Trust استراتژی امنیتی ضروری برای دنیای امروز است. در سال ۲۰۲۰، همه‌گیری جهانی تقریبا همه سازمان‌ها را وادار کرد تا از استراتژی Zero-Trust استفاده کنند، زیرا کارمندان از راه دور به فعالیت می‌پرداختند، شبکه‌های خصوصی مجازی (VPN) نقض شدند یا تحت تأثیر قرار گرفتند و تحول دیجیتال برای پایداری سازمانی امری حیاتی شد. دستور رویکرد Zero-Trust برای تأیید و امن‌سازی هر هویت، تأیید سلامت دستگاه، اعمال کمترین امتیاز و انتقال و بررسی داده‌ها از راه دور و امن‌سازی محیط دیجیتال پدیدار شد. دولت‌ها و کسب‌وکارها در سرتاسر جهان این امر را ضروری تشخیص دادند و اتخاذ استراتژی Zero-Trust را سرعت بخشیدند.

پنج نکته درباره استراتژی Zero-Trust به همراه اصول راهنمای آن

بهبود تجربه و بهره‌وری کاربر توسط Zero-Trust

مدل Zero-Trust به کاربران این امکان را می‌دهد تا با خیال راحت در خانه کار کنند، دستگاه‌های جدید را از هر مکانی ثبت کنند، جلسات امن برگزار کنند و به سطوح جدیدی از بهره‌وری دست یابند. استقرار موفقیت‌آمیز مدل Zero-Trust از تمام Telemetryهای موجود برای اولویت‌بندی تجربه کاربر و تسهیل کسب‌وکار استفاده می‌کند و به طور مؤثرتری مسئولیت‌ها را به سطح مناسب سازمان واگذار می‌کند. این سازمان‌ها به کاربران و مدیران شبکه با دیدگاه های امنیتی و حفاظت خودکار اجازه می‌دهند تا با اطمینان و چابکی به فعالیت بپردازند.

رویکرد Zero-Trust به افراد قدرت می‌دهد تا در هر زمان، در هر مکان و به هر صورتی که می‌خواهند فعالیت سازنده و امن داشته باشند.

اعمال مدل Zero-Trust به کل دارایی‌های دیجیتال سازمان خود

حملات اخیر نشان می‌دهد که مهاجمان از هر آسیب‌پذیری سوءاستفاده خواهند کرد. در مشاهدات ما، سازمان‌هایی در برابر چنین حملاتی بهترین عملکرد را داشتند که استراتژی‌های مدل Zero-Trust را به‌طور گسترده پذیرفته بودند. این سازمان‌ها با Inventory کامل و ارزیابی منابع در محیط‌های داخلی و ابری شروع کردند و حفاظت‌ها را براساس اهمیت نسبی آن‌ها برای کسب‌وکار خود اولویت‌بندی کردند. این امر با تأیید و حافظت از تمام جنبه‌های دارایی دیجیتال آن‌ها از جمله همه هویت‌های انسانی و غیر انسانی، پلت‌فرم‌های Endpoint، شبکه‌ها، میکروسرویس‌ها، ماشین‌های مجازی و بارهای کاری همراه بود.

اجرای مدل Zero-Trust نیازمند یک چشم‌انداز و برنامه جامع است که ابتدا نقاط عطف را براساس مهم‌ترین دارایی‌ها اولویت‌بندی می‌کند.

یکپارچه‌سازی تأیید و کنترل از میان ارکان امنیتی

مهاجمان از شکاف‌هایی که توسط برنامه‌ها و فرآیندهای منفرد و در معرض تهاجم ایجاد می‌شود، سوءاستفاده می‌کنند. برای جلوگیری از حمله، دید End-to-End و کنترل کل دارایی‌های امنیتی بسیار مهم است. سازمان‌هایی با ابزارهای جداگانه برای نظارت بر جنبه‌های فردی مانند شبکه، دسترسی به اینترنت و تریاژ اینترنت، دید کاملی از دارایی خود ندارند. یکپارچه‌سازی کنترل‌ها و تله‌متری در میان ارکان امنیتی، سازمان‌ها را قادر می‌سازد تا Policyهای یکپارچه را اعمال کنند و آن‌ها را به طور مداوم اجرا و در نتیجه وضعیت امنیتی قوی‌تری ایجاد کنند.

