امنیت Zero-Trust چیست؟

امنیت Zero-Trust رویکرد نوین امنیتی، پاسخی به چالش‌های پیچیده دنیای دیجیتال امروز است. با اصل «هرگز اعتماد نکن، همیشه تأیید کن»، Zero-Trust امنیت را در محیط‌های پیچیده و توزیع‌شده تقویت می‌کند. در این مقاله، ضمن پاسخ به پرسش امنیت Zero-Trust چیست به بررسی اصول، مزایا و نحوه پیاده‌سازی امنیت Zero-Trust می‌پردازیم تا درک عمیق‌تری از این رویکرد مهم در امنیت سایبری به دست آوریم.

Zero-Trust چیست؟

«امنیت بدون اعتماد» یا «Zero-Trust» چارچوبی امنیتی است که طبق آن، تمام کاربران، چه در داخل شبکه سازمان باشند و چه خارج از آن، باید احراز هویت شوند، مجوز دسترسی دریافت کنند و به‌طور مداوم از نظر پیکربندی و وضعیت امنیتی مورد ارزیابی قرار گیرند. این فرآیند پیش از اعطای دسترسی به برنامه‌ها و داده‌ها یا حفظ این دسترسی انجام می‌شود. در این رویکرد، فرض بر این است که در Zero-Trust مرز شبکه سنتی دیگر وجود ندارد؛ شبکه‌ها می‌توانند محلی، ابری یا ترکیبی باشند و منابع و کارکنان می‌توانند در هر مکانی قرار داشته باشند.

امنیت Zero-Trust چارچوبی برای تأمین امنیت زیرساخت‌ها و داده‌ها در عصر تحول دیجیتال امروز است. این رویکرد به طور خاص به چالش‌های مدرن کسب‌وکارها از جمله تأمین امنیت کارکنان از راه دور، محیط‌های ابری ترکیبی و تهدیدات باج‌افزاری می‌پردازد. اگرچه بسیاری از فروشندگان سعی کرده‌اند تعاریف خاص خود را از امنیت Zero-Trust ارائه دهند، اما استانداردهای متعددی از سازمان‌های معتبر وجود دارد که می‌تواند به شما در هماهنگ کردن این رویکرد با سازمان‌تان کمک کند.

امنیت Zero-Trust و NIST 800-207

در برخی شرکت‌ها از استاندارد NIST 800-207 برای پیاده‌سازی امنیت Zero-Trust استفاده می‌شود. این استاندارد جامع‌ترین و بی‌طرف‌ترین معیار در این زمینه محسوب می‌شود که نه تنها برای نهادهای دولتی، بلکه برای هر سازمانی قابل استفاده است. این استاندارد همچنین شامل عناصری از مدل‌های دیگر مانند ZTX فارستر و CARTA گارتنر می‌شود. مهم‌تر از همه، استاندارد NIST سازگاری و محافظت در برابر حملات مدرن را برای مدل کاری «اولویت با فضای ابری» و «کار از هر مکان» تضمین می‌کند؛ مدلی که امروزه اکثر شرکت‌ها به دنبال دستیابی به آن هستند.

در پاسخ به افزایش تعداد نقض‌های امنیتی پرسروصدا، در ماه مه ۲۰۲۱ فرمانی اجرایی صادر شد. این فرمان، آژانس‌های فدرال آمریکا را ملزم می‌کرد تا از استاندارد NIST 800-207 به عنوان گامی ضروری در پیاده‌سازی امنیت Zero-Trust پیروی کنند. در نتیجه، این استاندارد از سوی طیف گسترده‌ای از مشتریان تجاری، فروشندگان و ذینفعان سازمان‌های دولتی مورد بررسی دقیق و اصلاح قرار گرفت. به همین دلیل، بسیاری از سازمان‌های خصوصی نیز این استاندارد را به عنوان معیار عملی برای کسب‌وکارهای خصوصی در نظر می‌گیرند.

رویکرد «امنیت بدون اعتماد» بر اساس دستورالعمل‌های NIST، به دنبال رعایت اصول کلیدی زیر است:

• ۱. تأیید مداوم: همیشه و در هر زمان، دسترسی به تمام منابع را بررسی و تأیید کنید.
• ۲. محدود کردنِ «شعاع انفجار»: در صورت وقوع نفوذ خارجی یا داخلی، تأثیر آن را به حداقل برسانید.
• ۳. خودکارسازی جمع‌آوری زمینه و پاسخ‌دهی: داده‌های رفتاری را در نظر بگیرید و اطلاعات زمینه‌ای را از کل زیرساخت فناوری اطلاعات (مانند هویت، نقطه پایانی، بارِ کاری و غیره) جمع‌آوری کنید تا دقیق‌ترین پاسخ را ارائه دهید.

