В разных странах по-разному обеспечивают национальную кибербезопасность. Где-то строят «золотые щиты», где-то замедляют Twitter. А в США администрация Байдена приняла новую стратегию, которая берет за основу подход нулевого доверия, Zero Trust. Разбираемся, как и с помощью чего власти США собираются защищаться от внешнего хакерского вторжения.
Все под подозрением
Впервые эту концепцию в 2010 году предложил аналитик Forrester Research Джон Киндерваг. Описание Zero Trust одной фразой звучит так: «Никогда не доверяйте, всегда проверяйте».
При использовании этого подхода в рабочих сетях доверенных зон больше нет, как нет «внешних» или «внутренних» сетей. То есть доверять пользователям, приложениям или системам «просто так» нельзя. Перед выдачей доступа к чему-либо нужно проверить соответствующие права. Среди компаний, которые придерживаются этого подхода, — Coca-Cola, Microsoft, Google и другие.
Ранее организовать защиту корпоративной сети было просто: периметр был физическим и все машины были в одной точке. Но удаленная работа все изменила — теперь условный «периметр» разбросан по разным локациям и попасть «внутрь» стало намного проще. В такой ситуации подход Zero Trust выглядит как абсолютно базовая вещь. По мнению властей США, его нужно внедрить, чтобы соответствовать современному уровню развития злоумышленников.
Знаем, как настроить безопасный VDI. Все расскажем на вебинаре «Выгода VDI: особенности технологий и примеры внедрения».
Конкретный план
Власти США достаточно настойчиво и основательно добиваются от государственных ведомств принятия систем кибербезопасности с нулевым уровнем доверия. 7 сентября Белый дом опубликовал проект федеральной стратегии по переходу правительства США к этой архитектуре.
Ведомствам поручено разработать планы по внедрению Zero Trust с конкретными целевыми показателями и результатами. Вот некоторые из них.
- борьба с фишингом с помощью многофакторной аутентификации;
- восприятие большинства сетей как недоверенных;
- шифрование трафика;
- надежная защита данных;
- работа в безопасной облачной среде;
- обеспечение безопасности приложений.
Власти страны признают, что переход работы министерств и ведомств на архитектуру Zero Trust станет «многолетним путешествием» и заранее заявляют о готовности внесения в документы коррективов по мере появления новых методов и технологий.
Для презентации инициативы и сбора обратной связи создан сайт с красивым адресом (он бы хорошо смотрелся в фильме с названием типа «Хакерские хакеры») https://zerotrust.cyber.gov. Обратную связь будут собирать до 1 октября.
Будущее без доверия
Ожидается, что к концу сентября 2024 года все госструктуры США придут вот к этим результатам в следующих пяти сферах.
Идентификация. Для доступа к рабочим приложениям сотрудники используют единую систему авторизации. Устойчивая к фишингу система многофакторной аутентификации защищает сотрудников от онлайн-атак любой степени изощренности.
Устройства. Власти США имеют полный список всех устройств, использующихся в ведомствах. Это позволяет быстро обнаруживать места инцидентов и реагировать на них.
Сеть. Ведомства шифруют все DNS-запросы и весь HTTP-трафик, а также сегментируют сети вокруг своих приложений. Также особое внимание уделяется шифрованию электронной почты.
Приложения. Ведомства регулярно и тщательно тестируют свои приложения на предмет уязвимостей и не игнорируют внешние сообщения о них.
Данные. Все данные тщательно категоризированы, чтобы была ясна ценность каждого типа информации. Учреждения используют преимущества облачных служб безопасности для контроля доступа к конфиденциальным данным.
Мягко, но не совсем
В опубликованных документах многократно утверждается следующее: каждое ведомство находится на разном уровне готовности, на полноценное внедрение Zero Trust потребуется очень много времени и спешка только навредит. Поэтому к процессу нужно подходить основательно.
Иллюстрация того, насколько это долгий (и нужный властям США) путь — Zero Trust Maturity Model, то есть модель зрелости по отношению Zero Trust. Соответствие ей не обязательно, но желательно. Этот промежуточный статус содержит в себе те же пять целей, и по каждой из них подробно прописано, как она должна работать для оценок «традиционно», «продвинуто» и «оптимально».
Таким образом, власти США фактически обозначают следующее: «дорога к прекрасному будущему предстоит долгая и трудная, начинайте двигаться к ней прямо сейчас. А чтобы вам было проще по ней пройти, вот вам яркие флажки, не заблудитесь». Насколько это эффективно, узнаем уже скоро, ведь следующие выборы в США как раз в 2024 году.
