{"id":119713,"date":"2023-07-19T15:49:00","date_gmt":"2023-07-19T13:49:00","guid":{"rendered":"https:\/\/fotc.com\/?p=119713"},"modified":"2023-09-27T15:55:50","modified_gmt":"2023-09-27T13:55:50","slug":"zero-trust","status":"publish","type":"post","link":"https:\/\/fotc.com\/pl\/blog\/zero-trust\/","title":{"rendered":"Model Zero Trust w Google"},"content":{"rendered":"\n

Dzia\u0142anie zgodnie z zasad\u0105 ograniczonego zaufania kiedy\u015b mog\u0142o by\u0107 wystarczaj\u0105ce. Rosn\u0105ca liczba zagro\u017ce\u0144, zar\u00f3wno zewn\u0119trznych jak i od \u015brodka organizacji, zmuszaj\u0105 jednak firmy do surowej kontroli dost\u0119pu i lepszych zabezpiecze\u0144 przed utrat\u0105 danych. Odpowiedzi\u0105 na ich bol\u0105czki jest model Zero Trust security.<\/strong><\/p>\n\n\n\n

Uwierzytelnianie wielosk\u0142adnikowe nie wystarczy<\/h2>\n\n\n\n

Do niedawna dzia\u0142y bezpiecze\u0144stwa firm na ca\u0142ym \u015bwiecie zabezpiecza\u0142y infrastruktur\u0119 za pomoc\u0105 wysokiego „muru ochronnego,” kt\u00f3ry mia\u0142 chroni\u0107 cenne dane firmy.<\/p>\n\n\n\n

Za kontrol\u0119 dost\u0119pu odpowiedzialne by\u0142o has\u0142o, czasem uwierzytelnianie dwusk\u0142adnikowe lub wielosk\u0142adnikowe. Jednak zasada by\u0142a taka sama: po przej\u015bciu przez „mur obronny” u\u017cytkownik by\u0142 uznawany za bezpiecznego. I to na sta\u0142e. Jak si\u0119 okazuje, to jednak spory b\u0142\u0105d.<\/p>\n\n\n\n

Kiedy mur runie<\/h2>\n\n\n\n

W 2009 roku 20 wielkich firm technologicznych sta\u0142o si\u0119 ofiarami pot\u0119\u017cnego ataku hakerskiego. Architekci chmurowi zdali sobie w\u00f3wczas spraw\u0119 z zawodno\u015bci swoich system\u00f3w bezpiecze\u0144stwa i z potrzeby ich modernizacji. W\u00f3wczas r\u00f3wnie\u017c ochrona danych by\u0142a w centrum zainteresowania. Stworzono wi\u0119c i wdro\u017cono nowe \u015brodki ochrony wra\u017cliwych danych, oparte na „zerowym zaufaniu”.<\/p>\n\n\n\n

Architektura Zero Trust z biegiem czasu sta\u0142 si\u0119 standardem w bran\u017cy. Wed\u0142ug bada\u0144 Forrestera<\/a>, w roku 2022 a\u017c 83% organizacji na ca\u0142ym \u015bwiecie by\u0142o w trakcie lub po wdro\u017ceniu modelu Zero Trust.<\/p>\n\n\n\n

Intruz od wewn\u0105trz<\/h2>\n\n\n\n

Systemy bezpiecze\u0144stwa oparte na postawieniu muru, niezale\u017cnie jak wysokiego, jest obecnie uznawane za przestarza\u0142e. Ma na to wp\u0142yw kilka czynnik\u00f3w: upowszechnienie si\u0119 pracy zdalnej, zagro\u017cenia pojawiaj\u0105ce si\u0119 w samej organizacji (m.in<\/a>. korzystanie z w\u0142asnych urz\u0105dze\u0144, zw\u0142aszcza w przypadku dostawc\u00f3w us\u0142ug), rosn\u0105ca liczba dostawc\u00f3w, czy te\u017c samych urz\u0105dze\u0144 \u0142\u0105cz\u0105cych si\u0119 z sieci\u0105 organizacji.<\/p>\n\n\n\n

\"\"\/<\/figure>\n\n\n\n

Niemal\u017ce wyk\u0142adniczy wzrost liczby potencjalnych zagro\u017ce\u0144 i s\u0142abych punkt\u00f3w infrastruktury zmusi\u0142y firmy do zmiany modelu zabezpiecze\u0144 i kontroli. Mo\u017ce si\u0119 wydawa\u0107 przesadnym, ale jedynym sposobem na zagwarantowanie bezpiecznej pracy jest domy\u015blny ca\u0142kowity brak zaufania wobec ka\u017cdego. Niezale\u017cnie od tego, gdzie si\u0119 znajduje, ka\u017cdy u\u017cytkownik musi zosta\u0107 poddany weryfikacji. Google jest jednym z najwi\u0119kszych zwolennik\u00f3w podej\u015bcia „never trust, always verify,” na kt\u00f3rym oparty jest model Zero Trust.<\/p>\n\n\n

