🏔️ 🌓 👨🏻‍💼 शून्य-विश्वसनीय सुरक्षा वास्तुकला कार्यान्वयन: दूसरा संस्करण 😚 👨🏽‍🎓 🙏🏾

स्रोत

2020 की शुरुआत में, यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड एंड टेक्नोलॉजी (एनआईएसटी) ने दस्तावेज़ के दूसरे संस्करण का एक मसौदा प्रकाशित किया, जो एक शून्य-विश्वास वास्तुकला (जीरो ट्रस्ट आर्किटेक्चर, जेडटीए) के बुनियादी तार्किक घटकों को संबोधित करता है।

जीरो ट्रस्ट "किसी को कुछ नहीं भरोसा" के सिद्धांत के आधार पर नेटवर्क सुरक्षा प्रतिमानों के एक विकसित सेट को संदर्भित करता है। शास्त्रीय दृष्टिकोणों के विपरीत, जो परिधि सुरक्षा पर अधिक ध्यान देते हैं, जीरो ट्रस्ट मॉडल उद्यम नेटवर्क के खंडों के बजाय संसाधनों की सुरक्षा पर केंद्रित है।

आज हम शून्य विश्वास के साथ वास्तुकला के सिद्धांतों पर निर्मित एक साइबर सुरक्षा संवर्द्धन मॉडल का अध्ययन करेंगे, इसके उपयोग के जोखिमों का आकलन करेंगे और कुछ लोकप्रिय तैनाती परिदृश्यों से परिचित होंगे।

जीरो ट्रस्ट: द बिगिनिंग

पहला एनआईएसटी जेडटीए प्रोजेक्ट सितंबर 2019 में दिखाई दिया था, हालांकि शून्य विश्वास की अवधारणा "शून्य विश्वास" दिखाई देने से बहुत पहले साइबर स्पेस में मौजूद थी।

रक्षा सूचना प्रणाली एजेंसी (डीआईएसए) और अमेरिकी रक्षा विभाग ने कंपनी की सुरक्षित रणनीति पर 2007 में एक पत्र प्रकाशित किया । "ब्लैक कोर" नामक यह रणनीति, व्यक्तिगत लेनदेन की सुरक्षा पर केंद्रित एक परिधि-आधारित सुरक्षा मॉडल से संक्रमण के लिए प्रदान की गई है।

2010 में, जॉन किंडरवाग, फॉरेस्टर रिसर्च के मुख्य विश्लेषक, विभिन्न समाधानों को तैयार करने के लिए, जो खतरे की धारणा का ध्यान केंद्रित करते हैं (सभी उपलब्ध डेटा पर नियंत्रण करने के लिए एक परिधि सुरक्षा रणनीति के आधार पर सुरक्षा से) तैयार किया गया।शब्द "शून्य आत्मविश्वास"।

जीरो ट्रस्ट मॉडल क्लासिक समस्या को हल करने का एक प्रयास था, जब एक घुसपैठिया अपने सभी घटकों तक नेटवर्क लाभ पहुंचाता था। यह कहने के लिए पर्याप्त है कि, Microsoft कमजोरियों की रिपोर्ट के अनुसार , 88% महत्वपूर्ण कमजोरियों के प्रभाव को समाप्त किया जा सकता है, या कम से कम शमन, व्यवस्थापक अधिकारों से वंचित किया जा सकता है।

परिधि-संरक्षित कॉरपोरेट नेटवर्क प्रमाणित उपयोगकर्ताओं को संसाधनों की एक विस्तृत श्रृंखला तक पहुँच प्रदान करते हैं। परिणामस्वरूप, नेटवर्क के भीतर अनधिकृत पार्श्व आंदोलन सबसे गंभीर साइबर सुरक्षा मुद्दों में से एक बन गया है।

जीरो ट्रस्ट मॉडल

जीरो ट्रस्ट मॉडल को तैनात करने के लिए, आपको न्यूनतम एक्सेस विशेषाधिकारों को वितरित करना होगा और डेटा पैकेट के विवरण को अधिकतम करना होगा। शून्य विश्वास वाले एक मॉडल में, आप एक "संरक्षित स्थान" को परिभाषित करते हैं, जिसमें सबसे महत्वपूर्ण और मूल्यवान डेटा और संसाधन शामिल होते हैं, और संरक्षित संसाधनों के लिए उनके रिश्ते के संदर्भ में संगठन के दौरान यातायात मार्गों को ठीक करते हैं।

