EDUCATION, ZERO TRUST, ARCHITECTURE

🛡️ Zero Trust ceļvedis - nulles uzticības arhitektūra

Sešas sadaļas par Zero Trust starptautiskajā praksē: pamatprincipi (NIST SP 800-207), arhitektūras komponentes (PEP, PDP), CISA pieci pīlāri, brieduma līmeņi, pakāpenisks pārejas modelis un saistība ar NIS2 21. panta prasībām. Piemēri ir izdomāti, paredzēti apmācībām.

Septiņi pamatprincipi

NIST SP 800-207 §2.1 - neuzticies, vienmēr pārbaudi

Zero Trust paradigma No perimetra modeļa uz Zero Trust: vairs nav pieņēmuma, ka iekšējais tīkls ir drošs - katru piekļuves pieprasījumu pārbauda no jauna. Paradigmas maiņa: perimetrs → Zero Trust VECAIS MODELIS perimetra (castle & moat) Iekšējais tīkls = uzticams VPN/firewall → "viss iekšā ir drošs" EVOLŪCIJA ZERO TRUST never trust, always verify POLICY katru pieprasījumu pārbauda
01
Visi resursi

Par resursu uzskata visu, kur ir dati vai kas tos apstrādā: serverus, datubāzes, API, SaaS, darbinieku personīgās ierīces (BYOD) un IoT.

02
Šifrēti savienojumi

Visi savienojumi ir šifrēti (TLS, mTLS) neatkarīgi no vietas tīklā - iekšējais tīkls nav uzticamāks par internetu.

03
Piekļuve uz vienu sesiju

Piekļuvi katram resursam dod uz vienu sesiju: lietotāju pārbauda pirms katras sesijas, nevis vienreiz uz visiem laikiem.

04
Lēmums pēc konteksta

Lēmumā ņem vērā, kas pieprasa, no kādas ierīces, no kurienes, kurā laikā un vai nav aizdomīgu pazīmju - ne tikai lietotājvārdu un paroli.

05
Nepārtraukta uzraudzība

Organizācija pastāvīgi seko, vai tās resursi ir veseli un droši (CDM, EDR, ierīču stāvokļa pārbaude).

06
Pārbaude katru reizi

Identitāti un tiesības pārbauda pirms katras piekļuves - katru reizi no jauna, bez izņēmumiem.

07
Telemetrijas vākšana

Organizācija vāc datus par ierīcēm, tīklu un savienojumiem un izmanto tos, lai drošību uzlabotu.

Praksē

Šie septiņi principi arī ir Zero Trust definīcija. Ja arhitektūra tos neievēro, tas nav Zero Trust, bet mārketinga nosaukums.

Atsauce

NIST SP 800-207 §2.1 (2020) - "Tenets of Zero Trust", Identitāte kā jaunais perimetrs.

Drošības piezīme

Zero Trust nav produkts, ko var nopirkt. Tā ir stratēģija, kurā vairāku gadu laikā kopā jāsakārto identitātes, ierīces, tīkls un dati.

Loģiskās komponentes

PEP / PDP - kā politika kļūst par lēmumu

Zero Trust arhitektūra PDP centrā ar PE un PA, kontekstuālo datu avoti sānos (CDM, ID Mgmt, PKI, Threat Intel, Data Policy, SIEM). Datu plakne (Subjekts → PEP → Resurss) zem PDP. Kontroles plakne starp PEP un PDP. Zero Trust arhitektūras komponentes NIST SP 800-207 §3 - kontroles plakne (augšā) un datu plakne (apakšā) CDM aktīvu stāvoklis posture, patches ID Management IdP, MFA, SSO RBAC, ABAC PKI sertifikāti mTLS, identitāte PDP - Policy Decision Point kontroles plakne PE - Policy Engine pieņem lēmumu (allow / deny) trust algorithm PA - Policy Administrator izveido / nojauc sesiju tokens, akreditācijas Threat Intel draudu signāli IoC, KEV katalogs Data Policy klasifikācija DLP, marķējumi SIEM / Logs audita ieraksti aktivitāšu analīze Subjekts lietotājs, ierīce pakalpojuma konts PEP Policy Enforcement Point proxy, gateway, sidecar Resurss aplikācija, API datu bāze, fails request allow / token query decision Signāli no sāniem iet uz PDP, dati iet caur PEP - PDP pašus datus neredz

Viens pieprasījums caur PEP un PDP

Kā lēmums tiek pieņemts katram pieprasījumam - un kāpēc resurss pats tīklā nav redzams.

