مدل Zero Trust چیست؟Zero Trust یک استراتژی امنیتی است—نه یک محصول یا فناوری واحد. این مدل بر اساس اصل «به هیچکس اعتماد نکن، همیشه تأیید بگیر» عمل میکند. برخلاف رویکردهای سنتی که فرض میکنند همهچیز درون شبکه امن است، Zero Trust ایجاب میکند که هر درخواست دسترسی، صرفنظر از محل ارسال، احراز هویت و مجوزدهی شود.
رویکردهای امنیتی سنتی اغلب بر مدل «قلعه و خندق» متکی بودند: کنترلهای قوی پیرامونی ترافیک غیرمجاز را دور نگه میداشت و همهچیز درون شبکه امن فرض میشد. این مدل زمانی کارآمد بود که کارمندان از یک دفتر ثابت کار میکردند و دادهها کاملاً درونسایتی بودند. اما امروزه این محیط برای اکثر سازمانها صدق نمیکند.
امروزه کار از هر جایی انجام میشود. کارمندان از دستگاههای شخصی و سازمانی استفاده میکنند، از شبکههای خانگی و مکانهای عمومی متصل میشوند، و به دادهها در سراسر سرویسهای ابری متعدد دسترسی دارند. دادههای سازمانی بین دیتاسنترهای on-premises، پلتفرمهای ابری، و اپلیکیشنهای شخص ثالث جابهجا میشوند. در این محیط، صرفاً مرز شبکه دیگر یک مرز امنیتی قابلاطمینان نیست. مهاجمان بهطور معمول از طریق فیشینگ، سرقت اعتبارنامه، و آسیبپذیریهای اپلیکیشن، کنترلهای پیرامونی را دور میزنند—و زمانی که وارد شدند، اگر داخل شبکه بهطور پیشفرض مورد اعتماد باشد، میتوانند در شبکه حرکت کنند.
Zero Trust با فرض اینکه هیچ شبکه، دستگاه، کاربر، یا اپلیکیشنی نباید بهطور پیشفرض مورد اعتماد باشد، حتی آنهایی که قبلاً احراز هویت کردهاند یا به یک شبکه قابلاعتماد متصل هستند، به این واقعیت پاسخ میدهد.
اصول راهنمای Zero Trustمدل Zero Trust بر اساس سه اصل راهنما بنا شده است که نحوه تصمیمگیریهای امنیتی را در هر بخش از سازمان شکل میدهد:
Verify explicitly: همیشه بر اساس همه سیگنالهای موجود احراز هویت و مجوزدهی کنید، نه فقط یک عامل مانند رمز عبور یا موقعیت شبکه. سیگنالها شامل هویت کاربر، موقعیت ورود او، دستگاهی که استفاده میکند و وضعیت انطباق آن، سرویس یا اپلیکیشن در حال دسترسی، طبقهبندی دادههای مربوطه، و هر گونه ناهنجاری مانند زمان یا مکان ورود غیرمعمول است. هرچه سیگنالهای بیشتری بتوانید ارزیابی کنید، اطمینان شما بیشتر خواهد بود که فرد مناسب به منبع مناسب دسترسی دارد.
Use least privileged access: فقط حداقل دسترسی موردنیاز برای انجام کار را به کاربران و سیستمها بدهید، و فقط تا زمانی که به آن نیاز دارند. این اصل از طریق دسترسی just-in-time (JIT)—اعطای دسترسی فقط زمانی که لازم است و لغو آن پس از آن—و just-enough-access (JEA)—اعطای فقط مجوزهای خاص موردنیاز برای یک کار، به جای مجوزهای گسترده «برای احتیاط»—پیادهسازی میشود. سیاستهای تطبیقی مبتنی بر ریسک نیز میتوانند زمانی که فعالیت غیرعادی یا پرریسک تشخیص داده میشود، بهطور خودکار دسترسی را محدود کنند.
