English
Kiến trúc Zero Trust, hay ZTA, đề cập đến việc triển khai, ứng dụng thực tế và thiết kế thực thi các nguyên tắc Zero Trust trong cơ sở hạ tầng CNTT của một tổ chức. Kiến trúc này cung cấp khuôn khổ kỹ thuật và cấu trúc mà các tổ chức sử dụng để thực thi Zero Trust. ZTA bao gồm nhiều công nghệ bảo mật khác nhau, chẳng hạn như:
- Quản lý danh tính và truy cập (IAM)
- Xác thực đa yếu tố (MFA)
- Phân đoạn vi mô
- Mã hóa
- Giám sát thời gian thực
ZTA phác thảo cách áp dụng các nguyên tắc này trên các hệ thống, mạng lưới và quy trình làm việc của doanh nghiệp để đảm bảo không có thực thể nào (người dùng, thiết bị hoặc ứng dụng) có quyền truy cập mà không được xác thực kỹ lưỡng.
Đơn giản hóa Zero Trust cho bảo mật dựa trên người dùng
Hiểu về Kiến trúc Zero Trust
Được giới thiệu vào năm 2011 bởi John Kindervag, cựu chuyên gia phân tích tại Forrester Research, kiến trúc Zero Trust chưa bao giờ quan trọng đến thế. Quá trình chuyển đổi số tiếp tục tăng tốc, khép lại kỷ nguyên của các hệ thống và phần mềm tại chỗ và mở ra môi trường đa đám mây, hệ sinh thái Internet vạn vật (IoT) bùng nổ và khả năng di động được cải thiện.
Ngoài ra, người dùng yêu cầu quyền truy cập trực tiếp vào các tài nguyên từ mọi nơi để cộng tác và duy trì năng suất. Kiến trúc Zero Trust giúp sự thay đổi này trở nên khả thi mà không ảnh hưởng đến tính bảo mật.
Các yếu tố chính trong kiến trúc Zero Trust là gì?
Các nguyên tắc cốt lõi của Zero Trust thường liên quan đến việc bảo mật người dùng hoặc các trường hợp sử dụng như quyền truy cập mạng Zero Trust (ZTNA). Tuy nhiên, một kiến trúc Zero Trust toàn diện bao gồm người dùng, ứng dụng và cơ sở hạ tầng và tăng cường đáng kể thế trận bảo mật của tổ chức.
- Người dùng – Xác thực mạnh mẽ danh tính người dùng, áp dụng nguyên tắc truy cập ít đặc quyền nhất và xác minh tính toàn vẹn của thiết bị người dùng là những phần cơ bản của kiến trúc Zero Trust.
- Ứng dụng – Một khái niệm cơ bản của kiến trúc Zero Trust là các ứng dụng không thể được tin cậy và cần phải giám sát liên tục khi chạy để xác thực hành vi của chúng. Áp dụng Zero Trust cho các ứng dụng sẽ loại bỏ sự tin cậy ngầm giữa các thành phần ứng dụng khác nhau khi chúng giao tiếp với nhau.
- Hạ tầng – Kiến trúc Zero Trust giải quyết mọi vấn đề bảo mật liên quan đến cơ sở hạ tầng (ví dụ: bộ định tuyến, bộ chuyển mạch, đám mây, IoT và chuỗi cung ứng).
Ba nguyên tắc của Zero Trust là gì?
Kiến trúc Zero Trust dựa trên ba nguyên tắc cơ bản: xác minh, quyền truy cập ít đặc quyền nhất và giả định vi phạm.
Liên tục giám sát và xác thực
Việc sử dụng tài nguyên phải được liên tục giám sát để phát hiện hành vi bất thường. Các tổ chức phải xác minh tính xác thực của người dùng bằng cách xác thực và ủy quyền cho họ dựa trên tất cả các điểm dữ liệu có sẵn, bao gồm vị trí, danh tính người dùng, dịch vụ hoặc khối lượng công việc và phân loại dữ liệu. Xác thực đa yếu tố, kiểm tra tình trạng thiết bị và danh sách trắng ứng dụng được khuyến nghị để xác minh danh tính người dùng, trạng thái thiết bị và tính toàn vẹn của ứng dụng.
Thực thi quyền truy cập ít đặc quyền nhất
Nguyên tắc đặc quyền nhất hạn chế quyền truy cập của người dùng chỉ đối với dữ liệu, ứng dụng và dịch vụ mà họ cần để thực hiện các chức năng được ủy quyền. Nguyên tắc kiến trúc Zero Trust này được thực thi bằng cách sử dụng các biện pháp kiểm soát truy cập chi tiết, just-in-time (JIT) và just-enough access (JEA).
