У листопаді 2021-го група аналізу загроз Threat Analysis Group виявила в Гонконгу масову кібератаку типу «водопій» (watering hole). Хакери використали вразливості браузера Safari в MacOS та iOS, щоби встановити зловмисні програми на пристрої користувачів, які відвідували сайти місцевої медійної організації та відомої продемократичної групи. В останні роки традиційні засоби захисту виявилися безсилими перед сучасними кібератаками. Під загрозою опинився навіть уряд США, який зазнав російських атак Sunburst і NotPetya.
Розвідка рф вставила шкідливий код в оновлення програмного забезпечення державного постачальника SolarWinds, завдяки чому росіяни впродовж кількох місяців мали безпрецедентний доступ до американських федеральних мереж. У відповідь на численні кібератаки в січні 2022 року президент Байден підписав меморандум про національну безпеку, що впроваджує принципи «нульової довіри» (Zero Trust). Він апріорі вважає всі мережі скомпрометованими й вимагає безперервно перевіряти користувачів, пристрої та дані.
Принцип стратегії Zero Trust
Головне ІТ-відомство Пентагону DISA ще на початку року уклало з Booz Allen Hamilton контракт на майже $7 млн на розробку ІТ-архітектури «нульової довіри» в інформаційних мережах оборонного відомства. Однак докорінно зміни торкнуться не лише державного сектора. Архітектуру Zero Trust уже запровадили у свої продукти всі ключові постачальники безпекових рішень. Зокрема, компанії Palo Alto Networks, MobileIron, Illumio, Appgate, Akamai Technologies, Microsoft, Google, Forcepoint і Cisco. Остання ще у 2018 році придбала компанію Duo Security, що спеціалізувалася на мультифакторній автентифікації. За прогнозами агенції Grand View Research, до 2028 року світовий ринок Zero Trust сягне $60 млрд, а середнє річне зростання за цей період перевищуватиме 15%. Згідно зі звітом Gartner і китайської кібербезпекової компанії Qi-Anxin, до 2023 року 60% великих компаній відмовляться від VPN на користь Zero Trust, а решта 40% використовуватимуть цю модель для інших цілей.
Стратегія «нульової довіри» працює за принципом «ніколи не довіряй, завжди перевіряй». Вона передбачає відхід від традиційної моделі безпеки, коли користувачі та пристрої всередині периметру за умовчанням вважалися благонадійними та отримували доступ скрізь. Ця модель застаріла після глобального переходу користувачів на віддалений режим роботи й стрімке поширення хмарних сервісів. Натомість модель Zero Trust розглядає мережу як вже зламану, а тому не довіряє навіть легітимним користувачам усередині периметра.
Модель «нульової довіри» особливо актуальна для великих українських компаній, проти яких росія віднедавна застосовує нову підступну тактику. Ворожі спецслужби підкупають співробітників, завдання яких — вставити флешку в робочий комп’ютер, після чого спеціальний вірус поширюється внутрішньою мережею та відкриває доступ зовнішнім злодіям. У червні 2022 року один із наших клієнтів — великий український фармацевтичний виробник — зазнав серії потужних кібератак. Зловмисники завербували ІТ-адміністратора компанії, який заніс вірус-шифрувальник усередину системи. Після чого цілеспрямовано зламали цифрову інфраструктуру та знищили всі дані разом із бекапами. Від катастрофічних збитків компанію врятувало лише те, напередодні зламу вона встигла зберегти копію бекапів у нашій хмарі. А тому змогла швидко відновити дані віртуальних машини та серверів за допомогою сервісу Veeam Cloud Connect.
Щоб захистити компанії від подібних прикрих інцидентів, що ставлять під загрозу виживання бізнесу, Zero Trust надає доступ до корпоративних ресурсів за принципом «рівно стільки — скільки необхідно». Ця модель постійно моніторить безпечність і благонадійність всіх власних та асоційованих пристроїв для виявлення аномалій і загроз. Користувачі, які мають вразливості або вважаються скомпрометованими, отримують обмежені права, у порівнянні з тими, які вважаються безпечними. Так, навіть проникнувши в систему, зловмисник «загрузне» в ній і не зможе потрапити вглиб корпоративної мережі.
Анатомія роботи Zero Trust
Базова архітектура Zero Trust складається з двох компонентів: довіреного шлюзу чи проксі-сервера, який за командою надає або відмовляє в доступі до ресурсів, і контролера доступу, який здійснює автентифікацію й ухвалює рішення. Для контролю доступу до конфіденційних активів та обмеження потенційних збитків від дій зловмисників рекомендується створити мікропериметри або мікросегменти. Рішення про надання доступу ухвалюється на основі внутрішніх і зовнішніх джерел. Водночас політика доступу до даних може бути наперед прописаною в механізмі реалізації політик або ж генеруватися динамічно. Водночас система безперервної діагностики та корекції збирає дані про стан усіх пристроїв у мережі та надає адміністратору інформацію про останні оновлення системи, наявність потенційних вразливостей або несхвалених організацією програм.
Залежно від потреб компанії, архітектура «нульової довіри» може бути реалізована в одній із кількох основних варіацій. Найбільш поширений сценарій — територіально розподілені корпоративні мережі, що складаються з кількох об’єктів компанії, не поєднаних фізичними каналами. Наприклад, центральний офіс організації та її філії або ж віддалені працівники, які користуються корпоративними або власними пристроями. Точка ухвалення рішень зазвичай розташовується в хмарі, що забезпечує легкий до неї доступ звідусіль. Водночас звернення до ресурсів відбувається через програмний агент або портал. Інша варіація архітектури «нульової довіри» — коли організація використовує хмарні сервіси, де немає можливості розгорнути власні компоненти Zero Trust. У такому випадку доцільно застосувати схему посиленого управління обліковими даними (Enhanced Identity Governance). Вона надає доступ до мережі всім, але до корпоративних ресурсів — лише тим, хто має відповідні привілеї.
Попри очевидні переваги, архітектура Zero Trust не здатна захистити бізнес від усіх кіберзагроз. Використовуючи фішинг та інші засоби соціальної інженерії, зловмисники можуть отримати доступ до цінних облікових записів бухгалтера або кадровика. Заволодівши легітимним записом, зловмисний інсайдер або хакер може отримати доступ до корпоративних ресурсів. Однак архітектура «нульової довіри» не дозволить йому рухатися далі та відмовить у доступі там, де він не авторизований. А контекстуальний алгоритм помітить незвичну поведінку та заблокує скомпрометований обліковий запис. Додаткову потенційну загрозу становлять DDoS-атаки на компоненти архітектури Zero Trust. Проте цю небезпеку можна зменшити, розташувавши компоненти в захищеній хмарі або розподіливши їх серед інфраструктури.
Дивимось у майбутнє
Найближчими роками архітектура «нульової довіри» обіцяє стати новим стандартом кібербезпеки. Вочевидь, вона не буде панацеєю від усіх загроз, однак кращого рішення наразі немає. Zero Trust дає змогу якщо не захистити дані, то принаймні суттєво загальмувати кібератаку та знешкодити загрозу. Це дасть змогу бізнесу вижити в сучасному світі, де, як показує досвід, нікому не можна довіряти, навіть власному ІТ-адміністратору. А в поєднанні з іншими інструментами, як-от хмарні бекапи — нова архітектура забезпечить швидке відновлення цифрової інфраструктури.