Assume breach: استراتژی امنیتی خود را طوری طراحی کنید که گویی یک مهاجم در نهایت از دفاعهای شما عبور خواهد کرد. وقتی فرض میکنید که نقض امنیتی رخ داده است، دسترسی را segment میکنید تا یک حساب یا دستگاه بهخطرافتاده نتواند آزادانه به بقیه بخشها دسترسی پیدا کند. دادهها را end-to-end رمزگذاری میکنید تا دادههای رهگیری شده غیرقابلخواندن باشند. مانیتورینگ و تحلیل را مستقر میکنید تا زمانی که نقضی رخ میدهد، بهسرعت آن را تشخیص دهید، بفهمید به چه چیزی دسترسی پیدا شده است، و بتوانید خسارت را محدود کنید.
این سه اصل نحوه پیادهسازی هر جنبه از امنیت را هدایت میکنند: نحوه احراز هویت کاربران، نحوه اعتماد به دستگاهها، نحوه مجوزدهی به اپلیکیشنها، و نحوه محافظت از دادهها.هفت ستون بنیادیندر مدل Zero Trust، امنیت در هفت ستون بههمپیوسته پیادهسازی میشود. شش مورد از این ستونها منابع سیگنال، یک صفحه کنترل برای اجرا، و منابع حیاتی برای دفاع هستند. ستون هفتم سیگنالهای هر شش ستون را جمعآوری کرده و دید، اتوماسیون، و هماهنگی موردنیاز برای پاسخگویی به تهدیدات و کاهش آنها را فراهم میکند.
Identities: میتوانند کاربران، سرویسها، یا دستگاهها باشند. وقتی یک identity سعی میکند به یک منبع دسترسی پیدا کند، باید قبل از اعطای دسترسی، با احراز هویت قوی تأیید شود. پس از احراز هویت، دسترسی توسط اصول least-privilege اداره میشود—اعطای فقط دسترسی موردنیاز برای کار خاص. Identity صفحه کنترل اصلی برای امنیت مدرن است، زیرا تقریباً تمام حملات موفق در نهایت به بهخطرانداختن یا سوءاستفاده از یک identity متکی هستند.
Devices: یک سطح حمله بزرگ ایجاد میکنند زیرا دادهها از دستگاهها به workloadهای on-premises و ابر جریان مییابند. هر دستگاهی که به منابع شما دسترسی دارد، یک نقطه ورود بالقوه برای مهاجمان ا
رمزنگاری و هشینگ یکی از راه های مقابله با تهدیدات رایج امنیت سایبری، رمزنگاری داده های حساس یا ارزشمند است. رمزنگاری فرآیندی است که داده ها را برای بینندگان غیرمجاز غیرقابل خواندن و غیرقابل استفاده می کند. برای استفاده یا خواندن داده های رمزگذاری شده، باید رمزگشایی شود که نیازمند استفاده از کلید مخفی است. حتی اگر مهاجم داده های رمزگذاری شده را رهگیری یا به آن ها دسترسی پیدا کند، بدون کلید مربوطه برای او بی فایده باقی می ماند.انواع رمزنگاریرمزنگاری متقارنرمزنگاری متقارن از همان کلید برای رمزنگاری و رمزگشایی داده ها استفاده می کند. از آنجا که تنها یک کلید درگیر است، رمزنگاری متقارن از نظر محاسباتی سریع است و برای رمزگذاری حجم زیادی از داده ها مناسب است—برای مثال، فایل های ذخیره شده روی هارد دیسک یا رکوردهای یک پایگاه داده.
چالش اصلی رمزنگاری متقارن توزیع کلید است: هر دو طرف به یک کلید مخفی یکسان دسترسی دارند و به اشتراک گذاری امن آن کلید—به ویژه از طریق شبکه—می تواند دشوار باشد.
