Traditionele benaderingen van netwerkbeveiliging zijn niet langer houdbaar in het tijdperk van de cloud, wat betekent dat bedrijven zich snel moeten aanpassen. Applicaties hebben de veilige perimeter verlaten. Werknemers werken nu vanaf elke locatie, waarbij ze hoogwaardige en veilige toegang nodig hebben tot de applicaties die nodig zijn voor dagelijkse taken en tot een veilige cloud-omgeving om in te werken.
Om te voldoen aan de beveiligingseisen van de moderne wereld, heeft het principe van ‘least privilege’ een comeback gemaakt – met zero-trust-benaderingen waarvan de fundamenten lang geleden zijn gelegd.
Om duidelijk te maken wat zero trust is, maken we een reis door de it-geschiedenis. Het concept van zero trust is gebaseerd op het idee dat elke gebruiker standaard begint met nul toegangsrechten tot een systeem. Dit uitgangspunt sluit aan bij het principe van least privilege, waarbij gebruikers alleen toegang krijgen tot informatie en middelen als antwoord op een legitieme behoefte. Niemand wordt automatisch vertrouwd, alles moet in twijfel worden getrokken en rechten worden gefaseerd toegekend en doorlopend gevalideerd.
In de kern is zero trust een poging om een minimalistische benadering van toegangsrechten te hanteren, zoals eerder werd gezien in vroege Unix-systemen. Oorspronkelijk betekende de uitdrukking ‘least privilege’ in de computerwereld dat gebruikers een rol en verantwoordelijkheid kregen toegewezen waar ze rechten toe hadden. Eenmaal ingelogd op het systeem, konden ze slechts deze ene opdracht uitvoeren, de toegangsrechten werden hiermee tot een minimum beperkt. Oorspronkelijk werd de beslissing om deze beperking te implementeren gegeven omdat computerbronnen zeldzaam en duur waren. Rechten moesten zorgvuldig worden beheerd om ervoor te zorgen dat de kosten niet uit de hand liepen door onbeperkte toegang.
Meer functies
In de afgelopen dertig jaar is de toewijzing van middelen aanzienlijk veranderd naarmate de technologie vooruitging. Vlak na de grote mainframes kwam het hebben van een eigen computer, waardoor gebruikers steeds meer rechten kregen op hun eigen persoonlijke systemen. De opkomst van het klassieke bedrijfsnetwerk opende deuren naar nieuwe opties en kansen. Gaandeweg kreeg de pc meer functies dan alleen tekstverwerking en e-mail, en uiteindelijk werd het mogelijk om binnen een netwerk informatie uit te wisselen. Het dataverkeer is de afgelopen decennia verschoven van het netwerk naar internet. Sinds de opkomst van de cloud is nu tot negentig procent van het dataverkeer van gebruikersapparaten bestemd voor internet.
Naarmate de technologie vorderde, begonnen bedrijven de manier waarop ze toegangsrechten toekenden en controleerden, te veranderen, en werd het principe van de least privilege minder. Het implementeren van least privilege op een enkel apparaat is eenvoudig, omdat alles dat door de gebruiker wordt gegenereerd – van het proces tot de besturingsfunctie – via slechts één host werd beheerd. Maar zero trust wordt complexer wanneer de omtrek van het apparaat wordt uitgebreid.
Het idee van least privilege dwaalde aanvankelijk af naar netwerk access control (nac), dat een bepaald niveau van vertrouwen veronderstelt – in tegenstelling tot de zero-trust-benadering, die helemaal niets veronderstelt. Maar nac is ook een relatief complexe oplossing, niet zonder beperkingen. Het probleem doet zich voor wanneer de besturingsfunctie apparaat-identiteiten en client software afzonderlijk op één netwerkniveau moet behandelen. Het apparaat blijft afhankelijk van het netwerk waarmee het is verbonden, wat deze beperking oplevert. Als een apparaat het netwerk verlaat, werkt de nac-besturingsfunctie niet meer.
De opkomst van het netwerk bracht tal van nieuwe beveiligingsfuncties met zich mee. Omdat het beheer van applicaties beperkt bleef tot hun werking als onderdeel van een netwerk, werd er een veilige perimeter ingesteld rond het bedrijfsnetwerk om de toegang te reguleren en externe aanvallen op de netwerkgrens te blokkeren. Het doel was ervoor te zorgen dat alleen geautoriseerde gebruikers toegang zouden krijgen tot specifieke delen van het netwerk. Traditionele firewalls en intrusion prevention-systemen werden ontworpen om het netwerk te segmenteren. De complexiteit van de besturingsfunctie binnen het netwerk nam echter toe met een toestroom van applicaties, gebruikers en dataverkeer naar zowel publieke als private cloud providers.