یکپارچه‌سازی استراتژی و Policy امنیتی توسط مدل Zero-Trust، تیم‌های فناوری اطلاعات را از هم جدا می‌کند تا دیدپذیری و حافظت بهتری را در پشته فناوری اطلاعات (IT Stack) فراهم کند.

نظارت بر وضعیت  امنیت خود توسط حاکمیت قوی

حاکمیت قوی به طور مستقیم با عملکرد مدل Zero-Trust مرتبط است. سازمان‌هایی با استراتژی‌های پیشرفته، ادعاهای امنیتی کسب‌وکار را با ارزیابی منظم ادعاهای امنیتی فنی مانند «آیا این دستگاه ثبت شده است» یا «آیا این داده‌ها محرمانه است؟» بررسی می‌کنند.

بهترین استراتژی‌های مدل Zero-Trust مبتنی بر مدل‌های حاکمیتی است که یکپارچگی داده‌ها را برای ارزیابی و بهبود مستمر تضمین می‌کند. تجزیه‌و‌تحلیل این سیگنال‌های امنیتی و بهره‌وری به ارزیابی فرهنگ امنیتی، شناسایی نقاط بهبود یا بهترین راهکارها کمک می‌کند.

اجرای حاکمیت قوی با یک رویکرد مدل Zero-Trust شامل تایید ادعاهای تجاری، ارزیابی وضعیت امنیتی و درک تاثیر فرهنگ امنیتی است.

خودکارسازی برای تسهیل و تقویت وضعیت امنیتی

خودکارسازی برای یک برنامه امنیتی قوی و پایدار امری حیاتی است. بهترین استقرار Zero-Trust وظایف روتین مانند تهیه منابع و بررسی دسترسی را خودکارسازی می‌کند. این سازمان‌ها از یادگیری ماشین و هوش مصنوعی در تاکتیک‌های حفاظت از تهدید مانند خودکارسازی امنیتی و هماهنگ‌سازی برای دفاع از خود، استفاده می‌کنند. انجام این موارد آن‌ها را قادر می‌سازد تا بعد از ی مدلک حمله سریع زیرساخت ها را بازسازی کنند. با توجه به افزایش تولید اعلان‌های تهدید و هشدارها در مرکز عملیات امنیت (SOC) امروزی، خودکارسازی برای مدیریت محیط دیجیتال با سرعت و مقیاس موردنیاز و برای همگام شدن با حملات امروزی امری حیاتی است.

رویکرد مدل Zero-Trust خودکارسازی کارهای معمول را در اولویت قرار می‌دهد و فعالیت‌های دستی را کاهش می‌دهد تا تیم‌های امنیتی بتوانند روی تهدیدات حیاتی تمرکز کنند.

اصول راهنمای مدل Zero-Trust

پیاده‌سازی‌های واقعی، اصول اصلی یک استراتژی مدل Zero-Trust موفق را آزمایش و اثبات کرده‌اند.

 بررسی صریح (Verify explicitly)

همیشه تصمیمات امنیتی خود را با استفاده از همه ابعاد داده‌های موجود نظیر هویت، مکان، سلامت دستگاه، منابع، دسته‌بندی داده‌ها و ناهنجاری‌ها بگیرید.

استفاده از حداقل دسترسی

سطوح دسترسی را با دسترسی به موقع و به اندازه کافی (JIT/JEA) و Policyهای انطباقی مبتنی بر ریسک محدود کنید.

فرض بر نقض داده

شعاع خرابکاری را با تقسیم‌بندی‌های کوچکتر، رمزنگاری End-to-End، نظارت مستمر و تشخیص و پاسخ خودکار تهدید به حداقل برسانید.

معماری Zero-Trust

معماری مدل Zero-Trust به منظور تأکید بر اهمیت حیاتی یکپارچه‌سازی اجرای Policy و خودکارسازی آن، هوش تهدیدات و محافظت از تهدید در ارکان امنیتی در ادامه آورده شده است. این عناصر یکپارچه روی تله متری در هر رکن امنیتی عمل می‌کنند تا تصمیمات را با سیگنال های Real Time اعلام کنند.

