Nollaluottamus alkaa identiteetistä
Mitä "älä koskaan luota, varmista aina" todella tarkoittaa käyttäjille, laitteille ja palvelutileille.
"Zero trust" eli nollaluottamus on alamme kuluneimpia termejä. Toimittajat liittävät sen palomuureihin, VPN-ratkaisuihin ja hallintapaneeleihin. Nollaluottamus ei kuitenkaan ole tuote. Se on arkkitehtuuriperiaate, jonka NIST SP 800-207 (avautuu uuteen välilehteen) kuvaa hyvin: ei oletettua luottamusta verkon sijainnin perusteella. Jokainen pääsypyyntö arvioidaan erikseen.
Jos verkko ei enää ratkaise, kehen luotetaan, jonkin muun on tehtävä se. Se jokin on identiteetti.
"Sisällä olemisesta" kysymyksiin kuka, mistä ja miten
Perinteinen malli oli linna: kovat muurit ja pehmeä sisus. Kun olit sisäverkossa tai VPN:ssä, pääsit useimpiin järjestelmiin. Kiristyshaittaohjelmaryhmät rakastavat tätä mallia, koska yksi kalasteltu kannettava antaa heille koko linnan.
Nollaluottamuksen mallissa jokainen pyyntö vastaa kolmeen kysymykseen:
- Kuka pyytää? Vahvasti tunnistettu käyttäjä tai työkuorman identiteetti.
- Mistä? Tunnetusta, hallitusta ja kunnossa olevasta laitteesta.
- Mihin ja kuinka paljon? Vain tämän tehtävän vaatimat oikeudet ja vain niin pitkäksi aikaa kuin niitä tarvitaan.
Viisi identiteetin rakennuspalikkaa
1. Yksi luotettava identiteetti
Jokaisella ihmisellä on yksi identiteetti, jota ohjaa HR tai muu luotettava lähde, ja automaattiset prosessit tulijoille, siirtyjille ja lähtijöille. Vuosia sitten lähteneiden ihmisten orpotilit ovat nollaluottamuksen hiljainen vihollinen.
2. Kalastelunkestävä tunnistautuminen
Jos identiteetti on uusi rajapinta, sitä ei saa voida kalastella. Se tarkoittaa pääsyavaimia tai FIDO2-turva-avaimia ainakin ylläpitäjille ja etäkäytölle. Tekstiviestikoodit eivät riitä.
3. Ehdollinen pääsy
Käytäntömoottori yhdistää signaaleja: käyttäjän riskin, laitteen vaatimustenmukaisuuden, sijainnin, sovelluksen arkaluonteisuuden ja kellonajan. Kunnossa oleva hallittu kannettava pääsee sujuvasti sisään; tuntematon laite saa rajatun pääsyn tai lisävarmennuksen.
4. Vähimmät oikeudet ja oikea-aikainen ylläpito
Kenenkään ei pitäisi olla pysyvästi toimialueen ylläpitäjä. Etuoikeutetut roolit pyydetään tehtävää varten, hyväksytään, aikarajataan ja kirjataan. Pysyvät oikeudet ovat aarre, jota hyökkääjät etsivät.
5. Muut kuin ihmisidentiteetit
Palvelutilit, API-avaimet, varmenteet ja tekoälyagentit ovat jo useimmissa organisaatioissa ihmisiä lukuisampia. Ne tarvitsevat omistajan, lyhytikäiset tunnisteet, kierrätyksen ja saman vähimpien oikeuksien ajattelun. Unohdettu API-avain täysin oikeuksin on linnan portti, joka on jätetty auki.
Mistä aloittaa
- Inventoi identiteetit, sekä ihmisten että muut, ja poista ne, joilla ei ole omistajaa.
- Vaadi kalastelunkestävä MFA ylläpitäjiltä ja etäkäytöltä.
- Laita kriittisin sovelluksesi ensimmäisenä ehdollisen pääsyn taakse ja opi siitä.
- Korvaa pysyvät ylläpito-oikeudet oikea-aikaisella oikeuksien korotuksella.
- Kirjaa jokainen pääsypäätös lokiin ja katso lokeja myös oikeasti.
Nollaluottamus on monen pienen askeleen matka, ei kertarysäyksellä toteutettava hanke. Jokainen askel, joka tekee pääsystä riippuvaisen varmennetusta identiteetistä eikä verkon sijainnista, vie oikeaan suuntaan.