जैसे ही संसाधनों, बुनियादी ढांचे और सेवाओं के बीच लिंक की समझ प्रकट होती है, आप कॉर्पोरेट नेटवर्क के खंडों के स्तर पर माइक्रोपरिमेटर - फायरवॉल बना सकते हैं। उसी समय, जो उपयोगकर्ता माइक्रोमीटर को दूरस्थ रूप से पारित कर सकते हैं वे दुनिया में कहीं भी स्थित हैं और विभिन्न उपकरणों और डेटा का उपयोग करते हैं।

जीरो ट्रस्ट आर्किटेक्चर की एक विशिष्ट विशेषता प्रत्येक कंपनी संसाधन तक पहुंच प्रदान करने से पहले प्रमाणीकरण और प्राधिकरण के लिए एक महान ध्यान है। इसी समय, प्रमाणीकरण तंत्र में समय की देरी को कम करना आवश्यक है।

यह आंकड़ा ZTA में एक सार एक्सेस मॉडल दिखाता है।

मॉडल में, उपयोगकर्ता (या डिवाइस) को "चेकपॉइंट" के माध्यम से कॉर्पोरेट संसाधन तक पहुंचने की आवश्यकता है। उपयोगकर्ता सुरक्षा नीति (नीति निर्णय बिंदु, पीडीपी) और नीति कार्यान्वयन बिंदु (नीति प्रवर्तन बिंदु, पीईपी) के माध्यम से एक्सेस निर्णय बिंदु के माध्यम से चेक पास करता है, जो पीडीपी को कॉल करने और सही ढंग से प्रतिक्रिया को संसाधित करने के लिए जिम्मेदार है।

विचार यह है कि पॉलिसी के आवेदन के बिंदु को आवेदन के करीब ले जाया जाए। PDP / PEP ट्रैफ़िक स्ट्रीम में अपने स्थान के बाहर अतिरिक्त नीतियां लागू नहीं कर सकता है।

शून्य ट्रस्ट सिद्धांत

यहां ZT और ZTA (संक्षिप्त रूप में) के सात मूल सिद्धांत हैं, जिन्हें एक सुरक्षित प्रणाली का निर्माण करते समय ध्यान में रखा जाना चाहिए। ये सिद्धांत एक "आदर्श लक्ष्य" हैं, लेकिन उनमें से सभी को प्रत्येक मामले में पूरी तरह से लागू नहीं किया जा सकता है।

डेटा और सेवाओं के सभी स्रोतों को संसाधन माना जाता है। एक नेटवर्क में विभिन्न वर्गों के कई उपकरण शामिल हो सकते हैं। एक कंपनी व्यक्तिगत उपकरणों को संसाधनों के रूप में वर्गीकृत करने का हकदार है यदि वे कंपनी के स्वामित्व वाले डेटा और सेवाओं का उपयोग कर सकते हैं।
. . , (, ), , , . , .
. .
, , (, ). — , , , .
, , . « » , , .
. , , . , , ZTA, , , .
, , , .

यहां, सुविधा के लिए, यह मूल एनआईएसटी ड्राइंग नहीं है, लेकिन सिस्को लेख के संस्करण "डेलीगेट साइबरस्पेस लाइफस्टाइल चॉइस बनाना"

कई तार्किक घटक हैं जो उद्यम में जीरो ट्रस्ट वास्तुकला बनाते हैं। ये घटक स्थानीय सेवा के रूप में या क्लाउड के माध्यम से काम कर सकते हैं। ऊपर दिया गया आंकड़ा "आदर्श मॉडल" दर्शाता है जो तार्किक घटकों और उनकी बातचीत को दर्शाता है।

कंपनी संसाधनों के बारे में जानकारी, उपयोगकर्ताओं के बारे में, डेटा प्रवाह के बारे में और नियमों के साथ कार्य प्रक्रियाओं के बारे में जानकारी का एकीकरण संसाधनों के उपयोग के बारे में निर्णय लेने के लिए आवश्यक इनपुट बनाता है।

जब उपयोगकर्ता (विषय) प्रमाणीकरण प्रक्रिया शुरू करता है, तो उसके चारों ओर डिजिटल पहचान बनाई जाती है। आकृति में, यह प्रक्रिया विषय ब्लॉक से प्रस्तुत की गई है। ऐसे उपयोगकर्ता के लिए एक और शब्द है प्रधानाचार्य, अर्थात्, एक ग्राहक जिसके लिए प्रमाणीकरण की अनुमति है।