مدل بلوغ (Maturity Model)

با سؤالات زیر تعیین کنید که سازمان شما در سیر Zero-Trust خود کجاست:

مرحله اول

• آیا با روش‌های احراز هویت قوی مانند MFA و ارائه دسترسی SSO به برنامه‌های ابری، خطرات رمزعبور را کاهش می‌دهید؟
• آیا برای تشخیص فعالیت‌های غیرعادی، به انطباق دستگاه، محیط‌های ابری و ورود به سیستم دید دارید؟
• آیا شبکه‌های شما برای جلوگیری از حرکت جانبی نامحدود در محیط Firewall تقسیم‌بندی شده‌اند؟

پیشرفت قابل توجه

• آیا از تجزیه‌وتحلیل ریسک Real Time برای ارزیابی رفتار کاربر و سلامت دستگاه به منظور تصمیم‌گیری هوشمندانه استفاده می‌کنید؟
• آیا می‌توانید سیگنال‌های امنیتی را در ارکان متعدد برای شناسایی تهدیدهای پیشرفته و انجام اقدام سریع همبسته‌سازی کنید؟
• آیا به طور فعال آسیب‌پذیری‌های ناشی از پیکربندی‌های نادرست و Patchهای گمشده را برای کاهش بردارهای تهدید پیدا و برطرف می‌کنید؟

بالغ‌ترین مرحله

• آیا می‌توانید پس از اعطای دسترسی برای جلوگیری از تخلفات، Policyها را به صورت پویا اجرا کنید؟
• آیا محیط شما با استفاده از تشخیص و پاسخ خودکار تهدید به منظور واکنش سریع به تهدیدات پیشرفته محافظت می‌شود؟
• آیا سیگنال‌های امنیتی و بهره‌وری را برای کمک به بهینه‌سازی تجربه کاربر از طریق بینش‌های خوددرمانی (Self- Healing) و عملی تجزیه‌وتحلیل می‌کنید؟

آینده مدل Zero-Trust چیست؟

مدل Zero-Trust یک مدل پویا است که به تکامل خود ادامه خواهد داد. در اینجا روندهایی وجود دارد که مایکروسافت انتظار دارد به تکامل Zero-Trust سرعت بخشد:

یکپارچه‌سازی عمیق‌تر در بین ارکان امنیتی، اجرای Policyهای یکپارچه را ساده می‌کند.

تمرکز مدل Zero-Trust تغییر مسیر از امن‌سازی ارکان فردی با Policyها و کنترل‌های صحیح به یکپارچه‌سازی Policy در بین ارکان، حصول اطمینان از اجرای منسجم و حفاظت همه‌جانبه است. به عنوان مثال، یکپارچه‌سازی Policy بین هویت (Identity) و نقاط پایانی پیش از این امکان‌پذیر بوده است. اکنون شاهد همگرایی کنترل‌های دسترسی بین هویت و شبکه هستیم که به تیم‌های امنیتی اجازه می‌دهد تا Policyهای دقیق و ثابتی را برای همه کاربران در همه منابع اعمال کنند. در آینده، این یکپارچگی Policyها به ارکان Zero-Trust بیشتری گسترش می‌یابد تا تیم‌های امنیتی بتوانند اجرای آن را در کل دارایی خود خودکارسازی کرده و به وضعیت امنیتی قوی‌تری دست یابند.

هوش تهدیدات و پاسخ دهی خودکار، تیم‌های امنیتی را توانمندتر می‌سازد.

با پیچیده و گسترده‌تر شدن حملات، هوش تهدیدات برای همبستگی سیگنال‌ها در ارکان و اولویت‌بندی حوادث امری حیاتی است. تشخیص و پاسخ گسترده و یکپارچه (XDR) در ارکان، نقشی محوری در ارائه دید End-to-End و پاسخ خودکار برای محافظت از دارایی‌ها، اصلاح تهدیدات و تحقیقات پشتیبانی ایفا می‌کند. همچنین این رویکرد تیم‌های امنیتی را با زمان و تله‌متری که برای شناسایی، بازدارندگی و شکست حیاتی‌ترین حملات و خطراتی که در داخل و خارج با آن مواجه هستند، توانمند می‌سازد.