Các chính sách truy cập thích ứng, dựa trên rủi ro cũng giúp cân bằng giữa bảo mật và năng suất. Việc tuân thủ nguyên tắc đặc quyền nhất giúp giảm thiểu khả năng bị phơi bày hoặc thiệt hại từ các mối đe dọa nội gián hoặc tài khoản người dùng bị xâm phạm.
Giả định vi phạm
Kiến trúc Zero Trust dựa trên giả định rằng vi phạm bảo mật là điều không thể tránh khỏi và các mối đe dọa gây ra chúng có thể nằm bên trong và bên ngoài phạm vi mạng của tổ chức. Một mục tiêu chính của kiến trúc Zero Trust là giảm thiểu bán kính lan truyền của vi phạm khi nó xảy ra.
Điều này đòi hỏi phải phân đoạn nhỏ các tài nguyên nhạy cảm, sử dụng mã hóa đầu cuối, liên tục theo dõi hành vi của người dùng và thiết bị để tìm ra các bất thường và triển khai các cơ chế phản hồi và phục hồi sự cố mạnh mẽ.
Lợi ích của ZTA
ZTA tạo ra một môi trường an toàn và thích ứng hơn cho các doanh nghiệp hiện đại, giảm nguy cơ bị tấn công và đảm bảo bảo vệ toàn diện trên các cơ sở hạ tầng CNTT đa dạng và phức tạp. ZTA mang lại một số lợi ích chính cho các tổ chức, đặc biệt là khi đối mặt với các mối đe dọa an ninh mạng đang phát triển. Bao gồm:
Bảo mật nâng cao
Giảm bề mặt tấn công bằng cách thực thi quyền truy cập ít đặc quyền nhất, nghĩa là người dùng và thiết bị chỉ truy cập những gì họ thực sự cần. Xác thực và ủy quyền liên tục ngăn người dùng trái phép truy cập dữ liệu hoặc hệ thống nhạy cảm, giảm nguy cơ bị đe dọa từ bên trong và bên ngoài.
Bảo vệ chống lại vi phạm dữ liệu
Bằng cách yêu cầu xác thực cho mọi yêu cầu, ZTA giảm thiểu rủi ro vi phạm dữ liệu, ngay cả khi người dùng hoặc thiết bị trong mạng bị xâm phạm. Giả định “vi phạm” đảm bảo không có sự tin tưởng ngầm nào được đưa ra, hạn chế sự di chuyển ngang của kẻ tấn công.
Cải thiện khả năng hiển thị và giám sát
ZTA dựa vào việc giám sát và ghi nhật ký liên tục, giúp tăng cường khả năng hiển thị của tổ chức đối với các hoạt động mạng. Điều này giúp phát hiện và phản hồi các mối đe dọa hiệu quả hơn và cho phép theo dõi kiểm toán tốt hơn.
Giảm thiểu rủi ro của các mối đe dọa dai dẳng nâng cao (APT)
Bằng cách cô lập các phân đoạn mạng và xác minh quyền truy cập ở mỗi cấp độ, ZTA giảm thiểu tác động của các mối đe dọa dai dẳng nâng cao, thường dựa vào việc di chuyển mà không bị phát hiện trong mạng.
Khả năng mở rộng
Cải thiện phản ứng sự cố:
ZTA cung cấp khả năng kiểm soát chi tiết hơn đối với mạng, cho phép các nhóm bảo mật nhanh chóng xác định và cô lập các tài nguyên bị xâm phạm và giảm thời gian ứng phó với sự cố.
Hỗ trợ cho môi trường làm việc từ xa và đám mây
Việc áp dụng kiến trúc Zero Trust cho phép các tổ chức hỗ trợ an toàn cho lực lượng lao động phân tán và các đối tác hoạt động trong môi trường đa đám mây. Với kiến trúc Zero Trust, người dùng có thể truy cập vào các hệ thống và dữ liệu họ cần mà không khiến các tài nguyên có giá trị này có nguy cơ bị tấn công mạng.
Giải quyết các yêu cầu về tuân thủ
Kiến trúc Zero Trust phù hợp hoàn toàn với các yêu cầu bảo vệ dữ liệu theo quy định như GDPR, HIPAA và PCI-DSS. Kiến trúc này cung cấp khả năng bảo mật nâng cao bằng cách giảm thiểu bề mặt tấn công, yêu cầu xác thực đa yếu tố và thực thi các biện pháp kiểm soát truy cập nghiêm ngặt.