رمزنگاری نامتقارنرمزنگاری نامتقارن از یک جفت کلید استفاده می کند: کلید عمومی و کلید خصوصی. این کلیدها از نظر ریاضی مرتبط هستند، اما نمی توانید کلید خصوصی را از کلید عمومی استخراج کنید.http://ble.ir/it_networkداده هایی که با کلید عمومی رمزگذاری شده اند فقط با کلید خصوصی مربوطه قابل رمزگشایی هستند.داده هایی که با کلید خصوصی امضا شده اند را می توان با کلید عمومی مربوطه تأیید کرد.از آنجا که کلید عمومی می تواند آزادانه به اشتراک گذاشته شود، رمزنگاری نامتقارن مسئله توزیع کلید رمزنگاری متقارن را حل می کند. هر کسی می تواند داده ها را با کلید عمومی شما رمزنگاری کند، اما فقط شما—که کلید خصوصی را دارید—می توانید آن را رمزگشایی کنید. رمزنگاری نامتقارن در بسیاری از پروتکل های امنیتی که روزانه با آن ها تعامل دارید استفاده می شود، از جمله HTTPS که وب سایت ها را امن می کند و رمزنگاری ایمیل.
هشینگهشینگ از الگوریتمی برای تبدیل هر ورودی به رشته ای با طول ثابت از کاراکترها به نام هش (یا digest) استفاده می کند. برخلاف رمزنگاری، هشینگ یک فرایند یک طرفه است: شما نمی توانید هش را معکوس کنید تا ورودی اصلی را بازیابی کنید. هر بار که همان ورودی با همان الگوریتم هش می شود، همان مقدار هش تولید می شود که هش را به یک اثر انگشت منحصر به فرد قابل اعتماد برای آن داده تبدیل می کند.
هشینگ با رمزنگاری متفاوت است چون از کلید استفاده نمی کند و مقدار هش شده را نمی توان به داده اصلی بازگرداند. این موضوع هشینگ را برای موقعیت هایی که نیاز به تأیید داده ها بدون نیاز به ذخیره یا خواندن مقدار اصلی دارید، مفید می کند. چگونه هشینگ رمزهای عبور را محافظت می کندهشینگ به طور گسترده برای محافظت از رمزهای عبور ذخیره شده استفاده می شود. به جای ذخیره رمز عبور واقعی کاربر، سیستم فقط هش آن رمز عبور را ذخیره می کند. وقتی کاربر وارد می شود، سیستم رمز عبوری را که وارد می کند هش کرده و با هش ذخیره شده مقایسه می کند. اگر هش ها مطابقت داشته باشند، احراز هویت موفق می شود—بدون اینکه سیستم هرگز رمز عبور واقعی را به صورت متن ساده ذخیره یا ارسال کند.http://ble.ir/it_networkاین کار امن تر از ذخیره رمزهای عبور متن ساده است، زیرا حتی اگر پایگاه داده رمز عبور دزدیده شود، مهاجم فقط هش دریافت می کند. با این حال، هش کردن پایه یک آسیب پذیری شناخته شده دارد: چون توابع هش قطعی هستند، مهاجمان می توانند هش های میلیون ها رمز عبور رایج را پیش محاسبه کرده و آن ها را در جداول—که به آن ها جدول رنگین کمان یا حملات دیکشنری گفته می شود—جستجو کنند تا تطابق پیدا کنند.
نمک پاشی یا Saltingبرای دفاع در برابر حملات از پیش محاسبه شده، معمولا رمزهای عبور قبل از هش کردن نمک گذاری می شوند. نمک یک مقدار منحصر به فرد و تصادفی است که برای هر رمز عبور جداگانه ایجاد شده و قبل از هش کردن به آن اضافه می شود. چون هر رمز عبور نمک متفاوتی دریافت می کند، دو کاربر با همان رمز عبور هش های متفاوتی در پایگاه داده تولید می کنند. این باعث می شود جداول رنگین کمانی از پیش محاسبه شده مؤثر نباشند، زیرا مهاجم برای هر مقدار نمک ممکن به یک جدول جستجوی جداگانه نیاز دارد.
سالت کردن یک روش استاندارد و بهترین روش در ذخیره سازی رمز عبور امن است و برای هر سیستم احراز هویت به درستی پیاده سازی شده ضروری است.