فرآیندهای نرم افزار و عملیات توسعه (DevOps) براساس اصول مدل Zero-Trust اطلاع رسانی خواهند شد.

دسترسی کاربر به کد و ابزارهای توسعه از دسترسی به‌موقع و کافی برای به حداقل رساندن قرارگیری در معرض اطلاعات و منابع امن استفاده می‌کند. سازمان‌ها صریحا یکپارچگی امنیت برنامه کاربردی و نرم‌افزار را با استفاده از آزمایش داخلی و خارجی تأیید می کنند. برنامه‌های کاربردی مدرن و ابزارهای مدیریت شبکه به طور مداوم سیگنال‌ها را تأیید و Policyها را به صورت Real-Time برای محافظت مؤثرتر از داده‌ها اعمال می‌کنند. سازمان‌ها می‌توانند رویکردمدل Zero-Trust را بدون نیاز به اصلاح برنامه‌ها پیاده‌سازی کنند. یکپارچه‌سازی‌های بومی، اتصالات داخلی و رابط‌های برنامه‌های کاربردی قابل پیکربندی (API) تلاش لازم برای یکپارچه‌سازی بین این بردارها را ساده می‌کند.

مدل Zero-Trust کارایی مدیریت وضعیت امنیتی را افزایش می‌دهد.

همان‌طور که ابزارهای امنیتی هوشمندتر می‌شوند، IT را قدرتمندتر می‌سازند و به ساده‌سازی پیچیدگی پیکربندی و مدیریت Policyها کمک می‌کنند. مدیریت وضعیت Zero-Trust خطراتی مانند جابجایی پیکربندی، وصله‌های نرم‌افزاری از دست رفته و شکاف‌های Policyهای امنیتی را ارزیابی می‌کند. همان‌طور که ابزارهای مدیریت وضعیت امنیتی به تکامل می‌رسند، ما انتظار داریم که آن‌ها از سازمان‌ها بهتر حمایت کنند تا وضعیت خود را با شناسایی نقاط بهبود براساس بهترین راه‌کارها و زمینه‌های تاریخی، بهبود بخشند. تغییرات پیکربندی را با یک کلیک فعال کنند و ارزیابی‌های تأثیر را برای بهینه‌سازی پوشش و عرضه‌هایی ارائه دهند که بهره‌وری کاربر نهایی را افزایش می‌دهد.

خدمات مشاوره نقش حیاتی در انطباق و مقیاس‌بندی مدل Zero-Trust خواهند داشت.

تقریبا در هر سازمانی که معماری مدل Zero-Trust را پیاده‌سازی می‌کند یا آماده اجرای آن است، خدمات امنیتی برای رفع کمبود مهارت‌های IT، ظرفیت کارکنان و تقویت وضعیت امنیتی امری ضروری است. همان‌طور که سیلوهای بین ستون های امنیتی شکسته می شوند، خدمات مشاوره امنیتی برای تطبیق کارآمدتر استراتژی‌های مدل Zero-Trust با الزامات سازمان‌هایی که از نظر اندازه و نوع صنعت متفاوت هستند، تکامل خواهند یافت.

نتیجه‌گیری

مدل Zero-Trust برای تیم‌های تجاری، فناوری و امنیتی ضروری است که از همه چیز همان‌طور که هست و می‌تواند محافظت کنند. این یک سیر مداوم برای متخصصان امنیتی است، اما شروع با اولین گام‌های ساده، احساس فوریت مداوم و بهبودهای مکرر مداوم آغاز می‌شود. فراتر از درس‌ها و روندهای پوشش داده شده در این مقاله، راهنمایی های فنی و منابع موجود می‌تواند به تیم‌های شما کمک کند تا سیر Zero-Trust خود را شروع یا پیش ببرند.

پیوست

مؤلفه‌های معماری Zero-Trust

جدول مدل بلوغ