alá rendezi őket.

Összegzés: a zero trust valódi értéke

Zero trust: divatszó vagy technológia? A válasz: „csomagolt eszme, de értékes, mert újraírja az előfeltevéseket”.

Ha megkérdezik: „Mi a zero trust?”, így felelek:

A peremvédelem – például egy LAN – belső része nem magától biztonságos. Kombináljuk a technológiákat, és valósítsuk meg azt a működést, amely kiiktatja az implicit bizalmat. Máskülönben a valóságban nem működik.

Nem varázslatos új termékhalmaz. De ha lefejtjük róla a túlzásokat, értékes tervezési szemlélet marad utána.

GYIK (Gyakran ismételt kérdések)

K: Miben más a zero trust és a VPN? V: A VPN a „belépőkulcs” a perembe; ha egyszer bent vagy, feltételezik, hogy megbízható vagy. Zero trust esetén belül is folyamatos a hitelesítés és a megfigyelés.

K: A zero trust feleslegessé teszi a meglévő tűzfalakat? V: Nem. A végponti fertőzések és az oldalirányú terjedés – különösen vastag klienseknél – miatt a peremszerű kontroll továbbra is kritikus.

K: Egy kis- vagy középvállalat is be tudja vezetni? V: Fokozatosan igen. El lehet kezdeni MFA-val, naplózással, majd lépésről lépésre bővíteni.

K: Új technológiáról van szó? V: A technológiák nem újak; a zero trust ezek összerendezett alkalmazása és egy gondolkodásmód.

Kapcsolódó hivatkozások