هشینگ با رمزنگاری متفاوت است چون از کلید استفاده نمی کند و مقدار هش شده را نمی توان به داده اصلی بازگرداند. این موضوع هشینگ را برای موقعیت هایی که نیاز به تأیید داده ها بدون نیاز به ذخیره یا خواندن مقدار اصلی دارید، مفید می کند. چگونه هشینگ رمزهای عبور را محافظت می کندهشینگ به طور گسترده برای محافظت از رمزهای عبور ذخیره شده استفاده می شود. به جای ذخیره رمز عبور واقعی کاربر، سیستم فقط هش آن رمز عبور را ذخیره می کند. وقتی کاربر وارد می شود، سیستم رمز عبوری را که وارد می کند هش کرده و با هش ذخیره شده مقایسه می کند. اگر هش ها مطابقت داشته باشند، احراز هویت موفق می شود—بدون اینکه سیستم هرگز رمز عبور واقعی را به صورت متن ساده ذخیره یا ارسال کند.http://ble.ir/it_networkاین کار امن تر از ذخیره رمزهای عبور متن ساده است، زیرا حتی اگر پایگاه داده رمز عبور دزدیده شود، مهاجم فقط هش دریافت می کند. با این حال، هش کردن پایه یک آسیب پذیری شناخته شده دارد: چون توابع هش قطعی هستند، مهاجمان می توانند هش های میلیون ها رمز عبور رایج را پیش محاسبه کرده و آن ها را در جداول—که به آن ها جدول رنگین کمان یا حملات دیکشنری گفته می شود—جستجو کنند تا تطابق پیدا کنند.
نمک پاشی یا Saltingبرای دفاع در برابر حملات از پیش محاسبه شده، معمولا رمزهای عبور قبل از هش کردن نمک گذاری می شوند. نمک یک مقدار منحصر به فرد و تصادفی است که برای هر رمز عبور جداگانه ایجاد شده و قبل از هش کردن به آن اضافه می شود. چون هر رمز عبور نمک متفاوتی دریافت می کند، دو کاربر با همان رمز عبور هش های متفاوتی در پایگاه داده تولید می کنند. این باعث می شود جداول رنگین کمانی از پیش محاسبه شده مؤثر نباشند، زیرا مهاجم برای هر مقدار نمک ممکن به یک جدول جستجوی جداگانه نیاز دارد.
سالت کردن یک روش استاندارد و بهترین روش در ذخیره سازی رمز عبور امن است و برای هر سیستم احراز هویت به درستی پیاده سازی شده ضروری است.
مفاهیم governance, risk, and compliance (GRC) سازمان ها در محیط نظارتی پیچیده تری فعالیت می کنند. قوانین جدید نحوه حفاظت از داده های مشتریان، محل ذخیره آن ها و مسئولیت پذیری در زمان وقوع حوادث را تعیین می کنند. در عین حال، سازمان ها با ریسک های داخلی و خارجی مواجه هستند که می تواند عملیات را مختل کند، داده های حساس را افشا کند یا اعتماد مشتری را آسیب بزند. حاکمیت، ریسک و انطباق (GRC) مجموعه ای از روش هایی است که سازمان ها برای عبور ساختارمند و یکپارچه از این چالش ها استفاده می کنند. با تثبیت شایستگی GRC، سازمان ها می توانند چارچوبی بسازند که سیاست ها، فرآیندهای عملیاتی و فناوری های خاص را یکپارچه کند. رویکرد ساختاریافته به GRC به سازمان ها کمک می کند:http://ble.ir/it_networkایجاد پاسخگویی شفاف درباره اینکه چه کسی تصمیم می گیرد و چه کسی مسئول حفاظت از دارایی هاستشناسایی تهدیدات احتمالی قبل از تبدیل شدن به حادثهانطباق با قوانین، مقررات و استانداردهای صنعت را نشان دهیدایجاد اعتماد با مشتریان، شرکا و مراجع نظارتی.