\r\n
\r\n
\r\n
\r\n Architektura Landing Zone<\/span>\r\n <\/div>\r\n
\r\n
<\/div>\r\n <\/div>\r\n <\/div>\r\n
\r\n

W jaki spos\u00f3b wdra\u017ca\u0107 bezpieczne \u015brodowiska w Google Cloud?<\/p><\/div>\r\n

\r\n Zapisz si\u0119 na webinar<\/a>\r\n \r\n <\/div>\r\n <\/div>\r\n <\/div>\r\n<\/div>\n\n\n

Jak dzia\u0142a Zero Trust?<\/h2>\n\n\n\n

Model Zero Trust zak\u0142ada brak zaufania wobec zasob\u00f3w, niezale\u017cnie od tego, gdzie si\u0119 znajduj\u0105 (wewn\u0105trz czy na zewn\u0105trz organizacji). W tym celu us\u0142ugi Google Cloud oraz Google Workspace weryfikuje ka\u017cde \u017c\u0105danie i u\u017cytkownika, a tak\u017ce parametry urz\u0105dzenia, z kt\u00f3rego si\u0119 \u0142\u0105czy.<\/p>\n\n\n\n

Jednostka kontra grupa<\/h3>\n\n\n\n

Organizacje, kt\u00f3rym zale\u017cy na bezpiecze\u0144stwie sieci wra\u017cliwych zasob\u00f3w nie mog\u0105 polega\u0107 na tradycyjnym VPN-ie. W ramach modelu Zero Trust, Google wdro\u017cy\u0142 szereg procedur, kt\u00f3re weryfikuj\u0105 i uwierzytelniaj\u0105 w spos\u00f3b ci\u0105g\u0142y. Dost\u0119p do zasob\u00f3w chmurowych zostaje przydzielony dopiero po prawid\u0142owej weryfikacji, czy pr\u00f3ba uzyskania dost\u0119pu spe\u0142nia wymogi bezpiecze\u0144stwa. W tym celu system musi zbiera\u0107 jak najwi\u0119cej informacji o stanie zasob\u00f3w i stanie infrastruktury sieciowej, aby ci\u0105gle poprawia\u0107 bezpiecze\u0144stwo.<\/p>\n\n\n\n

Identity Aware Proxy<\/h3>\n\n\n\n

Aby sprawdzi\u0107 ka\u017cde \u017c\u0105danie dost\u0119pu, model zabezpiecze\u0144 Identity Aware Proxy zapewnia pe\u0142ne monitorowanie w czasie rzeczywistym wszystkich atrybut\u00f3w to\u017csamo\u015bci zar\u00f3wno u\u017cytkownika, jak i jego urz\u0105dzenia. Atrybuty te to mi\u0119dzy innymi:<\/p>\n\n\n\n

To\u017csamo\u015b\u0107 u\u017cytkownika i protok\u00f3\u0142 uwierzytelniaj\u0105cy<\/strong><\/h4>\n\n\n\n

Czy na pewno u\u017cytkownik jest tym, za kogo si\u0119 podaje? Dopiero po weryfikacji, system bezpiecze\u0144stwa nada mu odpowiednie uprawnienia.<\/p>\n\n\n\n

Rodzaj uwierzytelnienia i uprawnienia<\/strong><\/h4>\n\n\n\n

Mog\u0105 one by\u0107 r\u00f3\u017cne na r\u00f3\u017cnych urz\u0105dzeniach.<\/p>\n\n\n\n

Wzorce zachowa\u0144<\/strong><\/h4>\n\n\n\n

Potencjalne zagro\u017cenie jest zwi\u0105zane z podejrzan\u0105 aktywno\u015bci\u0105. Coraz cz\u0119\u015bciej, systemy wspomagane sztuczn\u0105 inteligencj\u0105 s\u0142u\u017c\u0105 do wykrywania podejrzanej aktywno\u015bci i atak\u00f3w.<\/p>\n\n\n\n

Informacja o urz\u0105dzeniu ko\u0144cowym<\/strong><\/h4>\n\n\n\n

W tym miejscy nast\u0119puje weryfikacja, czy u\u017cytkownik np. zmieni\u0142 sw\u00f3j sprz\u0119t. Tutaj te\u017c nale\u017cy wyja\u015bni\u0107 w\u0105tpliwo\u015bci, je\u015bli co\u015b si\u0119 nie zgadza.<\/p>\n\n\n\n