ऊपर प्रस्तुत नेटवर्क आरेख को यातायात के कई स्तरों में विभाजित किया गया है। नियंत्रण स्तर (कंट्रोल प्लेन) नेटवर्क के एक अन्य भाग से अलग किया जाता है जो उपयोगकर्ता को दिखाई दे सकता है। प्रिंसिपल के दृष्टिकोण से, इस नेटवर्क की केवल डेटा परत है।

कंट्रोल प्लेन में एक्सेस डिसिजन पॉइंट (पीडीपी) होता है, जिसमें दो तार्किक घटक होते हैं:

Policy Engine (PE), . , (, ) , ;
Policy Administrator (PA), / . Policy Enforcement Point (PEP), (Data Plane).

पीईपी को सक्षम करने, निगरानी करने, पीडीपी को कॉल करने और उसकी प्रतिक्रिया को सही ढंग से संसाधित करने और अंततः, विषय और कॉर्पोरेट संसाधन के बीच कनेक्शन को तोड़ने के लिए जिम्मेदार है। पीईपी के बाहर, एक अंतर्निहित ट्रस्ट ज़ोन है जिसमें कॉर्पोरेट संसाधन स्थित है।

अन्य सभी फ़ील्ड (चित्र में बाएं और दाएं) सुरक्षा घटकों को दिखाते हैं जो पीडीपी / पीईपी तक पहुंच के बारे में निर्णय लेने के लिए आवश्यक जानकारी प्रदान कर सकते हैं। उदाहरण के लिए, एक निरंतर निदान और निगरानी प्रणाली (सीडीएम) जिसमें उद्यम की संपत्ति की वर्तमान स्थिति के बारे में जानकारी एकत्र की जाती है।

पहचान और माइक्रोसेलेशन

ZTA विकसित करने में, अभिनेताओं की पहचान का उपयोग एक्सेस पॉलिसी बनाने के एक प्रमुख घटक के रूप में किया जाता है। पहचान नेटवर्क पर प्रमाणीकरण विशेषताओं और उपयोगकर्ता विशेषताओं को संदर्भित करती है, अर्थात, डेटा जो कि वैधता की गारंटी के लिए सत्यापित किया जा सकता है।

उद्यम पहचान प्रबंधन का अंतिम लक्ष्य प्रत्येक नेटवर्क उपयोगकर्ता की प्रस्तुति को उन संसाधनों तक सीमित करना है जिनके पास उनके अधिकार हैं।

अगली पीढ़ी के फ़ायरवॉल ( NGFW) उपकरणों के साथ एक उद्यम अपने नेटवर्क सेगमेंट में संसाधनों की सुरक्षा कर सकता है), उन्हें नीति प्रवर्तन बिंदु के रूप में उपयोग करना। NGFWs गतिशील रूप से ग्राहकों से व्यक्तिगत अनुरोधों तक पहुंच प्रदान करता है। यह दृष्टिकोण विभिन्न उपयोग के मामलों और तैनाती मॉडल पर लागू होता है, क्योंकि संरक्षण उपकरण पीईपी के रूप में कार्य करता है और इन उपकरणों का प्रबंधन पीई / पीए का एक घटक है। ओवरले नेटवर्क का

उपयोग ZTA को लागू करने के लिए भी किया जा सकता है । इस दृष्टिकोण को कभी-कभी सॉफ़्टवेयर-परिभाषित परिधि ( एसडीपी ) मॉडल कहा जाता है और अक्सर सॉफ़्टवेयर-परिभाषित नेटवर्क ( एसडीएन ) से अवधारणाएं शामिल होती हैं । यहाँ, नीति व्यवस्थापक एक नेटवर्क नियंत्रक के रूप में कार्य करता है जो नीति इंजन द्वारा किए गए निर्णयों के आधार पर नेटवर्क को स्थापित और पुन: कॉन्फ़िगर करता है।

प्रमुख परिनियोजन परिदृश्य

सबसे आम ZTA तैनाती परिदृश्य एक उद्यम से संबंधित है, जिसमें एक मुख्य कार्यालय और कई भौगोलिक रूप से वितरित स्थान एक दूसरे से जुड़े हुए हैं, गैर-उद्यम नेटवर्क चैनल।

इस योजना में, दूरस्थ श्रमिकों को अभी भी कॉर्पोरेट संसाधनों तक पूर्ण पहुंच की आवश्यकता है, और पीई / पीए ब्लॉक को अक्सर क्लाउड सेवा के रूप में तैनात किया जाता है।

