معماری اعتماد صفر

معماری اعتماد صفر (ZTA) یا امنیت بدون محیط، یک استراتژی طراحی و پیاده‌سازی سیستم‌های فناوری اطلاعات است. اصل این است که کاربران و دستگاه‌ها نباید به‌طور پیش‌فرض مورد اعتماد قرار گیرند، حتی اگر به یک شبکه ممتاز مانند شبکه محلی شرکتی متصل باشند و حتی اگر قبلاً تأیید شده باشند.

ZTA با ایجاد تأیید هویت، اعتبارسنجی انطباق دستگاه قبل از اعطای دسترسی و تضمین دسترسی با حداقل امتیاز فقط به منابع دارای مجوز صریح، پیاده‌سازی می‌شود. اکثر شبکه‌های مدرن شرکتی شامل بسیاری از مناطق به‌هم‌پیوسته، سرویس‌ها و زیرساخت‌های ابری، اتصال به محیط‌های از راه دور و سیار و اتصال به فناوری اطلاعات غیرمتعارف، مانند دستگاه‌های اینترنت اشیا، هستند.

رویکرد سنتی اعتماد به کاربران و دستگاه‌ها در یک «محیط سازمانی» فرضی یا از طریق اتصال VPN معمولاً در محیط پیچیده یک شبکه سازمانی کافی نیست. رویکرد اعتماد صفر از احراز هویت متقابل، از جمله بررسی هویت و یکپارچگی کاربران و دستگاه‌ها بدون توجه به مکان، و ارائه دسترسی به برنامه‌ها و خدمات بر اساس اطمینان از هویت کاربر و دستگاه و وضعیت دستگاه در ترکیب با احراز هویت کاربر، حمایت می‌کند.^[۱] معماری اعتماد صفر برای استفاده در حوزه‌های خاص مانند زنجیره‌های تأمین پیشنهاد شده است.^[۲]

اصول اعتماد صفر را می‌توان در دسترسی به داده‌ها و مدیریت داده‌ها اعمال کرد. این امر امنیت داده‌های اعتماد صفر را به ارمغان می‌آورد که در آن هر درخواست برای دسترسی به داده‌ها باید به صورت پویا تأیید شود و دسترسی با حداقل امتیاز به منابع تضمین شود. برای تعیین اینکه آیا دسترسی می‌تواند اعطا شود، می‌توان سیاست‌هایی را بر اساس ویژگی‌های داده‌ها، کاربر و نوع محیط با استفاده از کنترل دسترسی مبتنی بر ویژگی (ABAC) اعمال کرد. این رویکرد امنیت داده‌های اعتماد صفر می‌تواند از دسترسی به داده‌ها محافظت کند.

تاریخچه

در آوریل ۱۹۹۴، اصطلاح «اعتماد صفر» توسط استیون پاول مارش در پایان‌نامه دکترای خود در مورد امنیت کامپیوتر در دانشگاه استرلینگ ابداع شد. کار مارش، اعتماد را به عنوان چیزی محدود که می‌توان آن را به صورت ریاضی توصیف کرد، مورد مطالعه قرار داد و ادعا کرد که مفهوم اعتماد فراتر از عوامل انسانی مانند اخلاق، آداب، قانونمندی، عدالت و قضاوت است.^[۳]

مشکلات مدل اسمارتی یا M&M شبکه (که توصیف اولیهٔ حذف محیط بود) توسط یکی از مهندسان سان میکروسیستمز در مقاله‌ای در مجلهٔ Network World در ماه مه ۱۹۹۴ شرح داده شد، که دفاع پیرامونی فایروال‌ها را به عنوان یک پوستهٔ سخت در اطراف یک مرکز نرم، مانند تخم‌مرغ کادبری، توصیف کرد.^[۴]

در سال ۲۰۰۱، اولین نسخه از OSSTMM (راهنمای روش‌شناسی تست امنیت متن‌باز) منتشر شد و تمرکز آن بر اعتماد بود. نسخه ۳ که حدود سال ۲۰۰۷ منتشر شد، یک فصل کامل در مورد اعتماد دارد که می‌گوید: «اعتماد یک آسیب‌پذیری است» و در مورد نحوه اعمال کنترل‌های OSSTMM 10 بر اساس سطوح اعتماد صحبت می‌کند.