چگونگی عملکرد Zero-Trust

اجرای این چارچوب، ترکیبی از فناوری‌های پیشرفته را به کار می‌گیرد. این فناوری‌ها شامل احراز هویت چندعاملی مبتنی بر ریسک، محافظت از هویت، امنیت پیشرفته نقاط پایانی و فناوری قدرتمند مدیریت بار کاری در فضای ابری است. هدف از این ترکیب، تأیید هویت کاربر یا سیستم، بررسی شرایط دسترسی در لحظه و حفظ امنیت سیستم است. علاوه بر این، امنیت Zero-Trust نیازمند توجه به رمزگذاری داده‌ها، امن‌سازی ایمیل و بررسی سلامت دارایی‌ها و نقاط پایانی پیش از اتصال آن‌ها به برنامه‌هاست.

رویکرد امنیت Zero-Trust تفاوت چشمگیری با روش‌های سنتی امنیت شبکه دارد که بر اساس اصل «اعتماد کن، اما تأیید کن» عمل می‌کردند. در رویکرد سنتی، به کاربران و دستگاه‌هایی که درون محدوده سازمان قرار داشتند، به طور خودکار اعتماد می‌شد. این امر سازمان را در برابر تهدیدات داخلی بدخواهانه و سوءاستفاده از اعتبارنامه‌های مجاز توسط مهاجمان آسیب‌پذیر می‌کرد. در نتیجه، حساب‌های غیرمجاز یا به خطر افتاده می‌توانستند پس از ورود به شبکه، به طیف گسترده‌ای از منابع دسترسی پیدا کنند. این مدل سنتی با مهاجرت کسب‌وکارها به فضای ابری و شتاب گرفتن محیط‌های کاری توزیع‌شده در پی همه‌گیری که از سال ۲۰۲۰ آغاز شد، دیگر کارایی خود را از دست داد.

بنابراین، معماری امنیت Zero-Trust از سازمان‌ها می‌خواهد تا به‌طور مداوم نظارت و تأیید کنند که هر کاربر و دستگاه از مجوزها و ویژگی‌های مناسب برخوردار است. همچنین، این رویکرد مستلزم اجرای سیاست‌هایی است که ریسک کاربر و دستگاه را همراه با الزامات انطباق یا سایر ملاحظات، پیش از اجازه هر تراکنش، در نظر می‌گیرد. سازمان باید تمام حساب‌های خدماتی و دارای امتیازات ویژه خود را بشناسد و بتواند کنترل‌هایی را در مورد چگونگی و محل اتصال آن‌ها اعمال کند. تأیید یک‌باره کافی نیست، زیرا تهدیدها و ویژگی‌های کاربران همواره در معرض تغییر هستند.

در نتیجه، سازمان‌ها باید اطمینان حاصل کنند که تمام درخواست‌های دسترسی به‌طور مداوم، پیش از اعطای اجازه دسترسی به هر یک از دارایی‌های سازمانی یا ابری، مورد بررسی قرار می‌گیرند. به همین دلیل، اجرای سیاست‌های امنیت بدون اعتماد بر دید بلادرنگ نسبت به صدها ویژگی مربوط به هویت کاربر و برنامه تکیه دارد، از جمله:

• هویت کاربر و نوع اعتبارنامه (انسانی، برنامه‌ای)
• امتیازات اعتبارنامه در هر دستگاه
• اتصالات معمول برای اعتبارنامه و دستگاه (الگوهای رفتاری)
• نوع و کارکرد سخت‌افزار نقطه پایانی
• موقعیت جغرافیایی
• نسخه‌های سیستم‌عامل داخلی (فرم‌ویر)
• پروتکل احراز هویت و ریسک مربوطه
• نسخه‌های سیستم‌عامل و سطح به‌روزرسانی‌ها
• نرم‌افزارهای نصب شده روی نقطه پایانی
• تشخیص‌های امنیتی یا حوادث، شامل فعالیت‌های مشکوک و شناسایی حملات

