In de wereld van cybersecurity is Zero Trust Architectuur (ZTA) hét opkomende paradigma. Dit security model, in tegenstelling tot traditionele beveiligingsmodellen, gaat ervan uit dat geen enkele entiteit binnen of buiten een beschermd systeem kan worden vertrouwd. Simpel gezegd, het neemt aan dat elke gebruiker, of die nu van binnenuit of buitenaf toegang zoekt, potentieel gevaarlijk kan zijn. Het gevolg is dat alle toegang tot resources – of dat nu data, netwerken of systemen zijn – expliciet moet worden geautoriseerd, ongeacht de locatie of het apparaat van de gebruiker. Dit verschilt van de meer traditionele perimeter-gebaseerde beveiligingsmodellen, waarbij iedereen die zich binnen de “muren” van het netwerk bevindt, als vertrouwd wordt beschouwd. ZTA introduceert een fijnmazigere en veiligere benadering van cybersecurity, waardoor het een aantrekkelijk alternatief is in de voortdurende strijd tegen cyberdreigingen.
Echter, zoals met de meeste dingen in het leven, komt dit verhoogde beveiligingsniveau met zijn eigen set uitdagingen. Eén van de belangrijkste obstakels bij de implementatie van ZTA is de noodzaak om een groot aantal fijnmazige beleidsregels (zoals Policy Based Acces Control) te specificeren, implementeren, uit te rollen en te beheren. Deze policies, die kunnen variëren van toegangsbeperkingen tot authenticatieregels, zijn bedoeld om de toegang tot resources in de meest gedetailleerde situaties te regelen. Ze moeten correct zijn om te voldoen aan hun beoogde doelen, consistent om conflicten te voorkomen, minimaal om redundantie te vermijden en volledig om alle mogelijke acties van gebruikers te dekken.
Laten we deze eisen eens nader bekijken.
Correctheid in beleidsregels is essentieel om ervoor te zorgen dat ze overeenkomen met hun beoogde doelen. Deze doelen zijn vaak afgeleid van organisatorische richtlijnen, risicobeoordelingen en potentiële aanvalsmodellen. Het vertalen van deze abstracte principes naar concrete beleidsregels is een niet-triviale taak en vereist een diepgaand begrip van zowel de technische als de bedrijfsmatige aspecten van een organisatie.
Consistentie is een andere belangrijke vereiste. Een consistente algehele policy vermijdt conflicten, bijvoorbeeld wanneer een set van policies zowel een “acces” als een “deny” voor dezelfde gebruiker, actie en protected resource bevat. Om consistentie te bereiken, moet een mechanisme voor conflictoplossing in het toegangscontrolemechanisme worden opgenomen. Dit maakt het mogelijk om dynamisch conflicterende regels op te lossen op een manier die zowel veilig als operationeel efficiënt is.
De minimalisatie houdt in dat de set van policies geen redundante regels mag bevatten. Redundante policies verhogen de administratieve werklast voor het beheren van deze regels en vergroten het risico op fouten bij het aanpassen van algehele policy. Bijvoorbeeld, als een gebruiker niet langer toegang mag hebben tot een bepaald netwerk, moeten alle policies die deze toegang dekken, correct worden aangepast en/of verwijderd. Als dit niet correct wordt uitgevoerd, kan dit leiden tot beveiligingsrisico’s.
Volledigheidseis, vereist dat voor elke actie die moet worden uitgevoerd door de gebruikers van het systeem, er een overeenkomstige policy is die dergelijke uitvoeringsverzoeken controleert. Als er voor een bepaald toegangsverzoek geen overeenkomstig policy is, is de standaardbeslissing meestal om de toegang te weigeren. Deze aanpak kan echter leiden tot situaties waarin gebruikers die een legitieme reden hebben om de beveiligde resource te benaderen, niet in staat zijn om dit te doen. Dit vereist interactie met de beheerders, wat tijdrovend en duur kan zijn.
Een aanvullende uitdaging van de implementatie van ZTA is de potentiële impact op de prestaties van applicaties. De extra overhead die wordt gecreëerd door de strikte toegangscontrolemechanismen kan leiden tot vertragingen en inefficiënties. Dit kan leiden tot frustratie bij de gebruikers en kan uiteindelijk de bedrijfsvoering beïnvloeden.
Verder kan het upgraden van legacy-infrastructuur naar ZTA aanzienlijke inspanningen en kosten met zich meebrengen. Veel oudere systemen zijn niet ontworpen om de fijnmazige toegangscontroles (meestal middels PBAC) te ondersteunen die vereist zijn door ZTA. Deze systemen zullen ofwel moeten worden geüpgraded of vervangen, wat tijd, geld en resources kost.
Bovenstaande uitdagingen komen naast de hygiene beveiligingsmaatregelen die een organisatie (al) op orde moet hebben:
- Identiteits- en toegangsbeheer (IAM): IAM-oplossingen controleren wie toegang heeft tot systemen en resources, en hoe deze toegang wordt verleend (inclusief MFA).
- Microsegmentatie: Microsegmentatie verdeelt een netwerk in kleinere segmenten, waardoor het moeilijker wordt voor aanvallers om zich te verplaatsen binnen een netwerk.
- Beveiligingsbewustzijn: Beveiligingsbewustzijnsprogramma’s helpen werknemers om op de hoogte te blijven van de nieuwste beveiligingsbedreigingen en hen te leren hoe ze deze kunnen voorkomen.
- Visualisatie en analyse: SIEM(-achtige) oplossingen welke toegang gerelateerde informatie verwerken, analyseren en visualiseren.
Ondanks deze uitdagingen blijft ZTA een veelbelovende benadering van cybersecurity die het potentieel heeft om organisaties te helpen hun gegevens en systemen effectief te beschermen tegen cyberdreigingen. Het vereist echter een doordachte implementatie, waarbij rekening wordt gehouden met langere doorlooptijd, de technische en de organisatorische aspecten (en beperkingen) van de organisatie. Ons advies is om de feitelijke veiligheid direct te verhogen door in ieder geval een MFA-implementatie (minimaal op de kroonjuwelen) op orde te hebben, detectie verhogende maatregelen te implementeren (denk aan SIEM, EDR, XDR, etc.) en parallel hieraan de ZTA te implementeren. Zo bouwt u met ZTA aan een furture-proof oplossing met veel flexibiliteit waarbij u reeds noodzakelijke layers-of-defense in place heeft. Neem contact met ons op voor meer informatie en de mogelijkheden!