در سال ۲۰۰۳، چالش‌های تعریف محدوده سیستم‌های فناوری اطلاعات یک سازمان توسط انجمن جریکو در همان سال برجسته شد و روندی را که در آن زمان «حذف محدوده» نامیده می‌شد، مورد بحث قرار داد.

در پاسخ به عملیات آرورا، یک حمله APT چینی در طول سال ۲۰۰۹، گوگل شروع به پیاده‌سازی یک معماری اعتماد صفر به نام BeyondCorp کرد.

در سال ۲۰۱۰، اصطلاح مدل اعتماد صفر توسط جان کیندروگ، تحلیلگر شرکت تحقیقاتی فورستر، برای اشاره به برنامه‌های امنیت سایبری سختگیرانه‌تر و کنترل دسترسی در شرکت‌ها استفاده شد.^[۵]^[۶]^[۷] با این حال، تقریباً یک دهه طول کشید تا معماری‌های اعتماد صفر رواج پیدا کنند، که بخشی از آن به دلیل افزایش پذیرش سرویس‌های موبایل و ابری بود. ^{[ نیازمند منبع ]}

در سال ۲۰۱۸، کارهایی که در ایالات متحده توسط محققان امنیت سایبری در NIST و NCCoE انجام شد، منجر به انتشار NIST SP شد. ۸۰۰–۲۰۷ – معماری Zero Trust.^[۸]^[۹] این نشریه، Zero Trust (ZT) را به عنوان مجموعه‌ای از مفاهیم و ایده‌ها تعریف می‌کند که برای کاهش عدم قطعیت در اجرای تصمیمات دسترسی دقیق و بر اساس درخواست در سیستم‌ها و خدمات اطلاعاتی در مواجهه با شبکه‌ای که به عنوان یک شبکه در معرض خطر تلقی می‌شود، طراحی شده‌اند. معماری Zero Trust (ZTA) یک طرح امنیت سایبری سازمانی است که از مفاهیم Zero Trust استفاده می‌کند و شامل روابط اجزا، برنامه‌ریزی گردش کار و سیاست‌های دسترسی می‌شود؛ بنابراین، یک Zero Trust Enterprise، زیرساخت شبکه (فیزیکی و مجازی) و سیاست‌های عملیاتی است که برای یک سازمان به عنوان محصول یک طرح معماری Zero Trust در نظر گرفته شده است.

روش‌های مختلفی برای پیاده‌سازی تمام اصول ZT وجود دارد؛ یک راهکار کامل ZTA شامل عناصری از هر سه مورد خواهد بود:

استفاده از مدیریت هویت پیشرفته و کنترل‌های دسترسی مبتنی بر سیاست.
استفاده از میکروسگمنتیشن
استفاده از شبکه‌های هم‌پوشان یا محیط‌های تعریف‌شده توسط نرم‌افزار

در سال ۲۰۱۹، مرکز ملی امنیت سایبری بریتانیا (NCSC) توصیه کرد که معماران شبکه، رویکرد اعتماد صفر را برای استقرارهای جدید فناوری اطلاعات، به ویژه در مواردی که استفاده قابل توجهی از خدمات ابری برنامه‌ریزی شده است، در نظر بگیرند.^[۱۰] یک رویکرد جایگزین اما سازگار توسط NCSC در شناسایی اصول کلیدی پشت معماری‌های اعتماد صفر اتخاذ شده است:

منبع قوی و واحد برای شناسایی کاربر
احراز هویت کاربر
احراز هویت ماشینی
زمینه‌های اضافی، مانند انطباق با سیاست‌ها و سلامت دستگاه
سیاست‌های مجوز برای دسترسی به یک برنامه
سیاست‌های کنترل دسترسی در یک برنامه

