Του Aντώνη Ψαράκη
Head of Cloud Transformation Services
Algosystems S.A. www.algosystems.gr
The «commodity approach»
Μέχρι σήμερα, στα περισσότερα πληροφοριακά δίκτυα η έννοια της ασφάλειας είχε την βάση της στην προσέγγιση “εμπιστέψου, αλλά επαλήθευσε”, γεγονός που βασιζόταν κυρίως πάνω σε μια ισχυρή αμυντική περίμετρο μιας εκάστοτε τοπολογίας του πληροφοριακού συστήματος.
Στη συγκεκριμένη αρχιτεκτονική, οτιδήποτε εμπεριέχεται μέσα στο ίδιο δίκτυο θεωρείται ασφαλές και αξιόπιστο. Έτσι λοιπόν, κάθε διαχειριστής παραχωρεί πρόσβαση σε συγκεκριμένους χρήστες για υπηρεσίες ή δεδομένα που αυτοί επιθυμούν.
Στο μοντέλο αυτό, η ασφάλεια βασίζεται σε τεχνολογίες που χρησιμοποιούνται ως επί το πλείστον σε τοπικά δίκτυα, όπως για παράδειγμα firewalls ids (intrusion detection systems) και φυσικά σε τεχνολογίες διαχείρισης ξεχωριστών accounts και τοπικών πόρων μας, όπως για παράδειγμα το Active Directory.
Αυτοί που αιτούνται πρόσβαση στην πληροφορία (φυσικά πρόσωπα, υπηρεσίες ή συσκευές) θα πρέπει πρώτα να πιστοποιήσουν ποιοι είναι και στην συνέχεια τους παραχωρείται η αιτούμενη πρόσβαση. Η γενικότερη προσέγγιση και αρχιτεκτονική βασίζεται στη γενική παραδοχή πως οτιδήποτε είναι μέσα στο δίκτυό μας θεωρείται βασικά ασφαλές και ως εκ τούτου επιλέξιμο για να χρησιμοποιήσει τους πόρους μας.
The complex present
Ωστόσο, σήμερα τα δίκτυα έχουν γίνει εξαιρετικά σύνθετα και περίπλοκα. Τα δεδομένα μιας επιχείρησης και οι υπηρεσίες της θα πρέπει να προστατευθούν με τον καλύτερο δυνατό τρόπο. Έτσι λοιπόν, είναι σύνηθες κάποιο πληροφοριακό σύστημα να συμπεριλαμβάνει δεδομένα και υπηρεσίες που βρίσκονται τόσο σε τοπικό επίπεδο όσο και στο cloud ή πιθανόν σε άλλα δίκτυα.
Οι χρήστες που αιτούνται πρόσβαση μπορεί να είναι εσωτερικοί χρήστες του δικτύου μας ή μπορεί να είναι εξωτερικοί επισκέπτες και συνεργάτες από οποιοδήποτε μέρος του κόσμου. Οι τεχνολογίες που περιγράψαμε προηγουμένως, πολύ δύσκολα θα μπορούσαν να καλύψουν όλες αυτές τις νέες απαιτήσεις και την ίδια στιγμή να προσφέρουν αξιοπιστία και ταχύτητα στη διαχείριση της πληροφορίας.
Μέσα από αυτές τις νέες συνθήκες λοιπόν, γεννήθηκε η αρχιτεκτονική zero trust model, η οποία πλέον αποτελεί κοινή πρακτική. Κάθε provider ή κατασκευαστής που παρέχει λύσεις και υπηρεσίες τόσο σε τοπικό επίπεδο όσο και στο cloud, τείνει να υιοθετήσει αυτή την προσέγγιση.
Παρόλο που η τεχνική υλοποίηση, οι τεχνολογίες, ακόμη και η ίδια η ορολογία που χρησιμοποιείται ανά εταιρεία είναι πιθανόν να αλλάζουν, η φιλοσοφία παραμένει η ίδια.
Never Trust, Always Verify
Ποτέ μην εμπιστεύεσαι, πάντα να επιβεβαιώνεις. Η συγκεκριμένη προσέγγιση γίνεται ολοένα και πιο δημοφιλής καθώς αυξάνεται η συνδεσιμότητα ανάμεσα στα πληροφοριακά συστήματα (τόσο σε τοπικό επίπεδο όσο και στο cloud) και οι απαιτήσεις για ασφάλεια και καλή λειτουργία γιγαντώνονται.
Ένας σημαντικός λόγος που η συγκεκριμένη αρχιτεκτονική είναι τόσο διαδεδομένη, είναι οι νέες αυξημένες ανάγκες που έχουν προκύψει από τον Covid-19. Οι ανάγκες των εργαζομένων να δουλέψουν απομακρυσμένα και να χρησιμοποιήσουν ταυτόχρονα τις εταιρικές τους υπηρεσίες και δεδομένα κάνει ακόμα πιο επιτακτική την νέα προσέγγιση.