Geolokacja<\/strong><\/h4>\n\n\n\n

Przed udzieleniem dost\u0119pu system musi sprawdzi\u0107, czy u\u017cytkownik faktycznie znajduje si\u0119 tam, gdzie twierdzi i miejsce z kt\u00f3rego pochodzi \u017c\u0105danie nie jest podejrzane.<\/p>\n\n\n\n

Aktualizacje oprogramowania i systemu operacyjnego<\/strong><\/h4>\n\n\n\n

System upewnia si\u0119, czy u\u017cytkownik nie jest podatny na ataki ze wzgl\u0119du na nieaktualne wersje oprogramowania.<\/p>\n\n\n\n

Zainstalowane aplikacje<\/strong><\/h4>\n\n\n\n

Wykrywanie zagro\u017ce\u0144 p\u0142yn\u0105cych z oprogramowania znajduj\u0105cego si\u0119 na sprz\u0119cie u\u017cytkownika. System sprawdzi, czy urz\u0105dzenie ko\u0144cowe nie jest zainfekowane z\u0142o\u015bliwym oprogramowaniem typu malware.<\/p>\n\n\n\n

Polityki kontekstowe w modelu Zero Trust<\/h3>\n\n\n\n

W jaki spos\u00f3b zatem przydzielane s\u0105 dost\u0119py zasobom? Eksperci Google Cloud zalecaj\u0105 stosowanie szeregu kompleksowych polityk kontekstowych. Daj\u0105 one mo\u017cliwo\u015b\u0107 uzyskania dost\u0119pu z dowolnego miejsca na podstawie typu u\u017cytkownika i przypisanych uprawnie\u0144 do danego typu, a nie na podstawie jego lokalizacji.<\/p>\n\n\n\n

\"Access<\/figure>\n\n\n\n

Wszyscy u\u017cytkownicy i urz\u0105dzenia s\u0105 traktowane jednakowo, niezale\u017cnie od tego, czy przeszli przez pierwsz\u0105 lini\u0119 obrony, czyli logowanie. Tylko w ten spos\u00f3b firma mo\u017ce si\u0119 chroni\u0107 przed zagro\u017ceniami wewn\u0105trz, jak i na zewn\u0105trz organizacji. Tak samo nale\u017cy nie ufa\u0107 zasobom we w\u0142asnej infrastrukturze jak i tym w chmurze.<\/p>\n\n\n\n

Google zapewnia bezpieczny dost\u0119p do konkretnych zasob\u00f3w za pomoc\u0105 BeyondCorp.<\/p>\n\n\n\n

BeyondCorp Enterprise<\/h3>\n\n\n\n

Google wdra\u017ca model Zero Trust za pomoc\u0105 us\u0142ugi BeyondCorp Enterprise. Tworz\u0105c BeyondCorp Google skorzysta\u0142 z do\u015bwiadczenia gromadzonych przez ponad dekad\u0119, jak r\u00f3wnie\u017c do\u015bwiadcze\u0144 i najlepszych praktyk ca\u0142ej bran\u017cy. BeyondCorp przydziela dost\u0119p konkretnym zasobom za pomoc\u0105 silnika kontroli dost\u0119pu. Dzi\u0119ki temu, \u017ce kontrola to\u017csamo\u015bci u\u017cytkownik\u00f3w nast\u0119puje nie na brzegu sieci firmowej, lecz na ka\u017cdym urz\u0105dzeniu ko\u0144cowym, nie ma potrzeby \u0142\u0105czenia si\u0119 za pomoc\u0105 tradycyjnego VPN-a.<\/p>\n\n\n\n

\"BeyondCorp<\/figure>\n\n\n\n

Jak BeyondCorp Enterprise mo\u017ce pom\u00f3c mojej firmie?<\/h2>\n\n\n\n

W modelu Zero Trust nie ma sieci zaufanych i niezaufanych. Dost\u0119p do zasob\u00f3w podlega ci\u0105g\u0142ej weryfikacji. Ka\u017cde uwierzytelnienie nast\u0119puje w oparciu o rol\u0119 u\u017cytkownika oraz zadania, kt\u00f3re ma wykona\u0107. Jest to mo\u017cliwe, poniewa\u017c BeyondCorp Enterprise mo\u017ce obejmowa\u0107 ca\u0142\u0105 infrastruktur\u0119 informatyczn\u0105 firmy.<\/p>\n\n\n\n

Pierwszym krokiem w celu poprawy bezpiecze\u0144stwa infrastruktury jest zdefiniowanie, kt\u00f3re grupy u\u017cytkownik\u00f3w maj\u0105 mie\u0107 dost\u0119p do kt\u00f3rych zasob\u00f3w. Nast\u0119pnie ogranicza si\u0119 dost\u0119p tylko do grup, kt\u00f3re s\u0105 do tego uprawnione. Na przyk\u0142ad:<\/p>\n\n\n\n