Giảm thiểu các mối đe dọa nội gián
Bằng cách thực thi các biện pháp kiểm soát truy cập nghiêm ngặt, kiến trúc Zero Trust làm giảm đáng kể các trường hợp và thiệt hại tiềm ẩn từ các mối đe dọa nội bộ. Việc hạn chế quyền truy cập chỉ ở mức tối thiểu cần thiết để thực hiện các chức năng được ủy quyền sẽ ngăn chặn việc di chuyển ngang qua các mạng khiến tài nguyên bị lộ trước hoạt động độc hại.
Mở rộng bảo mật vượt ra ngoài các vị trí mạng bị cô lập
Kiến trúc Zero Trust sử dụng các chu vi được xác định bằng phần mềm và phân đoạn nhỏ để hỗ trợ kiểm soát truy cập nghiêm ngặt, cho phép di chuyển được ủy quyền qua các mạng. Quyền của người dùng theo họ qua nhiều vị trí và được xác thực liên tục.
Năm trụ cột của Zero Trust là gì?
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát triển năm trụ cột của Zero Trust để giúp các tổ chức giải quyết các mối đe dọa mạng ngày càng tăng trong khi chuyển sang kiến trúc zero trust. Hiểu được các trụ cột này là rất quan trọng để sử dụng ZTA hiệu quả.
#1: Định danh
Danh tính đề cập đến các thuộc tính mô tả cả người dùng là con người và không phải con người. Trong kiến trúc Zero Trust, các biện pháp kiểm soát là điều cần thiết để quản lý các yêu cầu truy cập của từng người dùng, đảm bảo rằng quyền truy cập phù hợp được cấp mà không có quyền quá mức.
Một số biện pháp kiểm soát truy cập danh tính được đề xuất bao gồm các giải pháp đăng nhập một lần (SSO), xác thực đa yếu tố (MFA) và quản lý danh tính và quyền truy cập.
#2: Thiết bị
Thiết bị đề cập đến bất kỳ tài sản nào có thể kết nối với mạng (ví dụ: máy chủ, máy tính để bàn và máy tính xách tay, máy in, thiết bị di động, thiết bị IoT và thiết bị mạng), bao gồm cả tài sản mang theo thiết bị của riêng bạn (BYOD).
Để ngăn chặn truy cập trái phép, các tổ chức nên duy trì một bản kiểm kê tất cả các tài sản, bao gồm cả cấu hình và các lỗ hổng liên quan. Ngoài ra, tất cả các thiết bị phải tuân thủ các nguyên tắc cốt lõi của kiến trúc Zero Trust.
#3: Mạng
Mạng là bất kỳ kênh truyền thông mở nào, chẳng hạn như mạng nội bộ của tổ chức, mạng không dây và Internet. Kiến trúc Zero Trust cung cấp khả năng bảo vệ cho các môi trường hiện đại có ranh giới xốp.
Một số cách tiếp cận liên quan đến kiến trúc Zero Trust bao gồm mã hóa lưu lượng mạng, chuyển từ phân đoạn mạng truyền thống sang phân đoạn vi mô và giám sát hành vi của người dùng và thực thể để chủ động xác định và ứng phó với các vấn đề bảo mật, chẳng hạn như vi phạm dữ liệu.
#4: Ứng dụng và khối lượng công việc
Các ứng dụng và khối lượng công việc bao gồm tất cả các hệ thống, chương trình máy tính và dịch vụ thực thi tại chỗ, trên thiết bị di động và trong môi trường đám mây. Kiến trúc Zero Trust chỉ đạo giám sát và xác thực liên tục các công cụ này để đảm bảo triển khai và cung cấp dịch vụ an toàn.
Điều này có nghĩa là chuyển từ quyền truy cập tĩnh một lần với sự tin cậy ngầm sang ủy quyền động để tiếp tục truy cập và phát hiện chủ động hành vi bất thường của người dùng là con người và không phải con người.
#5: Dữ liệu
Dữ liệu bao gồm tất cả thông tin, từ các tệp có cấu trúc và không có cấu trúc đến các đoạn và siêu dữ liệu, được lưu trữ trên cơ sở hạ tầng kỹ thuật số của tổ chức, bao gồm các ứng dụng, hệ thống, thiết bị, mạng, cơ sở dữ liệu và bản sao lưu. Với kiến trúc Zero Trust, tất cả dữ liệu phải được bảo vệ khỏi việc truy cập và rò rỉ trái phép, cho dù dữ liệu đang chuyển động, đang sử dụng hay đang nghỉ.
Bảy trụ cột cốt lõi của kiến trúc Zero Trust là gì?
7 trụ cột cốt lõi của Kiến trúc Zero Trust bắt nguồn từ các khuôn khổ chi tiết hơn như Kiến trúc tham chiếu Zero Trust của Bộ Quốc phòng (DoD), bổ sung thêm hai lĩnh vực trọng tâm. Bảy trụ cột này bao gồm năm trụ cột trên và nhấn mạnh hai yếu tố quan trọng: tự động hóa và hoạt động bảo mật.