استفاده از تحلیل‌ها باید با تریلیون‌ها رویداد، داده‌های گسترده سازمانی و اطلاعات تهدیدات پیوند داشته باشد تا آموزش بهتر مدل‌های هوش مصنوعی و یادگیری ماشینی برای پاسخ‌گویی دقیق‌تر سیاست‌ها تضمین شود. سازمان‌ها باید زیرساخت فناوری اطلاعات و مسیرهای احتمالی حمله را به دقت ارزیابی کنند تا در صورت وقوع نفوذ، حملات را محدود و تأثیر آن‌ها را به حداقل برسانند. این می‌تواند شامل تقسیم‌بندی بر اساس انواع دستگاه‌ها، هویت یا عملکردهای گروهی باشد. به عنوان مثال، پروتکل‌های مشکوک مانند RDP یا RPC به کنترل‌کننده دامنه همیشه باید به چالش کشیده شوند یا به اعتبارنامه‌های خاصی محدود شوند.

بیش از ۸۰٪ تمام حملات شامل استفاده یا سوءاستفاده از اعتبارنامه‌ها در شبکه هستند. با توجه به حملات جدید و مداوم علیه اعتبارنامه‌ها و مخازن هویت، محافظت‌های اضافی برای اعتبارنامه‌ها و داده‌ها به امنیت ایمیل و ارائه‌دهندگان دروازه وب امن (CASB) گسترش می‌یابد. این امر به تضمین امنیت بیشتر رمز عبور، یکپارچگی حساب‌ها، پایبندی به قوانین سازمانی و اجتناب از خدمات فناوری اطلاعات سایه با ریسک بالا کمک می‌کند.

کاربردهای امنیت Zero-Trust

رویکرد امنیتی «Zero-Trust» که سال‌هاست به عنوان یک استاندارد مطرح شده، اخیراً به عنوان پاسخی برای امن‌سازی تحول دیجیتال و مقابله با تهدیدات پیچیده و ویرانگر سال‌های اخیر، شکل رسمی‌تری به خود گرفته است. اگرچه هر سازمانی می‌تواند از این رویکرد بهره‌مند شود، اما در شرایط زیر، سازمان شما می‌تواند فوراً از مزایای آن استفاده کند:

اگر نیاز دارید زیرساختی را محافظت کنید که شامل این موارد است:

• چند ابری، ترکیبی و با هویت‌های متعدد
• دستگاه‌های مدیریت نشده
• سیستم‌های قدیمی
• نرم‌افزارهای تحت وب (SaaS)

اگر می‌خواهید با تهدیدات کلیدی زیر مقابله کنید:

• باج‌افزار – مشکلی دوبخشی شامل اجرای کد مخرب و سرقت هویت
• حملات زنجیره‌ی تأمین – معمولاً شامل دستگاه‌های مدیریت نشده و کاربران ویژه‌ای می‌شود که از راه دور کار می‌کنند.
• تهدیدات داخلی – تحلیل رفتار کاربران از راه دور در این مورد بسیار چالش‌برانگیز است.

اگر سازمان شما با این ملاحظات روبروست:

• چالش‌های مربوط به تخصص تحلیلگران و مرکز عملیات امنیتی
• تأثیر بر تجربه‌ی کاربری (به‌ویژه هنگام استفاده از احراز هویت چندعاملی)
• الزامات صنعتی یا قانونی (مانند بخش مالی یا دستور امنیت بدون اعتماد دولت آمریکا)
• نگرانی در حفظ بیمه‌ی سایبری (به دلیل تغییرات سریع بازار بیمه در نتیجه‌ی حملات باج‌افزاری)

هر سازمان به دلیل ماهیت کسب‌وکار، سطح بلوغ در تحول دیجیتال و راهبرد امنیتی فعلی خود، با چالش‌های منحصربه‌فردی روبرو است. رویکرد امنیتی بدون اعتماد، در صورت پیاده‌سازی صحیح، می‌تواند خود را با نیازهای خاص شما تطبیق دهد و در عین حال، بازگشت سرمایه را در راهبرد امنیتی‌تان تضمین کند.