जैसे-जैसे उद्यम अधिक क्लाउड एप्लिकेशन और सेवाओं की ओर बढ़ता है, शून्य-विश्वास दृष्टिकोण के लिए पीईपी को प्रत्येक एप्लिकेशन और डेटा स्रोत के एक्सेस बिंदुओं पर स्थित होना चाहिए। पीई और पीए को क्लाउड में, या यहां तक कि तीसरे क्लाउड प्रदाता (क्लाउड प्रदाता ए और क्लाउड प्रदाता बी के बाहर) में स्थित किया जा सकता है।

एक अन्य आम परिदृश्य आगंतुकों और / या ठेकेदारों के साथ एक उद्यम है, जिन्हें कॉर्पोरेट संसाधनों तक सीमित पहुंच की आवश्यकता होती है। इस उदाहरण में, संगठन का एक कन्वेंशन सेंटर भी है जहाँ आगंतुक कर्मचारियों के साथ बातचीत करते हैं।

ZTA सॉफ़्टवेयर-डिफ़ाइंड सुरक्षा दृष्टिकोण का उपयोग करके, आगंतुक इंटरनेट का उपयोग कर सकते हैं, लेकिन कॉर्पोरेट संसाधनों तक नहीं पहुंच सकते। कभी-कभी उनके पास नेटवर्क स्कैन के माध्यम से कॉर्पोरेट सेवाओं की खोज करने की क्षमता भी नहीं होती है।

यहां, PE और PA को क्लाउड सेवा या स्थानीय नेटवर्क पर होस्ट किया जा सकता है। पीए गारंटी देता है कि कंपनी के स्वामित्व वाली सभी परिसंपत्तियों की इंटरनेट तक पहुंच होगी, लेकिन स्थानीय संसाधनों तक नहीं।

ज़ीरो ट्रस्ट कार्यान्वयन के सात जोखिम

निर्णय लेने का प्रभाव

ZTA में, पॉलिसी इंजन और पॉलिसी एडमिनिस्ट्रेटर घटक पूरे उद्यम के लिए महत्वपूर्ण हैं। पीई नियम सेटिंग्स तक पहुंच रखने वाला कोई भी व्यवस्थापक अनधिकृत परिवर्तन कर सकता है या संचालन को बाधित करने वाली त्रुटियां कर सकता है। एक समझौता पीए सभी संरक्षित संसाधनों तक पहुंच प्रदान कर सकता है। जोखिम को कम करने के लिए, पीई और पीए घटकों को ठीक से कॉन्फ़िगर और परीक्षण किया जाना चाहिए।

सेवा की मनाई

संसाधनों तक पहुँचने के लिए पीए एक प्रमुख घटक है - इसकी अनुमति के बिना कनेक्शन स्थापित करना असंभव है। यदि, DoS हमले या ट्रैफ़िक अवरोधन के परिणामस्वरूप, कोई हमलावर PEP या PA तक पहुँच का उल्लंघन करता है या इनकार करता है, तो यह उद्यम के संचालन को प्रतिकूल रूप से प्रभावित कर सकता है। एंटरप्राइज़ में क्लाउड में पीए रखकर या इसे कई स्थानों पर प्रतिकृति करके खतरे को कम करने की क्षमता है।

चोरी की साख

हमलावर फ़िशिंग, सोशल इंजीनियरिंग, या मूल्यवान खातों की साख प्राप्त करने के लिए हमलों के संयोजन का उपयोग कर सकते हैं। बहु-कारक प्रमाणीकरण को लागू करने से एक समझौता किए गए खाते से पहुंच के जोखिम को कम किया जा सकता है।

नेटवर्क दृश्यता

उद्यम नेटवर्क में यातायात का हिस्सा (संभवतः बड़ा) पारंपरिक नेटवर्क विश्लेषण उपकरणों के लिए पारदर्शी नहीं हो सकता है। इसका मतलब यह नहीं है कि उद्यम एन्क्रिप्टेड ट्रैफ़िक का विश्लेषण करने में सक्षम नहीं है - आप मेटाडेटा एकत्र कर सकते हैं और इसका उपयोग संदिग्ध गतिविधि का पता लगाने के लिए कर सकते हैं। मशीन सीखने के तरीके आपको एक गहरे स्तर पर यातायात का पता लगाने की अनुमति देते हैं ।

