EDUCATION · ZERO TRUST · ARCHITECTURE

🛡️ Zero Trust Guide - Zero Trust Architecture

Six sections on Zero Trust in International Practice: Basic Principles (NIST SP 800-207), Architecture Components (PEP, PDP), CISA five pillars, maturity levels, gradual transition model and relation to the requirements of Article 21 of the NIS2. Examples are fictional, intended for teaching.

Seven basic principles

NIST SP 800-207 §2.1 - do not trust, always check

Zero Trust paradigma No perimetra modeļa uz Zero Trust: izzūd iekšēja/ārēja tīkla nodalīšana, katrs piekļuves pieprasījums tiek autentificēts un autorizēts dinamiski. Paradigmas maiņa: perimetrs → Zero Trust VECAIS MODELIS perimetra (castle & moat) Iekšējais tīkls = uzticams VPN/firewall → "viss iekšā ir drošs" EVOLŪCIJA ZERO TRUST never trust, always verify POLICY katrs pieprasījums verificēts dinamiski
01
All resources

All data sources and calculation services are considered as resources - servers, databases, API, SaaS, BYOD devices, IoT.

02
Protected communication

All communication is provided (TLS, mTLS) regardless of the location of the network - LAN is not more reliable than the Internet.

03
Session-based access

Access to each resource is granted to a separate session - authentication/authorization before the session is opened, not permanent.

04
Dynamic policy

The decision shall take into account the identity, condition of the device, location, time window, abnormal signals - not only user name/parolie.

05
Continuous monitoring

The organisation shall continuously measure the integrity and security status of its own and associated resources (CDM, EDR, posture).

06
Strict enforcement

Authentication and authorization are dynamic and strictly coercive before granting access - every time again.

07
Telemetry collection

The organisation shall collect data on active status, network infrastructure and communication to improve security status.

Application

Seven principles are the definition of Zero Trust - every architecture that does not respect them is not 'real' Zero Trust, but only marketing term.

Reference

NIST SP 800-207 §2.1 (2020) - "Tenets of Zero Trust" · Identity as the new perimeter.

Safety Note

Zero Trust is not a product to buy. It is a strategy: it requires a coherent operation of identity, devices, networks and data control over years.

Logical components

PEP / EDP - how policy becomes a decision

Zero Trust arhitektūra PDP centrā ar PE un PA, kontekstuālo datu avoti sānos (CDM, ID Mgmt, PKI, Threat Intel, Data Policy, SIEM). Datu plakne (Subjekts → PEP → Resurss) zem PDP. Kontroles plakne starp PEP un PDP. Zero Trust arhitektūras komponentes NIST SP 800-207 §3 - kontroles plakne (augšā) un datu plakne (apakšā) CDM aktīvu stāvoklis posture, patches ID Management IdP, MFA, SSO RBAC, ABAC PKI sertifikāti mTLS, identitāte PDP - Policy Decision Point kontroles plakne PE - Policy Engine pieņem lēmumu (allow / deny) trust algorithm PA - Policy Administrator izveido / nojauc sesiju tokens, akreditācijas Threat Intel draudu signāli IoC, KEV katalogs Data Policy klasifikācija DLP, marķējumi SIEM / Logs audita ieraksti aktivitāšu analīze Subjekts lietotājs · ierīce pakalpojuma konts PEP Policy Enforcement Point proxy · gateway · sidecar Resurss aplikācija · API datu bāze · fails request allow / token query decision Signāli (pelēkie sānos) plūst uz PDP · datu plūsma horizontāli caur PEP · PDP nekad nav datu ceļā

Application

PEP is a gate that stops at every demand. The PDP is a decision centre that responds to 'yes/no/undercoat' according to policy and context.

Reference

NIST SP 800-207 §3 - "Logical Components of ZTA' · CDM = Continued Diagnostics & Mitigation.

Safety Note

PDP is a single point of file. It must be highly accessible, with back-up nodes and offline'break-glass 'procedure.

CISA Zero Trust Matfulness Model v2

Five pillars with cross-sectional foundations

CISA Zero Trust pieci pīlāri Pieci pīlāri (Identitāte, Ierīces, Tīkli, Aplikācijas, Dati) ar trim šķērsgriezuma pamatiem (Redzamība, Automatizācija, Pārvaldība). CISA ZTMM v2 - pīlāri un šķērsgriezuma pamati 1. Identitāte Identity MFA, FIDO2, SSO IdP, JIT access privileged ID risk-based auth PE signāls #1 2. Ierīces Devices EDR, MDM posture: patch, OS device certificates BYOD politika PE signāls #2 3. Tīkli Networks mikrosegmentācija ZTNA, SDP šifrēta plūsma SASE/CASB PE signāls #3 4. Aplikācijas Applications & Workloads CI/CD drošība workload identity RASP, WAF SBOM, secure dev PE signāls #4 5. Dati Data klasifikācija, marķējumi DLP, šifrēšana rights management data lineage PE signāls #5 Šķērsgriezuma pamats #1: Redzamība un analītika · Visibility & Analytics Šķērsgriezuma pamats #2: Automatizācija un orķestrācija · Automation & Orchestration Šķērsgriezuma pamats #3: Pārvaldība · Governance

Application

Five pillars are the basis of technology. All five send a signal to the PDP so that the decision is based on the full context and not just one (e.g. password).

Reference

CISA Zero Trust Integrity Model v2 (2023) · DoD Zero Trust Reference Architecture (2022) - a similar approach with seven pillars.

Lacmus test

If one of the pillars doesn't signal the PDP - it's not Zero Trust yet, but a fragment of 'identity ZT' or 'network ZT'.