مثال حمله بعدی مشابه Sunburst

حمله‌ی زنجیره‌ تأمین نرم‌افزاری Sunburst در سال ۲۰۲۱ نشان داد که چرا سازمان‌ها نمی‌توانند حتی در مورد حساب‌های خدماتی استاندارد و ابزارهای قبلاً مورد اعتماد، گارد خود را پایین بیاورند. همه شبکه‌ها در مجموعه فناوری خود، از برنامه‌های تحت وب گرفته تا نظارت بر شبکه و امنیت، به‌روزرسانی‌های خودکار دارند. خودکارسازی پچ‌ها برای بهداشت مناسب شبکه ضروری است. با این حال، حتی برای به‌روزرسانی‌های اجباری و خودکار، رویکرد «بدون اعتماد» به معنای جلوگیری از اقدامات بالقوه مخرب است.

تحلیل فنی حمله‌ی سان‌برست نشان می‌دهد که چگونه هر ابزاری، به‌ویژه ابزاری که معمولاً در یک شبکه استفاده می‌شود، می‌تواند از طریق سازوکار فروشنده/به‌روزرسانی تصاحب شود – و چگونه باید اصول معماری «بدون اعتماد» برای کاهش این تهدیدها اعمال شود.

رویکرد «Zero-Trust» و اصل حداقل دسترسی، سیاست‌ها و مجوزهای سختگیرانه‌ای را برای تمام حساب‌ها، از جمله اعتبارنامه‌های برنامه‌ای مانند حساب‌های خدماتی، الزامی می‌کند. حساب‌های خدماتی به‌طور کلی باید رفتارهای شناخته شده و امتیازات اتصال محدودی داشته باشند. در مورد Sunburst، یک حساب خدماتی با مجوزهای بیش از حد، حرکت جانبی را برای مهاجمان امکان‌پذیر کرد. این حساب‌ها هرگز نباید مستقیماً تلاش کنند به یک کنترل‌کننده‌ی دامنه یا سیستم احراز هویتی مانند ADFS دسترسی پیدا کنند، و هرگونه ناهنجاری رفتاری باید به سرعت شناسایی و در همان لحظه تشدید شود.

اصول بنیادی مدل امنیت Zero Trust چیست؟

مدل Zero Trust (بر اساس استاندارد NIST 800-207) شامل اصول اساسی زیر است:

• ۱. «تأیید مداوم» (Continuous verification): همیشه و در همه حال، دسترسی به تمام منابع را بررسی کنید.
• ۲. محدود کردن «شعاع انفجار» (Blast Radius): در صورت وقوع نفوذ خارجی یا داخلی، تأثیر آن را به حداقل برسانید.
• ۳. خودکارسازی جمع‌آوری اطلاعات زمینه‌ای و واکنش: برای دقیق‌ترین ارزیابی، داده‌های رفتاری را در نظر بگیرید و اطلاعات زمینه‌ای را از کل زیرساخت فناوری اطلاعات (شامل هویت، نقطه پایانی، بار کاری و غیره) جمع‌آوری کنید.

۱. «تأیید مداوم» (Continuous verification)

تأیید مداوم به این معنا است که در هیچ زمانی، هیچ منطقه، اعتبارنامه یا دستگاهی مورد اعتماد نیست. به همین دلیل است که عبارت معروف «هرگز اعتماد نکن، همیشه تأیید کن» رایج شده است. برای اینکه این تأیید مداوم بر روی مجموعه گسترده‌ای از دارایی‌ها به طور مؤثر اعمال شود، چند عنصر کلیدی باید وجود داشته باشد:

• دسترسی مشروط بر اساس ریسک: این امر اطمینان می‌دهد که جریان کار تنها زمانی قطع می‌شود که سطح ریسک تغییر می‌کند. این روش امکان تأیید مداوم را فراهم می‌سازد، بدون آنکه تجربه‌ کاربری را به خطر بیندازد.
• استقرار سریع و مقیاس‌پذیر مدل سیاست پویا: از آنجا که بارهای کاری، داده‌ها و کاربران اغلب جابجا می‌شوند، خط‌مشی ما نه تنها باید ریسک را در نظر بگیرد، بلکه باید شامل الزامات انطباق و فناوری اطلاعات برای سیاست‌گذاری نیز باشد. رویکرد «Zero Trust» سازمان‌ها را از رعایت الزامات انطباقی و سازمانی خاص معاف نمی‌کند.

