Arhitectura de securitate Zero Trust pentru sistemele software de apărare

Modelul perimetral de securitate a rețelei se sprijină pe o ipoteză fundamentală care nu s-a confirmat de decenii: că tot ceea ce se află în interiorul limitei rețelei poate fi de încredere. În practică, mediile software de apărare găzduiesc în mod regulat puncte finale compromise, amenințări interne și campanii de mișcare laterală care exploatează exact această încredere implicită. Un utilizator care se autentifică la concentratorul VPN câștigă acces la tot ceea ce se află pe enclavă care nu dispune de controale suplimentare — iar în multe rețele clasificate moștenite aceasta este o suprafață foarte mare. Arhitectura Zero Trust (ZTA) respinge complet ipoteza perimetrală. Fiecare cerere de acces — indiferent dacă ajunge din interiorul sau exteriorul enclavei — trebuie autentificată, autorizată și validată continuu. Acest articol examinează cum se aplică principiile de bază Zero Trust sistemelor software de apărare, ce solicită cadrul NIST SP 800-207 și cum pot programele construi o foaie de parcurs practică de implementare de la principii fundamentale la o postură complet aplicată.

Principiul: nu te încrede niciodată, verifică întotdeauna

Zero Trust nu este un produs și nu este un singur control. Este o filozofie de securitate a cărei aserțiune centrală este că încrederea implicită este o vulnerabilitate. Expresia "nu te încrede niciodată, verifică întotdeauna" înseamnă că locația în rețea — a fi în spatele firewall-ului, pe rețeaua LAN clasificată sau în facilitatea securizată — nu conferă niciun privilegiu prin sine. Fiecare cerere de acces la o resursă trebuie să poarte identitate verificabilă pentru utilizator, atestare verificabilă a stării de sănătate pentru dispozitiv și o decizie de politică că combinația acelor atribute este autorizată să acceseze resursa specifică la nivelul specific de sensibilitate solicitat, în acel moment.

Aceasta are consecințe directe pentru modul în care sunt proiectate sistemele software de apărare. Serviciile nu pot apela între ele fără autentificare mutuală. O bază de date nu poate fi accesată de un server de aplicații numai pentru că ambele sunt pe aceeași rețea VLAN. Un cont de operator nu poate accesa date clasificate numai pentru că a trecut un ecran de autentificare. Fiecare conexiune este evaluată independent, fiecare sesiune este scurtă și delimitată, iar încrederea nu este extinsă niciodată dincolo de ceea ce susțin dovezile curente. Rezultatul este o postură în care un punct final compromis sau o acreditare furată oferă adversarului mult mai puțin decât ar face-o într-un model exclusiv perimetral, deoarece mișcarea laterală necesită ca atacatorul să satisfacă aceleași verificări de politică per cerere pe care le face traficul legitim.

NIST SP 800-207 și cadrul Arhitecturii Zero Trust

Publicația Specială NIST 800-207, publicată în 2020 și adoptată pe scară largă ca document de referință pentru programele Zero Trust ale guvernului american și apărării, formalizează arhitectura în termeni de componente și fluxuri logice mai degrabă decât produse specifice. Cele șapte principii de bază stabilesc că toate sursele de date și serviciile sunt considerate resurse, toată comunicarea trebuie asigurată indiferent de locația în rețea, accesul la resursele individuale este acordat per sesiune, accesul este determinat de politică dinamică, întreprinderea monitorizează și măsoară integritatea și postura de securitate a tuturor activelor, toată autentificarea și autorizarea este dinamică și strict aplicată, și întreprinderea colectează cât mai multe informații posibil despre starea curentă a activelor și utilizează acele informații pentru a îmbunătăți postura de securitate.

Documentul structurează ZTA în jurul unui Punct de Decizie de Politică (PDP) — componenta care evaluează cererile de acces — și a unui Punct de Aplicare a Politicii (PEP) — componenta care acordă sau blochează accesul pe baza deciziei PDP. PDP-ul se bazează pe un furnizor de identitate, un inventar de dispozitive cu date de postură de sănătate, un flux de informații despre amenințări și clasificarea sensibilității resursei pentru a ajunge la decizia sa. Pentru programele de apărare, PDP-ul însuși trebuie întărit la un nivel înalt de asigurare: dacă componenta care ia decizii de acces este compromisă, întreaga arhitectură de încredere se prăbușește. Aceasta face PDP-ul o componentă critică de securitate care necesită aceeași protecție ca un sistem de gestionare a cheilor.

NIST 800-207 descrie, de asemenea, trei modele de desfășurare — bazat pe identitate, micro-perimetru și bazat pe rețea — care se mapează la diferite niveluri de maturitate. Programele de apărare încep de obicei cu controale bazate pe identitate (MFA, certificate PKI) deoarece pot fi stratificate pe infrastructura existentă și apoi progresează spre aplicarea micro-perimetrului pe măsură ce segmentarea este implementată.

