Zero Trust Architecture (ZTA) — это концепция построения корпоративной защиты, описанная в стандарте NIST SP 800-207. Стандарт разработан Национальным институтом стандартов и технологий США. В отличие от классической периметровой модели, где всё, что внутри сети, автоматически считалось безопасным, ZTA требует обязательной проверки каждого запроса на доступ, независимо от того, исходит он изнутри или извне. Такой подход существенно снижает риски, связанные с компрометацией учётных записей и перемещением злоумышленников внутри сети (lateral movement). Ниже разбираются ключевые принципы, компоненты и пошаговый план внедрения Zero Trust.
Ключевые принципы Zero Trust
- Явная верификация. Аутентификация и авторизация выполняются на основе всех доступных данных: идентичность пользователя, состояние устройства, местоположение, время запроса, паттерны поведения. Одного пароля недостаточно — решение принимается динамически и переоценивается при каждом обращении к ресурсу.
- Минимальные привилегии. Доступ предоставляется ровно в том объёме и на то время, которые необходимы для выполнения текущей задачи. После завершения сеанса привилегии автоматически отзываются. Это ограничивает возможность lateral movement даже в случае компрометации учётной записи.
- Подразумеваемый инцидент. Архитектура проектируется исходя из предположения, что компрометация уже произошла, и должна быть спроектирована так, чтобы минимизировать ущерб от возможного взлома. Все сегменты сети изолированы, трафик шифруется и логируется, а любое отклонение от нормального поведения рассматривается как потенциальная угроза, пока не будет доказано обратное.
Компоненты Zero Trust
- Policy Enforcement Point (PEP). Точка, через которую проходят все запросы к ресурсам. Это может быть обратный прокси, агент на конечной точке или API-шлюз. Задача PEP — пропускать только авторизованные запросы, направляя все остальные на проверку.
- Policy Decision Point (PDP). Центральный элемент архитектуры, который анализирует контекст запроса, сопоставляет его с политиками безопасности и данными о пользователе, устройстве и среде, после чего принимает решение о доступе.
- Источники данных. Для принятия решений PDP опирается на несколько систем: Identity Provider (поставщик учётных данных), базу инвентаризации устройств, систему управления уязвимостями и патчами, SIEM, threat intelligence-ленты.
- Микросегментация. Сеть делится на изолированные сегменты вплоть до отдельных рабочих нагрузок. Компрометация одного сегмента не даёт доступа к остальной сети. Микросегментация может быть реализована с помощью различных технологий, включая программно-определяемые сети (SDN), межсетевые экраны и агенты на конечных точках.
- Повсеместное шифрование внутреннего трафика. Весь внутренний трафик, включая взаимодействие между микросервисами, шифруется. Это предотвращает перехват данных даже в скомпрометированном сегменте.
Пошаговый план внедрения
- Инвентаризация. Формируется полный реестр активов: устройства, учётные записи, приложения, потоки данных. Без полной картины невозможно определить корректные политики доступа.
- Приоритизация и пилот. Выбирается наиболее критичный или уязвимый сегмент для первого внедрения — например, финансовая система или база с персональными данными. На пилотном проекте отлаживаются процессы и собираются метрики.
- Масштабирование. После успешного пилота принципы Zero Trust последовательно распространяются на остальные сегменты. Параллельно внедряются автоматические сценарии реагирования на аномалии.
Важно: Zero Trust — это архитектурный подход, а не конкретный продукт. Допустимо использование решений разных вендоров при условии их интеграции в единую систему принятия решений.
Типовой сценарий: внедрение ZTA в производственной компании
Компания среднего размера с собственным парком оборудования предоставляла удалённый доступ к внутренним системам через VPN. После компрометации одной учётной записи было принято решение перейти на Zero Trust. Пилотным сегментом выбрали систему управления производственными данными. Внедрили обратный прокси, интегрированный с корпоративным Identity Provider и многофакторной аутентификацией. Доступ к конкретному оборудованию стал предоставляться по временному запросу и только с проверенных устройств. Все действия логируются и анализируются. В результате несанкционированные подключения прекратились, а время расследования инцидентов сократилось.
Этот сценарий показывает, что Zero Trust можно внедрять поэтапно, начиная с самых чувствительных сегментов, без необходимости полной замены инфраструктуры.
Материалы канала ориентированы на специалистов по информационной безопасности и IT-руководителей. Подписывайтесь, чтобы получать актуальные методологии и разборы инцидентов.
Вопрос для обсуждения: Какие компоненты Zero Trust уже внедрены в инфраструктуре и с какими сложностями пришлось столкнуться?