#6: Khả năng hiển thị và phân tích
Hệ thống giám sát toàn diện chủ động theo dõi mọi hoạt động của người dùng, tương tác thiết bị, lưu lượng mạng và các dữ liệu liên quan khác để xác định bất kỳ bất thường và hành vi đáng ngờ nào. Dữ liệu này được phân tích liên tục để nhanh chóng phát hiện và phản hồi mọi mối đe dọa tiềm ẩn, đảm bảo an toàn và bảo mật cho hệ thống của chúng tôi.
#7: Tự động hóa và điều phối
ZTA tận dụng các hệ thống tự động để triển khai và duy trì các giao thức bảo mật, cũng như giải quyết kịp thời các rủi ro bảo mật tiềm ẩn theo thời gian thực. Cách tiếp cận này nâng cao hiệu quả và độ chính xác của phản ứng đối với các sự cố bảo mật tiềm ẩn.
Cách triển khai kiến trúc Zero Trust
Việc triển khai Zero Trust Architecture (ZTA) đòi hỏi một cách tiếp cận có cấu trúc để xác định lại cách thức bảo mật được thực thi trên toàn bộ tổ chức. Nó bao gồm việc áp dụng các công nghệ, quy trình và tư duy mới để đảm bảo rằng không có người dùng, thiết bị hoặc hệ thống nào được tin cậy theo mặc định. Sau đây là hướng dẫn từng bước để triển khai Zero Trust Architecture:
Xác định tài sản
Cần tạo một bản kiểm kê toàn diện tất cả các tài sản, bao gồm cả hệ thống tại chỗ và đám mây. Mỗi tài sản cần được đánh giá để xác định giá trị và lỗ hổng của nó.
Xác minh thiết bị và người dùng
Tất cả các thiết bị và người dùng phải được xác thực để xác nhận rằng chúng là ai hoặc chúng là gì. Xác minh này có thể được hỗ trợ thông qua xác thực đa yếu tố cho người dùng, chip nhúng trong thiết bị và phân tích hành vi cho các thiết bị IoT.
Bản đồ quy trình công việc
Việc lập bản đồ quy trình công việc rất quan trọng đối với kiến trúc Zero Trust. Bước này bao gồm việc xác định ai được truy cập vào tài sản nào, khi nào họ có thể truy cập vào chúng và tại sao nên cấp quyền truy cập.
Xác định và tự động hóa chính sách
Chính sách xác thực phải được xác định dựa trên đặc điểm của người dùng và quy trình làm việc. Điều này phải xem xét siêu dữ liệu như thiết bị, vị trí, nguồn gốc và thời gian yêu cầu truy cập, cũng như dữ liệu theo ngữ cảnh như hoạt động gần đây và xác thực đa yếu tố (MFA). Tường lửa có thể được sử dụng để tự động hóa quy trình sàng lọc các thuộc tính này.
Kiểm tra, giám sát, bảo trì
Trước khi triển khai, các kiến trúc Zero Trust cần được kiểm tra để đảm bảo rằng các mối đe dọa được giải quyết hiệu quả và tác động đến năng suất của người dùng là tối thiểu. Các nhóm bảo mật cần liên tục theo dõi hành vi của người dùng để phát hiện các bất thường cho thấy có vi phạm bảo mật. Ngoài ra, tất cả các hệ thống cần được cập nhật thường xuyên để tối ưu hóa bảo mật và hiệu suất.
Ví dụ về Kiến trúc Zero Trust
Sử dụng kiến trúc Zero Trust được khuyến khích cho bất kỳ tổ chức nào dựa vào mạng và lưu trữ dữ liệu kỹ thuật số. Các trường hợp sử dụng sau đây giải thích lý do tại sao ZTA đã trở thành biện pháp bảo mật tốt nhất:
- Bảo vệ dữ liệu, ứng dụng và mạng
- Bảo mật quyền truy cập từ xa vào các ứng dụng và tài nguyên tại chỗ và trên đám mây
- Phát hiện các mối đe dọa nội bộ và giảm thiểu thiệt hại tiềm ẩn
- Thay thế hoặc tăng cường VPN để mở rộng quyền kiểm soát truy cập an toàn vào các kết nối từ mọi nơi
- Kiểm soát hoặc chặn việc sử dụng các ứng dụng không được cấp phép
- Mở rộng quyền truy cập bị hạn chế, ít đặc quyền nhất cho các bên bên ngoài (ví dụ: đối tác và khách hàng)
- Có được quyền kiểm soát truy cập đối với môi trường chứa và đám mây
- Khả năng hiển thị IoT
Nguồn: Palo Alto Network