Waarom het Zero Trust als model voor uw toegangsbeveiliging?

Daarvoor moeten we even terug in de tijd. De tijd waarin iedereen op kantoor werkzaam was en een vaste PC op of onder zijn bureau had staan. De PC's waren verbonden met de centrale, zelf beheerde computeromgeving.
Toegang tot die omgeving hadden alleen collega's die binnen dat bedrijf werkten. Alles lekker overzichtelijk en iedereen vertrouwde elkaar. Natuurlijk, via het verlenen van toegangsrechten op applicaties was ingeregeld wie waarbij kon. Sprake van het beveiligen van de data zelf was er niet. Dat liep via de toegang tot de applicatie.

Het is niet zo simpel om dat zomaar aan te passen. Een situatie die in de jaren '70 -'80 van de vorige eeuw is opgebouwd, verander je niet zomaar. Eigenlijk is de toegang tot een applicatie het probleem niet. Het gaat om de toegang tot de data. Neem als voorbeeld de AVG. De privacy wet die in 2018 vernieuwd is. Die wet beschermd de toegang tot persoonsgegevens. Het lekken van persoonsgegevens is strafbaar. Nergens in wet- en regelgeving wordt gesproken over toegang tot applicaties. Wel over de toegang tot data. Die mag alleen toegankelijk zijn voor medewerkers die daar voor hun werk toegang toe moeten hebben, en die getraind zijn in de omgang met persoonsgegevens. Nu is dit artikel niet bedoeld als een lesje AVG dus terug naar Zero Trust.

Er kwam een omslag van lokaal werken (gesloten netwerk op kantoor) naar werken op afstand. Het begon met het afschaffen van de PC op dat bureau, naar het verstrekken van een laptop per medewerker. De volgende stap is de tablet en de smartphone. Een compleet nieuwe werkwijze werd gecreëerd. We willen niet alleen vanuit huis, maar in feite overal ter wereld vandaan kunnen werken. Met die omslag is het internet geen handig ding meer om wat op te zoeken, maar de life-line van iedere organisatie om toegang tot hun omgeving te krijgen en om data over te transporteren.
Cloud first werd de volgende stap. Geen eigen rekencentra meer, maar uitbesteding van diensten naar rekencentra van leveranciers met diverse service modellen, wat we dan gemakshalve maar 'Cloud' zijn gaan noemen.
De risico's van het gebruik van het internet zijn zijn bekend. De kranten staan vol met datalekken, DDoS aanvallen, Ransomware aanvallen, je kunt het zo gek niet bedenken of criminelen proberen het uit. Door de rechten die een hacker kan vergaren als hij eenmaal binnen is, is het van belang die kans te beperken en daar komt Zero-Trust te voorschijn.

Zero Trust is een belangrijke afwijking van de traditionele netwerkbeveiliging die de methode "vertrouwen maar verifiëren" volgde. De traditionele aanpak vertrouwde automatisch gebruikers en eindpunten binnen de perimeter van de organisatie. Hierdoor liep de organisatie gevaar door kwaadwillende interne actoren en malafide inloggegevens. Ongeautoriseerde en gecompromitteerde accounts kregen uitgebreide toegang zodra ze binnen waren. Hiervan werd misbruik gemaakt bij de zogenaamde 'Advanced Persistent Threats'; eenmaal binnen kan je rustig je gang gaan.
Dit model raakte gedateerd (en in sommige gevallen achterhaald) met de Cloud migratie van initiatieven voor bedrijfstransformatie.

Zero Trust-architectuur vereist daarom dat organisaties continu controleren en valideren dat een gebruiker en zijn apparaat de juiste privileges en attributen heeft. Het vereist dat de organisatie al hun service- en geprivilegieerde accounts kent en controles kan instellen over wat en waar ze verbinding maken. Eenmalige validatie is simpelweg niet voldoende, omdat bedreigingen en gebruikerskenmerken allemaal aan verandering onderhevig zijn

Als gevolg hiervan moeten organisaties ervoor zorgen dat alle toegangsverzoeken continu worden doorgelicht voordat verbinding met een van uw bedrijfs- of cloudactiva wordt toegestaan. Daarom is de handhaving van Zero Trust-beleid afhankelijk van realtime inzicht in gebruikersreferenties en -kenmerken, zoals:

  •     gebruikersidentiteit en type referentie (menselijk, programmatisch)
  •     aantal en privileges van elke referentie op elk apparaat
  •     normale verbindingen voor de referentie en het apparaat (gedragspatronen)
  •     hardwaretype en functie van eindpunt
  •     geografische locatie
  •     firmwareversies
  •     authenticatieprotocol en risico
  •     besturingssysteemversies en patchniveaus
  •     applicaties geïnstalleerd op eindpunt
  •     detectie van beveiliging of incidenten, inclusief verdachte activiteit en herkenning van aanvallen


Organisaties moeten hun netwerkstructuur en toegangsrechten grondig beoordelen om mogelijke aanvallen in te dammen en de impact te minimaliseren als er een inbreuk zou plaatsvinden. Dit kan segmentering op apparaattype, identiteit of groepsfuncties omvatten. D.w.z. verdachte protocollen zoals RDP of RPC naar de domeincontroller moeten altijd worden uitgedaagd of beperkt tot specifieke referenties.

 Copyricht afbeelding: Palo Alto Networks - Zero Trust