Fundația identității: MFA și PKI în rețelele clasificate

Identitatea este planul de control al Zero Trust. Fără identitate fiabilă și necontrafăcută pentru utilizatori și dispozitive, fiecare decizie de politică din aval este construită pe nisip. În mediile de apărare americane, mecanismul standard pentru identitatea umană este cardul Common Access Card (CAC) sau Personal Identity Verification (PIV) — un token hardware care deține un certificat PKI semnat de rădăcina PKI DoD. Autentificarea necesită atât posesia fizică a cardului cât și cunoașterea unui PIN, satisfăcând în mod implicit doi factori. Certificatul de pe card oferă o legătură criptografic verificabilă între individ și atributele sale de identitate.

Identitatea dispozitivului necesită aceeași rigoare. Un certificat PKI emis unui dispozitiv hardware specific — ancorat la un Modul de Platformă de Încredere (TPM) unde este disponibil — permite PDP-ului să verifice că mașina solicitantă este un punct final gestionat și înrolat, nu un dispozitiv neînregistrat care a obținut acreditări valide de utilizator. Atestarea stării de sănătate a dispozitivului extinde aceasta mai departe: TPM-ul poate furniza o măsurătoare semnată a stării de pornire a dispozitivului, confirmând că firmware-ul și sistemul de operare nu au fost modificate de la ultima măsurătoare bună-cunoscute. În mediile de apărare cu asigurare înaltă, această atestare alimentează direct decizia de acces — un dispozitiv care eșuează o verificare de sănătate pierde accesul chiar dacă acreditarea utilizatorului este validă.

Gestionarea ciclului de viață al certificatelor este solicitantă din punct de vedere operațional la scară. Certificatele expiră, dispozitivele sunt dezafectate, iar infrastructura de revocare (respondenții OCSP și punctele de distribuție CRL) trebuie să rămână foarte disponibilă atât în mediile de garnizoană cât și în cele desfășurate. Un certificat revocat care nu poate fi verificat deoarece respondentul OCSP este inaccesibil într-un mediu contestat devine implicit o decizie de încredere implicită — și una greșită. Implementările ZTA de apărare trebuie să proiecteze explicit pentru modurile de eșec ale verificării revocării, de obicei prin stocarea în cache a pachetelor OCSP cu validitate scurtă pe PEP astfel că o scurtă deconectare nu refuză imediat accesul tuturor utilizatorilor.

Federație și identitate în coaliție

Operațiunile multinaționale și de coaliție introduc o provocare de federație pe care programele pur interne o evită. Un ofițer al unei națiuni partenere cu o acreditare emisă de un PKI național diferit trebuie să fie capabil să se autentifice la sisteme care se bazează pe un furnizor de identitate intern. Punțile de federație SAML și OIDC permit aserțiunea de identitate inter-domeniu, dar ancora de încredere — decizia de politică privind ce acces primește o identitate federată — trebuie să rămână sub control intern. Un PKI rădăcină al unui partener de coaliție care este compromis nu ar trebui să ridice utilizatorii acelui partener la niveluri de acces interne. Prin urmare, arhitecturile de federație ale apărării emit aserțiuni delimitate și cu limită de timp care limitează explicit ce poate accesa o identitate federată, mai degrabă decât să trateze federația ca echivalentă cu autentificarea internă.

Microsegmentarea: eliminarea mișcării laterale

Microsegmentarea ia principiul refuzului implicit și îl aplică la nivelul sarcinii de lucru. În loc să segmenteze rețeaua într-un număr mic de rețele VLAN mari — o practică obișnuită în enclavele clasificate moștenite care oferă o izolare aproximativă dar o rază de explozie largă — microsegmentarea aplică politica la granița individuală a mașinii virtuale, containerului sau procesului. Un server de aplicații web poate comunica cu propria bază de date și cu echilibratorul de sarcină din fața sa; nu poate iniția conexiuni la serverul de gestionare a cheilor, consola administrativă sau alte stive de aplicații de pe același gazdă fizic.

Această schimbare arhitecturală are consecințe semnificative pentru modul în care software-ul de apărare este scris și desfășurat. Serviciile trebuie să fie instrumentate astfel că toată comunicarea inter-servicii este etichetată cu scopul său și acele etichete trebuie să se mapeze la reguli de politică explicite. În practică aceasta înseamnă adoptarea tehnologiilor de plasă de servicii sau a agenților de micro-firewall bazate pe gazdă care aplică identitatea sarcinii de lucru și politica fără a depinde de topologia de rețea de bază. Beneficiul este că un adversar care compromite un singur serviciu — să zicem, o componentă cu fața web — nu poate folosi acel punct de sprijin pentru a ajunge la cele mai sensibile depozite de date deoarece toate căile laterale sunt explicit refuzate.