Tegelijkertijd werden bedrijven steeds vaker doelwit van professionele cybercriminelen die baanbrekend werk verrichten met nieuwe aanvalsmethoden, door de steeds grotere hoeveelheden dataverkeer die naar het internet stroomden en de opkomst van cloudification.
Bedrijven begonnen hun hardware beveiligingsstack aan de rand te upgraden om de traditionele toegangspoort tot internet te beschermen met sandboxes, content filtering, data loss prevention, informatie-analyses en -inzichten (via siem-systemen). Ondanks deze maatregelen blijven gerichte aanvallen met phishing en ransomware vaak voorkomen en bereiken ze nog steeds hun beoogde doelen. Door meer van hun netwerk online te zetten, zetten bedrijven onbewust de toegangspoort voor aanvallers wijd open.
Beschermingsmechanisme
Zodra aanvallers de hindernis van de beveiliging aan de rand van een bedrijf hebben overwonnen, is het relatief eenvoudig voor hen om lateraal over het netwerk te bewegen en toegang te krijgen tot gevoelige gegevens en systemen. In platte netwerkhiërarchieën dient segmentatie gewoonlijk niet als een adequaat -. Als reactie op deze ondermaatse beveiligingsstandaard werd het concept van least privilege weer tot leven gebracht in de vorm van zero trust. Geconfronteerd met de beschreven beveiligingsuitdagingen, lijkt het idee om de toegangsroute tussen de gebruiker en zijn applicatie te minimaliseren – zonder het netwerk erbij te betrekken – een veelbelovend vooruitzicht.
Met een least-privilege-aanpak is het doel niet langer om de toegang tot het netwerk te beveiligen, maar om een uitgebreide basis te leggen voor een geheel nieuw connectiviteits- en beveiligingsconcept. Dit concept is gebaseerd op identificatietechnologie en controlemechanismen die samenwerken, en werkt voor alle gebruikers in de hele moderne constructie van multi cloud- en interne datacenter-architectuur.
Het idee achter deze aanpak is net zo eenvoudig als het idee dat het uitgangspunt vormde voor least privilege. Met een zero trust-aanpak worden toegangsrechten tot applicaties en workloads op granulair niveau toegewezen aan individuele gebruikers en applicaties, ongeacht of deze applicaties worden gehost in een datacenter of in een multi-cloud-omgeving. Onder zero trust network access (ztna) beginnen alle gebruikers zonder toegangsrechten. Rechten worden geleidelijk toegekend op basis van de applicaties die de gebruiker nodig heeft voor zijn rol, en deze rechten zijn gekoppeld aan de identiteit van de gebruiker. In dit model doen de locatie van de gebruiker en de applicatie er niet toe; met een cloudgebaseerde zero trust-netwerktoegang aanpak is het helemaal niet nodig om het netwerk erbij te betrekken. De controlefunctie die geauthenticeerde gebruikers en hun toegang tot de applicatie matcht, vindt plaats via een cloud broker-service, die de identiteit van de gebruiker en andere context-gebaseerde factoren gebruikt om de autorisatie continu te bewaken.
Deze aanpak houdt in dat elke gebruiker voor elke applicatie via een tunnel internet op gaat. De traditionele methode om een gebruiker in een netwerk te lokaliseren is niet meer nodig, waardoor het concept van netwerksegmentatie – dat complex en tijdrovend kan zijn om te beheren – ook is los te laten. In plaats daarvan wordt het bestaande identiteitsbeheersysteem gebruikt als basis voor toegangsrechten. Een enkel beveiligingsplatform neemt de besturingsfunctie over die de beveiliging van de datastroom tunnels waarborgt en gebruikers koppelt aan hun applicaties.
Reikwijdte
De zero trust-aanpak is op gebruikersniveau in te zetten en helpt ook bij het beveiligen van cloud-workloads. In dit scenario geldt hetzelfde principe: er wordt niet uitgegaan van vertrouwen in interne of externe multi-cloudnetwerken en verificatie moet plaatsvinden voordat elke toegang wordt verleend en communicatie is toegestaan op basis van de geldende richtlijnen. Door toegang te verlenen tot applicaties en workloads op basis van identiteit, kunnen bedrijven hun kwetsbaarheid voor aanvallen minimaliseren en tegelijkertijd de reikwijdte verminderen die cyberaanvallen hebben om zich over het netwerk te verplaatsen.
In de loop van de tijd is het principe van least privilege aangepast aan een reeks applicaties. Tegenwoordig is zero trust te zien als een natuurlijke evolutie van het oorspronkelijke concept van minimale toegang – met de toegevoegde schaalbaarheid die nodig is om moderne multi-cloud-omgevingen te beveiligen.