جستارهای وابسته

خستگی از گذرواژه

منابع

↑ "Mutual TLS: Securing Microservices in Service Mesh". The New Stack (in American English). 2021-02-01. Archived from the original on 2021-03-13. Retrieved 2021-02-20.
↑ Collier, Zachary A.; Sarkis, Joseph (2021-06-03). "The zero trust supply chain: Managing supply chain risk in the absence of trust". International Journal of Production Research. 59 (11): 3430–3445. doi:10.1080/00207543.2021.1884311. ISSN 0020-7543.
↑ Marsh, Stephen (1994), Formalising Trust as a Computational Concept, p. 56, retrieved 2022-07-22
↑ "Internet hackers beware: corporate LANs protected". IDG Network World Inc. 23 May 1994. ISSN 0887-7661.
↑ Loten, Angus (2019-05-01). "Akamai Bets on 'Zero Trust' Approach to Security" (in English). Wall Street Journal. Archived from the original on 2022-02-18. Retrieved 2022-02-17.
↑ Higgins, Kelly Jackson. "Forrester Pushes 'Zero Trust' Model For Security". Dark Reading (in English). Informa. Archived from the original on 26 August 2021. Retrieved 2022-02-17.
↑ Kindervag, John (2010-11-05). "Build Security Into Your Network's DNA: The Zero Trust Network Architecture" (PDF). Forrester Research. Retrieved 2022-07-22.
↑ National Cybersecurity Center of Excellence. "Implementing a Zero Trust Architecture". NIST. Retrieved 2022-07-22.
↑ Rose, Scott; Borchert, Oliver; Mitchell, Stu; Connelly, Sean. "Zero Trust Architecture" (PDF). nvlpubs.nist.gov. NIST. Archived from the original (PDF) on 2021-04-21. Retrieved 2020-10-17.
↑ "Network architectures". www.ncsc.gov.uk (in English). Archived from the original on 2021-01-21. Retrieved 2020-08-25.

[1] "Mutual TLS: Securing Microservices in Service Mesh". The New Stack (in American English). 2021-02-01. Archived from the original on 2021-03-13. Retrieved 2021-02-20.

[2] Collier, Zachary A.; Sarkis, Joseph (2021-06-03). "The zero trust supply chain: Managing supply chain risk in the absence of trust". International Journal of Production Research. 59 (11): 3430–3445. doi:10.1080/00207543.2021.1884311. ISSN 0020-7543.

[3] Marsh, Stephen (1994), Formalising Trust as a Computational Concept, p. 56, retrieved 2022-07-22

[4] "Internet hackers beware: corporate LANs protected". IDG Network World Inc. 23 May 1994. ISSN 0887-7661.

[:1-5] Loten, Angus (2019-05-01). "Akamai Bets on 'Zero Trust' Approach to Security" (in English). Wall Street Journal. Archived from the original on 2022-02-18. Retrieved 2022-02-17.

[:2-6] Higgins, Kelly Jackson. "Forrester Pushes 'Zero Trust' Model For Security". Dark Reading (in English). Informa. Archived from the original on 26 August 2021. Retrieved 2022-02-17.

[7] Kindervag, John (2010-11-05). "Build Security Into Your Network's DNA: The Zero Trust Network Architecture" (PDF). Forrester Research. Retrieved 2022-07-22.

[:3-8] National Cybersecurity Center of Excellence. "Implementing a Zero Trust Architecture". NIST. Retrieved 2022-07-22.

[:4-9] Rose, Scott; Borchert, Oliver; Mitchell, Stu; Connelly, Sean. "Zero Trust Architecture" (PDF). nvlpubs.nist.gov. NIST. Archived from the original (PDF) on 2021-04-21. Retrieved 2020-10-17.

[:0-10] "Network architectures". www.ncsc.gov.uk (in English). Archived from the original on 2021-01-21. Retrieved 2020-08-25.

[۱]

[۲]

[۳]

[۴]

[۵]

[۶]

[۷]

[۸]

[۹]

[۱۰]