नेटवर्क सूचना संग्रहण

नेटवर्क ट्रैफ़िक और मेटाडेटा का उपयोग प्रासंगिक नीतियों के निर्माण के लिए किया जाता है जो हैकर के हमलों का लक्ष्य हो सकता है। यदि कोई हमलावर ट्रैफ़िक जानकारी तक पहुंच प्राप्त करता है, तो वह नेटवर्क आर्किटेक्चर का एक विचार प्राप्त कर सकता है और आगे के हमलों के वैक्टर का निर्धारण कर सकता है।

एक हमलावर के लिए खुफिया का दूसरा स्रोत प्रबंधन उपकरण है जिसका उपयोग एक्सेस नीतियों को एन्कोड करने के लिए किया जाता है। संग्रहीत ट्रैफ़िक की तरह, इस घटक में संसाधन पहुंच नीतियां शामिल हैं और यह दिखा सकती हैं कि कौन से खाते समझौता करने के लिए सबसे मूल्यवान हैं।

मालिकाना डेटा प्रारूपों पर रिलायंस

ZTA पहुंच निर्णय लेने के लिए कई अलग-अलग डेटा स्रोतों का उपयोग करता है। अक्सर, इस जानकारी को संग्रहीत और संसाधित करने के लिए उपयोग किए जाने वाले संसाधनों में एक सामान्य ओपन इंटरऑपरेबिलिटी मानक नहीं होता है। यदि एक प्रदाता को कोई समस्या है या सुरक्षा के उल्लंघन में है, तो कंपनी को कभी-कभी अत्यधिक लागत के बिना किसी अन्य प्रदाता को स्विच करने का अवसर नहीं होता है।

DoS के हमलों की तरह, यह जोखिम ZTA के लिए अद्वितीय नहीं है, लेकिन चूंकि ZTA जानकारी के लिए गतिशील पहुंच पर निर्भर है, इसलिए उल्लंघन मुख्य व्यावसायिक कार्यों को प्रभावित कर सकता है। जोखिमों को कम करने के लिए, उद्यमों को एकीकृत तरीके से सेवा प्रदाताओं का मूल्यांकन करना चाहिए।

गैर-व्यक्ति इकाई (एनपीई) प्रबंधन घटकों तक पहुंच

तंत्रिका नेटवर्क और अन्य सॉफ़्टवेयर एजेंट कॉर्पोरेट नेटवर्क में सुरक्षा समस्याओं का प्रबंधन करने के लिए उपयोग किए जाते हैं और महत्वपूर्ण ZTA घटकों (उदाहरण के लिए, नीति इंजन और नीति प्रशासक) के साथ बातचीत कर सकते हैं। ZTA के साथ उद्यम में NPE प्रमाणीकरण का प्रश्न खुला रहता है। यह माना जाता है कि अधिकांश स्वचालित तकनीकी सिस्टम अभी भी एपीआई (उदाहरण के लिए, एपीआई कुंजी कोड) तक पहुंचने के लिए प्रमाणीकरण के कुछ साधनों का उपयोग करेंगे।

नीतियों को कॉन्फ़िगर करने और लागू करने के लिए स्वचालित तकनीक का उपयोग करते समय सबसे बड़ा जोखिम गलत सकारात्मक (हमलों के लिए हानिरहित कार्यों) और झूठी नकारात्मक (सामान्य गतिविधि के लिए गलत किए गए हमले) की संभावना है। प्रतिक्रियाओं की नियमित विश्लेषण द्वारा उनकी संख्या को कम किया जा सकता है।

निष्कर्ष

ZTA आज यात्रा के लिए चिह्नित प्रमुख बिंदुओं के साथ एक नक्शे की तुलना में एक विश्वसनीय किले के नक्शे की तरह दिखता है। हालांकि, कई संगठनों के पास पहले से ही अपने कॉर्पोरेट बुनियादी ढांचे में ZTA तत्व हैं। NIST के अनुसार, संगठनों को धीरे-धीरे शून्य-विश्वास सिद्धांतों को पेश करने का प्रयास करना चाहिए। लंबे समय तक, अधिकांश कॉर्पोरेट इन्फ्रास्ट्रक्चर एक संकर मोड में शून्य ट्रस्ट / परिधि के साथ काम करेंगे।

जीरो ट्रस्ट अवधारणा को लागू करने के विषय को और जानने के लिए, निम्नलिखित सामग्रियों पर ध्यान दें:

शून्य-विश्वसनीय सुरक्षा वास्तुकला कार्यान्वयन: दूसरा संस्करण