Arhitectura zero-trust este un model de securitate bazat pe presupunerea că încrederea nu ar trebui să fie niciodată implicită — fiecare cerere de acces, de la orice utilizator, dispozitiv sau aplicație, din orice locație de rețea, trebuie să fie autentificată, autorizată și validată continuu înainte de a fi acordat accesul. Modelul a apărut ca răspuns la inadecvarea securității bazate pe perimetru în mediile în care perimetrul tradițional de rețea s-a dizolvat: desfășurările cloud, utilizatorii mobili, conexiunile la rețelele partenerilor și amenințarea insider fac toate conceptul de rețea internă de încredere lipsit de sens.
Pentru rețelele militare, zero-trust nu este o alegere determinată de adoptarea cloud-ului — este o cerință fundamentală de securitate determinată de mediul de amenințare. Rețelele militare se confruntă cu amenințări insider cu acces la sisteme clasificate. Se conectează cu rețele de parteneri din coaliție cu niveluri variate de încredere. Se bazează pe endpoint-uri comerciale (laptopuri ale contractorilor, dispozitive mobile) care pot fi compromise. În acest mediu, orice model de securitate care acordă încredere implicită pe baza locației în rețea este periculos de inadecvat.
De Ce Securitatea BazatДѓ pe Perimetru EИ™ueazДѓ Г®n ApДѓrare
Modelul de securitate bazat pe perimetru presupune că traficul originar din interiorul limitei rețelei poate fi de încredere. Această presupunere eșuează în mediile de apărare pe multiple dimensiuni. Amenințările insider — insideri malițioși sau constrânși cu acces legitim la rețea — sunt statistic mai frecvente în mediile de securitate înaltă tocmai pentru că acele medii sunt ținte pentru infiltrarea adversarilor. Un insider cu acces la un segment de rețea clasificat poate traversa limitele interne de rețea pe care securitatea bazată pe perimetru nu le protejează.
Endpoint-urile compromise reprezintă un eșec al perimetrului la nivelul dispozitivului: o stație de lucru din interiorul perimetrului rețelei care a fost compromisă prin un email de spear-phishing poartă codul unui adversar în zona de încredere. De la acel endpoint compromis, adversarul poate încerca mișcarea laterală — accesând alte sisteme folosind acreditările și accesul la rețea ale mașinii compromise.
Rețelele de coaliție creează complexitate de încredere pe care modelele bazate pe perimetru nu o pot gestiona. Națiunile membre NATO partajează rețele operaționale pentru scopuri specifice — planificarea misiunilor de coaliție, logistică partajată, partajarea imaginii aeriene. Aceste conexiuni între diferite rețele naționale necesită acces controlat, impus prin politici, pe care securitatea bazată pe perimetru nu îl poate oferi cu granularitatea necesară. Zero-trust, cu politici de acces per-utilizator și per-resursă, este singura abordare arhitecturală care poate gestiona conectivitatea la rețelele de coaliție cu granularitatea necesară.
Principiile de BazДѓ Zero-Trust Г®n Context Militar
Verificați explicit. Fiecare cerere de acces trebuie să fie autentificată folosind acreditări puternice și autorizată față de politică înainte de a fi acordat accesul. Autentificarea multi-factor (MFA) este linia de bază; autentificarea bazată pe hardware (carduri PIV/CAC) este standardul DoD pentru autentificarea personalului. Identitatea mașinii — autentificarea dispozitivelor de calcul mai degrabă decât a utilizatorilor umani — folosește certificate de dispozitiv pentru a stabili că o cerere vine de la un dispozitiv cunoscut, gestionat și conform.
Acces cu privilegii minime. Utilizatorii, aplicațiile și serviciile primesc accesul minim necesar pentru a-și îndeplini funcția — nimic mai mult. În rețelele militare, aceasta se mapează la principiile „need-to-know" și „need-to-access" care sunt legal necesare pentru gestionarea informațiilor clasificate. Zero-trust oferă mecanismul de aplicare tehnică pentru ceea ce era anterior o cerință numai de politică: controale de acces bazate pe roluri care împiedică de fapt accesul la resursele pentru care utilizatorul nu are autorizare.
PresupuneИ›i breИ™a. Mentalitatea de presupunere a breИ™ei proiecteazДѓ arhitectura de securitate presupunГўnd cДѓ unele elemente ale reИ›elei sunt deja compromise: capacitДѓИ›ile de monitorizare, detectare И™i rДѓspuns sunt construite ca И™i cum un adversar este deja prezent, mai degrabДѓ decГўt ca mДѓsuri suplimentare pentru cazul puИ›in probabil cДѓ securitatea bazatДѓ pe perimetru eИ™ueazДѓ.
Implementare: Furnizori de Identitate, mTLS И™i Micro-segmentare
Furnizorii de identitate pentru mediile DoD includ Microsoft Entra ID (anterior Azure Active Directory) pentru Guvern, care deИ›ine autorizarea FedRAMP High И™i suportДѓ autentificarea cu carduri inteligente CAC/PIV prin capabilitДѓИ›ile sale de federare a identitДѓИ›ii. Platforma autorizatДѓ FedRAMP a Okta este o alternativДѓ utilizatДѓ de unele programe de apДѓrare. Ambele suportДѓ SAML 2.0 И™i OpenID Connect pentru integrarea aplicaИ›iilor И™i oferДѓ politici de acces condiИ›ionat care evalueazДѓ conformitatea dispozitivului, semnalele de risc ale utilizatorului И™i contextul geografic Г®nainte de a acorda accesul.