Provocarea operațională în apărare este că microsegmentarea necesită un inventar complet și precis al fluxurilor de date ale aplicației înainte ca politica să poată fi scrisă. Multe sisteme de apărare moștenite nu au fost niciodată proiectate cu hărți explicite ale dependențelor serviciilor, iar descoperirea modelelor de trafic reale necesită o perioadă de instrumentare numai-observare înainte ca aplicarea să înceapă. Această fază de descoperire este adesea cea mai lungă parte a unei desfășurări de microsegmentare — nu aplicarea tehnică, ci activitatea de mapare a ceea ce face sistemul de fapt față de ceea ce afirmă documentația sa.

Perimetrul definit software în mediile tactice

Un perimetru definit software (SDP) implementează principiul Zero Trust la nivelul de acces la rețea făcând resursele complet invizibile solicitanților neautentificați. Înainte de stabilirea unei conexiuni, clientul trebuie să trimită o lovitură Single Packet Authorization (SPA) la controlerul SDP. Controlerul nu răspunde la sonde neautentificate — serviciul nu are port TCP expus, niciun banner, nicio prezență descoperibilă. Abia după ce clientul îi dovedește identitatea și primește un token de acces cu durată limitată și delimitat deschide controlerul o cale la resursa protejată.

Într-un mediu tactic de comandă înaintată, SDP oferă un câștig semnificativ de securitate față de concentratoarele VPN tradiționale. Un VPN expune un punct final de autentificare pe care un adversar îl poate sonda, identifica și ataca. Un controler SDP care nu răspunde la pachete neautentificate nu are suprafață de atac înainte de stabilirea identității. Controlerul însuși poate rula pe hardware rezistent, cu posibilitate de izolare aeriană la nodul înaintat și poate opera într-un mod de politică aplicată local când conectivitatea la furnizorul de identitate din spate este întreruptă, utilizând aserțiuni de acreditare cu ferestre de validitate scurte pentru a limita expunerea oricărei perturbări.

Foaie de parcurs de implementare pentru contractorii de apărare

Contractorii de apărare care gestionează informații clasificate sau operează sub cerințele CMMC (Cybersecurity Maturity Model Certification) se confruntă cu o presiune crescândă de a demonstra progresul Zero Trust. Strategia Zero Trust DoD publicată în 2022 a stabilit un obiectiv de adoptare ZTA la nivelul departamentului până în anul fiscal 2027, iar sistemele contractorilor care interacționează cu rețelele DoD sunt așteptate să se alinieze. O foaie de parcurs practică procedează în faze mai degrabă decât să încerce o transformare simultană a identității, segmentării și monitorizării.

Faza unu se concentrează pe igiena identității: MFA pentru toate conturile privilegiate, emiterea certificatelor PKI tuturor punctelor finale gestionate și înregistrarea auditului tuturor evenimentelor de autentificare. Această fază este realizabilă fără re-arhitecturarea aplicațiilor și oferă o îmbunătățire imediată față de atacurile bazate pe acreditări. Faza doi inventariază fluxurile de date și clasifică activele, construind harta pe care politica de microsegmentare o va aplica. Faza trei desfășoară agenți micro-firewall sau aplicarea plasei de servicii în modul numai-observare pentru a descoperi modelele de trafic reale, apoi trece progresiv la modul de aplicare începând cu sarcinile de lucru de cea mai înaltă sensibilitate. Faza patru desfășoară PDP-ul și începe să ia decizii de autorizare per sesiune pentru accesul la aplicații, integrând verificările posturii dispozitivului. Faza cinci — îmbunătățire continuă — strânge regulile de politică, extinde monitorizarea comportamentală și iterează pe măsură ce aplicațiile evoluează.

Cel mai frecvent mod de eșec în programele ZTA de apărare este tratarea foii de parcurs ca un proiect unic cu o dată de finalizare. Zero Trust este o postură operațională continuă, nu o configurație care se setează și se lasă. Aplicațiile se schimbă, apar servicii noi, informațiile despre amenințări evoluează, iar politica care era corectă în trimestrul trecut poate să nu fie corectă astăzi. Programele care finanțează doar desfășurarea inițială fără a bugeta pentru operațiunile continue de politică și analiza telemetriei vor constata că postura ZTA se degradează în decurs de un an de la punerea în funcțiune. Aceasta se conectează direct la disciplina ISO 27001 pentru dezvoltarea software de apărare — ciclul de îmbunătățire continuă pe care îl necesită ZTA se mapează în mod natural pe cadrul de management Plan-Do-Check-Act pe care îl impune ISO 27001.

Testarea securității trebuie să fie integrată în procesul de implementare, nu amânată pentru sfârșit. Testarea de penetrare a sistemelor de apărare care adoptă Zero Trust ar trebui să vizeze specific planul de control: PDP-ul, furnizorul de identitate, autoritatea de certificare și punctele de aplicare a microsegmentării. Dacă un adversar poate submina componentele care iau decizii de încredere, postura Zero Trust nu oferă protecție indiferent cât de bine sunt scrise regulile individuale de politică.