Four levels of maturity

Traditional → Initial → Advanced → Optimal

Zero Trust brieduma līmeņi Četri brieduma posmi - no tradicionāla perimetra modeļa līdz pilnībā automatizētai dinamiskai ZT arhitektūrai. CISA ZTMM v2 brieduma līmeņi Pārejas vērtējums katram pīlāram atsevišķi - var atrasties dažādos līmeņos vienlaicīgi Traditional Tradicionāls Perimetrs + statisks · VPN + paroles · Manuāla piekļuves pārvaldība · Atsevišķi rīki · Maz redzamības · Reaktīvs incidentu menedžments starta punkts Initial Sākotnējais MFA + segmentācija · MFA visiem · Tīkla segmentācija · Centrāls IdP/SSO · EDR uz endpoints · Manuālā politika · Logu centralizēšana ~12-18 mēneši Advanced Paplašināts Dinamiska politika · Risk-based MFA · Mikrosegmentācija · Device posture · DLP + klasifikācija · SIEM + SOAR · JIT/JEA piekļuve ~2-3 gadi Optimal Optimāls Pilna automatizācija · Passwordless · Continuous auth · Dinamiski lēmumi · ML/AI signāli · Automatizēta atbilde · Šifrēti dati visur strateģisks mērķis Vērtējumu veic katram pīlāram atsevišķi - identitāte var būt Advanced, kamēr dati joprojām Initial

Application

The reasoning matrix helps to objectively assess where the organisation is located and to set priorities for the next 12-24 months. The assessment shall be carried out for each pillar separately.

Reference

CISA ZTMM v2 (2023) · M-22-09 (OMB for ZT memoranda) · DoD Zero Trust Strategy (2022).

Safety Note

You must not jump from Traditional to Optimal - every step requires process adjustments, team training and budget. A realistic road map is 3-5 years.

Phase-in

From the perimeter to Zero Trust - a realistic road map

Zero Trust pārejas modelis Septiņu posmu pakāpeniska pāreja no perimetra modeļa uz pilnu Zero Trust arhitektūru. Pakāpenisks pārejas modelis - NIST SP 800-207 §7 1. Inventarizācija aktīvu, subjektu, plūsmu un biznesa procesu CMDB, SBOM, datu kart. 2-4 mēneši 2. Identitāte + MFA centrāls IdP, FIDO2 visiem (arī servisiem) passwordless ceļš 3-6 mēneši 3. Ierīču posture EDR, MDM, atjauninājumi device certificates posture → PE signāls 6-12 mēneši 4. Mikrosegmentācija aplikāciju izolēšana ZTNA aizvieto VPN least privilege tīklā 12-18 mēneši 5. Datu klasifikācija marķējumi, DLP šifrēšana miera stāvoklī data-aware politika 12-18 mēneši 6. Politikas dzinējs PDP centralizēts dinamiskas lēmumu kļ. trust algorithm 18-24 mēneši 7. Automatizācija SOAR, continuous auth ML/AI risku signāli self-healing politika 24-36 mēneši ∞ Nepārtraukti mērīt, uzlabot, atjaunot brieduma vērtējumi drošības stāvoklis visā laikā Posmi pārklājas - 2. solis turpinās arī, kad sākas 3. "Ātri uzvarēt" projekti dod redzamu rezultātu jau pirmajā gadā Sākotnējais ROI: MFA + IdP centralizēšana = 60-80% phishing risku samazinājums (CISA mērījumi)

Application

The map helps to plan the budget and team load. First steps (MFA inventory) bring direct safety benefits already in the first year - do not wait for 'full' Zero Trust.

Reference

NIST SP 800-207 §7 - "Migrating to a Zero Trust Architecture" · M-22-09 (OMB deadlines for US federal authorities).

Step one

Start with asset and identity inventory. Without it, the other steps remain on an unknown basis - they cannot protect what they do not know.

Eligibility Framework

Technical implementation of Article 21 of the Zero Trust as NIS2

Zero Trust un NIS2 saistība NIS2 direktīvas 21. panta 2. punkta apakšpunkti un atbilstošās Zero Trust kontroles. Zero Trust kontroles un NIS2 21. panta prasību kartēšana Zero Trust nav obligāts. Tā ir viena no atzītām metodēm NIS2 21. panta riska pārvaldības pasākumu izpildei 21(2)(a) riska analīze + drošības politika 21(2)(b) incidentu pārvaldība 21(2)(d) piegādes ķēdes drošība 21(2)(e) tīkla/sistēmu iegādes un izstrādes droš. 21(2)(f) atbilstības novērtēšanas politika 21(2)(i) aktīvu un personāla drošība 21(2)(j) MFA / nepārtrauktas autentifikācijas risin. PDP politika + risk-based lēmumi dinamiska riska analīze katrā sesijā SIEM + SOAR + sesijas atsaukšana PA nekavējoties atsauc tokenu pie anomālijas Workload identity + SBOM + supply chain ZT trešās puses arī iziet caur PEP Secure dev + CI/CD politikas + RASP/WAF aplikāciju pīlārs CDM + posture mērījumi + audita ieraksti nepārtraukta atbilstības verifikācija Inventarizācija + JIT/JEA + privileged ID least privilege visiem aktīviem FIDO2 + passwordless + continuous auth tieša NIS2 21(2)(j) izpilde tehniskā kartēšana

Application

Zero Trust is not directly required by NIS2, but its components correspond exactly to the scope of Article 21 risk management measures - the same architecture can justify compliance without separate NIS2 specific tools.

Reference

Directive (EU) 2022/2555 Article 21 · transposition of the NKDL · Commission Implementing Regulation (EU) 2024/2690 (technical requirements for digital service providers).

Safety Note

Compliance is not safety. Zero Trust with formal NIS2 requirements may contain shortcomings - the mapping is used as a structure, not as a check-the-box list.