Το zero trust model προσφέρει μια βάση για ελεγχόμενη προσέγγιση για οργανισμούς που «αγωνίζονται» να συμβαδίσουν με τον νέο ψηφιακό μετασχηματισμό.
Υπάρχουν τρεις βασικοί άξονες προσέγγισης και υλοποίησης της εν λόγω αρχιτεκτονικής.
- Επαληθεύστε ξεχωριστά την κάθε πρόσβαση
- Χρησιμοποιήστε όσο το δυνατόν πιο περιορισμένα δικαιώματα στην κάθε είδους πρόσβαση
- Υποθέστε το χειρότερο σενάριο παραβίασης.
Επαλήθευση στοιχείων ή λογαριασμών σημαίνει πως πρέπει να πιστοποιούμε την αυθεντικότητα του αιτούντος κάθε φορά που ζητά πρόσβαση, με βάση όλα τα διαθέσιμα στοιχεία και πηγές.
Δεν εμπιστευόμαστε χρήστες ή συσκευές. Επαληθεύουμε οτιδήποτε ισχυρίζεται πως είναι αυτό που λέει πως είναι (χρήστης ή συσκευή).
Η χρήση περιορισμένης πρόσβασης σημαίνει πως πρέπει να την περιορίσουμε στον μικρότερο δυνατό χρόνο (just in time), με τα λιγότερα δυνατά δικαιώματα (just enough access).
Assume breach (υπόθεσε παραβίαση), σημαίνει πως περιορίζουμε την ζημία σε όσο το δυνατόν μικρότερο εύρος στο συγκεκριμένο resource, π.χ. database ή στο συγκεκριμένο τμήμα της εταιρείας. Σε κάθε περίπτωση, κάνουμε όσο το δυνατόν πιο δύσκολη για τον εισβολέα την προσπάθειά του να κινηθεί στο δίκτυό μας, στις υπηρεσίες μας, στα δεδομένα μας και στο περιβάλλον μας.
Πιο συγκεκριμένα, παρακάτω ακολουθούν τα σημεία που χρειάζεται να εξασφαλίσουμε σε ένα πληροφοριακό περιβάλλον:
- Ταυτοποίηση (Identity)
- Σημεία προσέγγισης (Endpoints)
- Εφαρμογές (Applications)
- Δεδομένα (Data)
- Τεχνική υποδομή (Infrastructure)
- Δίκτυα (Networks)
Με τον όρο Identity , εννοούμε οποιαδήποτε συσκευή ή λογαριασμό χρήστη θελήσει να έχει πρόσβαση σε οποιοδήποτε πόρο του συστήματός μας. Υπολογίζουμε την πρόσβαση με τα μικρότερα δυνατά δικαιώματα.
Endpoints (Σημεία προσέγγισης). Συνυπολογίζουμε οποιαδήποτε πρόσβαση σε σημείο επικοινωνίας και ανταλλαγής δεδομένων. Από την κάθε συσκευή, στην κάθε υπηρεσία, από τον κάθε λογαριασμό σε οποιοδήποτε σημείο άντλησης και ανταλλαγής πληροφορίας. Αυτό από μόνο του δημιουργεί μια τεράστια δια-λειτουργικότητα που πρέπει να καλυφθεί με κάθε λεπτομέρεια.
Εφαρμογές και APIs ( Application Programming Interface) όπου χρησιμοποιούν οποιασδήποτε μορφής δεδομένα.” Κάθε εφαρμογή ή υπηρεσία που χρησιμοποιεί τα δεδομένα μας με οποιαδήποτε τρόπο, θα πρέπει να ελεγχθεί και να οριστούν τα μικρότερα δυνατά δικαιώματα πρόσβασης. Επίσης, θα χρειαστεί να τοποθετηθούν κατάλληλοι μηχανισμοί παρακολούθησης (auditing, monitoring, analytics) ώστε ανά πάσα στιγμή χρειαστεί να ανατρέξουμε σε πληροφορίες, να είμαστε σε θέση να τις ανακτήσουμε και αυτές να αφορούν σε διάφορα πιθανά συμβάντα.
Τα δεδομένα μας και ο τρόπος που αυτά αποθηκεύονται θα πρέπει να ελεγχθούν, να κατηγοριοποιηθούν και να περιοριστεί η προσβασιμότητά τους σε ρητά ορισμένες υπηρεσίες και κάτω υπό συγκεκριμένες συνθήκες.
Η ασφάλεια των δικτύων μας και η ασφάλεια της γενικότερης υποδομής μας, είναι επίσης από τα πιο σημαντικά κομμάτια της αρχιτεκτονικής που περιγράψαμε.
Συνοψίζοντας, θα έλεγα πως το μοντέλο μηδενικής εμπιστοσύνης προσφέρει μια βάση για πρόσφορη και ελεγμένη προσέγγιση σε Οργανισμούς που επιδιώκουν να συμβαδίσουν με τον ρυθμό του ψηφιακού μετασχηματισμού του σήμερα και του αύριο.
