Wat is Zero Trust Architecture?

Wat is Zero Trust Architecture?

In de traditionele benadering worden devices verbonden met het bedrijfsnetwerk of via een VPN verbinding vertrouwd. In de meeste moderne (Enterprise) omgevingen zijn de bedrijfsnetwerken daarentegen geconnect met cloud diensten en infrastructuren en zijn er steeds meer verschillende mobile devices waaronder Bring Your Own Devices (BYOD) en IoT devices.

Een Zero Trust Architecture (ook bekend als Zero Trust Security Model en Zero Trust Network Architecture) is het security concept waarbij devices standaard niet vertrouwd worden, zelfs niet als deze verbonden met het bedrijfsnetwerk en geauthenticeerd zijn. De Zero Trust Architecture (ZTA) benadering werkt volgens het principe van mutual authenticatie. Dit omvat identiteitscontrole, device integriteit (on)afhankelijk van de locatie, applicatietoegang op basis van het device en device health in combinatie met gebruikersauthenticatie.

ZTA is een cybersecurity plan dat zero trust concepten toepast die relaties tussen componenten en toegangspolicies bevat. Hierbij zijn de volgende basisprincipes aanwezig:

• Gebruik van een enkele identity provider
• Authenticatie van gebruiker
• Authenticatie van het device
• Gebruik van context (policy compliance / device health)
• Authorisatie policies t.b.v. applicatietoegang
• Toegangscontrole policies t.b.v. applicaties

Dus wat zijn de ZTA basics en logische componenten? Welke gevaren zijn er zelfs na de implementatie van ZTA? En hoe ziet de implementatie van een ZTA uit?

Zero Trust Architecture basics en logische componenten

ZTA kan gezien worden als een cybersecurity paradigma met als focus resource bescherming met de nadruk dat de trust niet impliciet verkregen wordt maar continue geëvalueerd. In de basis zijn hierbij de identity (gebruikers en niet gebruikers identiteiten), login gegevens, access management, beheer, endpoints, hosting omgevingen en verbindende infrastructuren betrokken. Een ZTA heeft tot doel het voorkomen van toegang tot resources (data, diensten en devices) zonder authorisatie waarbij de access control zo granulair als mogelijk gemaakt wordt. Om onzekerheden te verkleinen ligt de focus dan ook op authorisatie en authenticatie met zo klein mogelijke trust zones waarbij beschikbaarheid voorop staat met minimale vertragingen door authenticatie systemen.

Een asset die toegang tot een resource nodig heeft zal zich via een untrusted zone melden bij een policy decision point (PDP) en het daarbij horende policy enforcement point (pep). De PDP en PEP beslissen of er toegang verleend wordt tot de benodigde resource. De zone tussen de PDP/PEP en de resource kan daarbij gezien worden als een impliciet vertrouwde zone. Daar zal dus geen extra controle meer plaatsvinden (vergelijk dit met het gebied na de douane op een vliegveld, daar wordt een passagier ook niet nogmaals gecontroleerd op zijn identiteit). De ZTA principes geven daarbij aan dat de PDP/PEP zo dicht mogelijk bij de resource dienen geplaatst te zijn.

Basisprincipes van een Zero Trust Solution:

• alle data bronnen en IT systemen worden gezien als resources;
• alle communicatie is beveiligd (onafhankelijk van de netwerkt locatie);
• toegang tot elke afzonderlijke resource wordt verstrekt op een per-sessie basis;
• toegang tot resources wordt bepaald door een dynamische policy (inclusief observatie van status client identiteit, applicatie/service en de vragende asset, hier kunnen ook gedragscomponenten en omgevingsvariabelen in meegenomen worden);
• de organisatie monitort en meet de integriteit en het security niveau van alle eigen en geassocieerde assets;
• alle resource authenticatie en authorisatie is dynamisch en verplicht voordat er toegang wordt verleend;
• de organisatie verzamelt zoveel mogelijk informatie over de huidige staat van assets, de communicatie en netwerk infrastructuur en het security policys te verbeteren.

Bij de implementatie van een ZTA zal deze gebaseerd op de Zero Trust Principles (basisprincipes) opgesteld worden met daarnaast de volgende aannames:

• het gehele (private) netwerk van de organisatie wordt niet impliciet gezien als een vertrouwde zone;
• het eigenaarschap (en configuratie) van devices ligt niet altijd bij de organisatie;
• geen enkele resource wordt vertrouwd (credentials van een gebruiker voor device authenticatie zijn niet voldoende);
• niet alle apparaten van de organisatie zijn direct verbonden met de infrastructuur van de eigen organisatie;
• assets zullen hun eigen privé netwerk nooit volledig vertrouwen;
• assets hebben gelijke security policys zowel buiten als binnen het netwerk van de organisatie.