TLS Mutual (mTLS) este mecanismul de autentificare serviciu-la-serviciu Г®n arhitecturile zero-trust. Acolo unde autentificarea orientatДѓ utilizatorului foloseИ™te furnizori de identitate И™i MFA, comunicarea serviciu-la-serviciu foloseИ™te certificate prezentate de ambii client И™i server pentru a autentifica ambele pДѓrИ›i. ГЋntr-o aplicaИ›ie de apДѓrare bazatДѓ pe Kubernetes, o plasДѓ de servicii (Istio sau Linkerd) gestioneazДѓ automat emiterea И™i rotaИ›ia certificatelor mTLS pentru toatДѓ comunicarea inter-servicii, asigurГўnd cДѓ nici mДѓcar microserviciile compromise nu pot uzurpa identitatea altor servicii din plasДѓ fДѓrДѓ certificate valide.
Micro-segmentarea Г®mparte reИ›eaua internДѓ Г®n zone mici, fiecare cu propria politicДѓ de acces, Г®nlocuind reИ›eaua internДѓ platДѓ unde traficul est-vest este nerestrictionat. ГЋntr-un mediu cloud, micro-segmentarea este implementatДѓ prin reguli de grup de securitate И™i politici de reИ›ea care restricИ›ioneazДѓ ce servicii pot comunica cu ce alte servicii. ГЋntr-un mediu de reИ›ea militarДѓ fizicДѓ, micro-segmentarea este implementatДѓ prin definiИ›ii de zone de reИ›ea, reguli de firewall inter-zone И™i politici SDN (Software-Defined Networking) care aplicДѓ izolarea traficului Г®ntre segmentele operaИ›ionale, administrative И™i clasificate ale reИ›elei.
Perimetru Definit prin Software: ГЋnlocuirea VPN
VPN tradiИ›ional oferДѓ acces la nivel de reИ›ea: odatДѓ autentificat, utilizatorul VPN are acces la un segment de reИ›ea. Aceasta este arhitectural Г®n conflict cu zero-trust deoarece accesul la nivel de reИ›ea acordДѓ capabilitate de miИ™care lateralДѓ. Perimetrul Definit prin Software (SDP) Г®nlocuieИ™te VPN cu acces la nivel de aplicaИ›ie: utilizatorul se autentificДѓ И™i i se acordДѓ acces la o aplicaИ›ie sau serviciu specific, nu la segmentul de reИ›ea Г®n care se aflДѓ.
SDP funcționează printr-un handshake de autentificare mutuală înainte ca orice pachete de rețea să fie schimbate (modelul „black cloud": serviciul este invizibil în rețea până când clientul este autentificat). După autentificare, o conexiune criptată dedicată este stabilită între client și aplicația specifică — clientul nu poate vedea sau accesa alte aplicații sau servicii din aceeași zonă de rețea.
Pentru organizațiile de apărare care gestionează accesul de la distanță al contractorilor și partenerilor de coaliție, SDP oferă un control al accesului dramatic mai bun decât VPN tradițional. Un partener de coaliție cu acces SDP vede numai sistemele specifice pe care este autorizat să le acceseze, fără capabilitate de mișcare laterală la alte sisteme de apărare — eliminând riscul că un endpoint compromis al unui partener de coaliție devine un vector de atac în rețeaua de apărare mai largă.
Arhitectura de ReferinИ›Дѓ Zero Trust a DoD И™i ImplicaИ›iile pentru Furnizori
Arhitectura de ReferinИ›Дѓ Zero Trust (ZT RA) a DoD defineИ™te И™apte piloni: Utilizator, Dispozitiv, ReИ›ea/Mediu, AplicaИ›ie/Sarcina de Lucru, Date, Automatizare И™i Orchestrare И™i Vizibilitate И™i AnalizДѓ. ZT RA nu este o specificaИ›ie de produs, ci un cadru pentru evaluarea dacДѓ o arhitecturДѓ propusДѓ satisface principiile zero-trust pe toate cele И™apte dimensiuni.
Pentru furnizorii de software pentru apДѓrare, ZT RA are implicaИ›ii contractuale practice. Programele achiziИ›ionate sub politicile actuale de achiziИ›ie DoD trebuie sДѓ demonstreze conformitatea cu principiile zero-trust. Specific: aplicaИ›iile trebuie sДѓ suporte federarea identitДѓИ›ii cu furnizorii de identitate aprobaИ›i DoD; comunicaИ›iile de reИ›ea trebuie sДѓ fie criptate И™i mutual autentificate; accesul la date trebuie sДѓ fie jurnalizat pentru vizibilitate И™i analizДѓ; И™i aplicaИ›ia nu trebuie sДѓ presupunДѓ Г®ncredere la nivelul reИ›elei pentru niciuna dintre comunicaИ›iile sale inter-componente.
Informație cheie: DoD a stabilit un obiectiv strategic de a atinge zero-trust „țintit" în toate sistemele DoD până în AF2027 și zero-trust „avansat" până în AF2032. Furnizorii pentru apărare care nu incorporează arhitecturi compatibile zero-trust în produsele lor acum vor face față remedierii obligatorii pe contractele existente și descalificării de la cele noi. Zero-trust nu este o actualizare opțională — este cerința arhitecturală de bază pentru toate programele software DoD noi.