۲. محدود کردن شعاع آسیب

اگر نفوذی رخ دهد، کاهش تأثیر آن بسیار مهم است. رویکرد Zero Trust محدوده اعتبارنامه‌ها یا مسیرهای دسترسی برای مهاجم را محدود می‌کند و به سیستم‌ها و افراد فرصت می‌دهد تا به حمله واکنش نشان داده و آن را خنثی کنند. محدود کردن شعاع آسیب به این معناست:

• استفاده از تفکیک مبتنی بر هویت: تفکیک سنتی مبتنی بر شبکه می‌تواند از نظر عملیاتی چالش‌برانگیز باشد، زیرا بارهای کاری، کاربران، داده‌ها و اعتبارنامه‌ها اغلب تغییر می‌کنند.
• اصل کمترین امتیاز: هر زمان که از اعتبارنامه‌ها استفاده می‌شود، حتی برای حساب‌های غیر انسانی (مانند حساب‌های سرویس)، بسیار مهم است که به این اعتبارنامه‌ها فقط حداقل قابلیت لازم برای انجام وظیفه داده شود. همان‌طور که وظایف تغییر می‌کنند، محدوده دسترسی نیز باید تغییر کند. بسیاری از حملات از حساب‌های سرویس با امتیازات بیش از حد استفاده می‌کنند، زیرا این حساب‌ها معمولاً تحت نظارت نیستند و اغلب مجوزهای بیش از حد نیاز دارند.

۳. خودکارسازی جمع‌آوری اطلاعات زمینه‌ای و واکنش

برای تصمیم‌گیری مؤثر و دقیق، داشتن اطلاعات بیشتر مفید است، به‌شرطی که بتوان آن‌ها را در لحظه پردازش و بر اساس آن‌ها عمل کرد. مؤسسه ملی استاندارد و فناوری (NIST) راهنمایی‌هایی برای استفاده از اطلاعات از منابع زیر ارائه می‌دهد:

• اعتبارنامه‌های کاربری: شامل انسانی و غیرانسانی (حساب‌های سرویس، حساب‌های غیر ممتاز، حساب‌های ممتاز – از جمله اعتبارنامه‌های ورود یکپارچه)
• بارهای کاری: شامل ماشین‌های مجازی، کانتینرها و مواردی که در استقرارهای ترکیبی به کار گرفته می‌شوند.
• نقاط پایانی: هر دستگاهی که برای دسترسی به داده‌ها استفاده می‌شود.
• شبکه
• دیتا
• سایر منابع (معمولاً از طریق APIها):
  • SIEM
  • SSO
  • ارائه‌دهندگان هویت (مانند Active Directory)
  • اطلاعات تهدیدات

مراحل پیاده‌سازی مدل امنیت Zero Trust

اگرچه نیازهای هر سازمان منحصربه‌فرد است، می‌توان مراحل زیر را برای پیاده‌سازی یک مدل Zero Trust بالغ پیشنهاد کرد:

• مرحله ۱: تجسم – درک تمامی منابع، نقاط دسترسی آن‌ها و تجسم ریسک‌های مربوطه
• مرحله ۲: کاهش خطر – شناسایی و توقف تهدیدها یا کاهش تأثیر نفوذ در صورتی که تهدید را نتوان فوراً متوقف کرد.
• مرحله ۳: بهینه‌سازی – گسترش محافظت به تمام جنبه‌های زیرساخت فناوری اطلاعات و تمامی منابع، صرف‌نظر از موقعیت آن‌ها، در عین بهینه‌سازی تجربه‌ی کاربری برای کاربران نهایی، تیم‌های فناوری اطلاعات و امنیت

جمع‌بندی

رویکرد امنیتی Zero-Trust پاسخی به چالش‌های امنیتی عصر دیجیتال است که بر اصل «هرگز اعتماد نکن، همیشه تأیید کن» استوار است. این رویکرد با تأیید مداوم هویت‌ها، محدود کردن دامنه آسیب در صورت نفوذ، و جمع‌آوری و تحلیل خودکار اطلاعات زمینه‌ای، امنیت را در محیط‌های پیچیده و توزیع‌شده امروزی تقویت می‌کند. پیاده‌سازی موفق Zero-Trust نیازمند درک دقیق منابع و ریسک‌ها، کاهش خطرات، و بهینه‌سازی محافظت در تمام جنبه‌های زیرساخت فناوری اطلاعات است. این رویکرد به سازمان‌ها کمک می‌کند تا در برابر تهدیدات پیشرفته مانند حملات زنجیره تأمین و باج‌افزارها مقاوم‌تر شوند.