De correcte inrichting van een Zero Trust Architecture kan met de basisprincipes en aannames toegepast worden om de cybersecurity aspecten van een organisatie te verbeteren. Daarbij dient opgemerkt te worden dat er ook na de inrichting van een ZTA rekening gehouden moet worden met threats.

Zero Trust Architecture Threats

Geen enkele organisatie kan security risico’s helemaal elimineren. Naast reeds bestaande cybersecurity policys en richtlijnen, identity & access management, real-time monitoring en generieke security beste practices, kan een goed ingerichte en onderhouden ZTA het overall risico verlagen en beschermen tegen generieke threats.
De implementatie van een ZTA zelf brengt ook een aantal mogelijke threats met zich mee waar rekening mee gehouden moet worden:

• mitigate risico’s geassocieerd met de policy decision point (PDP) en het daarbij horende policy enforcement point (pep) door deze goed te configureren, auditen en monitoren;
• bescherm je policy decision point (PDP) en het daarbij horende policy enforcement point (pep) voor een denial-of-service attack;
• gestolen credentials or insider threat mitigaties (MFA kunnen het risico van dataverlies verlagen bij gestolen credentials);
• zichtbaarheid netwerkverkeer door encryptie is een risico (verzamel metadata en/of zet machine learning in om dit risico te verkleinen);
• beschermen opslaglocatie van systeem- en netwerkinformatie;
• afhankelijkheid van standaarden voor data format en oplossingen (risico op lock-in bij een subset van de Cloud providers);
• gebruik van geautomatiseerde systemen (AI en software agents die security managen die door een aanvaller voor de gek worden gehouden om bepaalde taken uit te voeren waar de aanvaller zelf geen rechten toe heeft).

Hoe implementeer je zoiets?

De implementatie van een ZTA is meer een reis dan een vervanging van processen en de infrastructuur. Het advies daarbij is dat je de implementatie van, zero trust principes, procesaanpassingen en oplossingen die de meest waardevolle assets beschermen, in kleine stapjes doet.

Op welke wijze de implementatie wordt uitgevoerd is afhankelijk van de strategie en de huidige cybersecurity inrichting en operatie. Er zou eerst een minimale baseline van de benodigde competenties gerealiseerd moeten zijn. Denk bij deze baseline aan het identificeren en in kaart brengen van de assets, business processen, networkflows en afhankelijkheidsmatrices. Deze informatie is nodig voorafgaand aan het ontwikkelen van een lijst met kandidaat business processen en de daarbij behorende assets en resources.

De twee implementatie opties van een Zero Trust Architecture zijn:

• greenfield benadering (Pure Zero Trust Architecture): deze optie kan worden toegepast als de organisatie alle applicaties/diensten en werkprocessen in kaart heeft en deze vanaf scratch opbouwt. Deze aanpak zal zelden kunnen worden toegepast, tenzij nieuwe verantwoordelijkheden / onderdelen gaat aanbieden op een nieuwe infrastructuur;
• Hybride ZTA en bestaande perimeter gebaseerde architectuur: het in een big bang migreren naar een Zero Trust Architectuur zal zelden mogelijk zijn. Een hybride oplossing van een ZTA werkproces naast een niet-ZTA werkproces waarbij een business process tegelijk gemigreerd wordt is de vaak gekozen optie. Hier is dient rekening gehouden te worden met een (gedeeltelijk) herontwerp.

In beide gevallen is er gedetailleerde kennis nodig van de assets (zowel virtueel als fysiek), resources (inclusief user rechten) en de business processen. De volgende stappen zijn nodig om een ZTA migratie succesvol voor te bereiden en uit te voeren:

• identificeer de actoren van de organisatie;
• identificeer de assets van de organisatie;
• identificeer de primaire processen + risicoanalyse;
• definieer policies voor elk ZTA kandidaat business process;
• identificeer kandidaat oplossingen;
• initiële uitrol (test) en monitoring;
• organisatie brede uitrol ZTA.

Meer cybersecurity kennis opdoen bij Master IT?

Meer weten over het Microsoft Zero Trust security model? De eendaagse security fundamentals SC-900 (Microsoft Security, Compliance and Identity Fundamentals) training laat je kennismaken met security oplossingen in Microsoft Azure, zoals het Zero Trust model Microsoft, STP (Service Trust Portal) en Microsoft security en compliance principes.

Daarnaast zijn er voor het verkrijgen van meer diepgaande cybersecurity kennis de 4-daagse security trainingen SC-200 (Microsoft Security Operations Analyst) en de SC-300 (Microsoft Identity and Access Administrator) dit jaar door Microsoft uitgebracht.

Natuurlijk kan je ook onderstaand contact formulier invullen voor een vrijblijvend advies op maat!