Piekļuves pieprasījums

  1. 1
    Lietotājs → PEPpieprasījums uz algu sistēmu

    Lietotājs grib atvērt algu sistēmu. Pieprasījums vispirms nonāk vārtos (PEP) - tieši resursam tas netiek.

  2. 2
    PEP → PDPvai atļaut?kas, ierīce, vieta, laiks

    PEP jautā PDP un nodod kontekstu.

  3. 3
    PDPMFA izieta? ierīce atjaunināta un ar EDR? neierasta valsts vai laiks?

    PDP vērtē vairākus signālus, ne tikai paroli. Lēmums ir šai sesijai, ne uz visiem laikiem.

  4. 4
    PDP → PEPatļaut šai sesijai

    Atbilde var būt arī 'liegt' vai 'prasīt papildu pārbaudi'.

  5. 5
    PEP → Resursspārsūtīts pieprasījums

    Tikai tagad pieprasījums nonāk līdz resursam. Pats resurss nav redzams no tīkla.

  6. 6
    PiezīmeJa sesijas laikā ierīce kļūst neatbilstoša, PDP sesiju aizver.

    Pārbaude nav vienreizēja pie ieejas - tā turpinās visu sesiju.

Praksē

PEP ir vārti, caur kuriem iet katrs pieprasījums. PDP ir vieta, kur pieņem lēmumu: 'jā', 'nē' vai 'jā, bet ar papildu pārbaudi'.

Atsauce

NIST SP 800-207 §3 - "Logical Components of ZTA", CDM = Continuous Diagnostics & Mitigation.

Drošības piezīme

Ja PDP nedarbojas, nedarbojas nekas (single point of failure). Tāpēc tam vajag dublētus mezglus un ārkārtas piekļuves (break-glass) procedūru, kas strādā arī bez tā.

CISA Zero Trust Maturity Model v2

Pieci pīlāri un trīs kopīgie pamati

CISA Zero Trust pieci pīlāri Pieci pīlāri (Identitāte, Ierīces, Tīkli, Aplikācijas, Dati) un trīs kopīgie pamati (Redzamība, Automatizācija, Pārvaldība). CISA ZTMM v2 - pīlāri un kopīgie pamati 1. Identitāte Identity MFA, FIDO2, SSO IdP, JIT access privileged ID risk-based auth PE signāls #1 2. Ierīces Devices EDR, MDM posture: patch, OS device certificates BYOD politika PE signāls #2 3. Tīkli Networks mikrosegmentācija ZTNA, SDP šifrēta plūsma SASE/CASB PE signāls #3 4. Aplikācijas Applications & Workloads CI/CD drošība workload identity RASP, WAF SBOM, secure dev PE signāls #4 5. Dati Data klasifikācija, marķējumi DLP, šifrēšana rights management data lineage PE signāls #5 Kopīgais pamats #1: redzamība un analītika (Visibility & Analytics) Kopīgais pamats #2: automatizācija un orķestrācija (Automation & Orchestration) Kopīgais pamats #3: pārvaldība (Governance)

Praksē

Pieci pīlāri ir tehniskais pamats. Katrs no tiem dod signālu PDP, lai lēmums balstītos uz pilnu ainu, nevis vienu pazīmi, piemēram, paroli.

Atsauce

CISA Zero Trust Maturity Model v2 (2023), DoD Zero Trust Reference Architecture (2022) - līdzīga pieeja ar septiņiem pīlāriem.

Ātrā pārbaude

Ja kāds pīlārs PDP signālu nedod, tas vēl nav Zero Trust - tikai tā daļa, piemēram, identitātes vai tīkla.

Četri brieduma līmeņi

Traditional → Initial → Advanced → Optimal

Zero Trust brieduma līmeņi Četri brieduma līmeņi - no tradicionāla perimetra līdz pilnībā automatizētam Zero Trust. CISA ZTMM v2 brieduma līmeņi Katru pīlāru vērtē atsevišķi - tie var būt dažādos līmeņos Traditional Tradicionāls Perimetrs + statisks - VPN + paroles - Manuāla piekļuves pārvaldība - Atsevišķi rīki - Maz redzamības - Incidentus risina pēc fakta starta punkts Initial Sākotnējais MFA + segmentācija - MFA visiem - Tīkla segmentācija - Centrāls IdP/SSO - EDR galiekārtās - Manuālā politika - Centrāli žurnāli ~12-18 mēneši Advanced Paplašināts Lēmums pēc konteksta - Risk-based MFA - Mikrosegmentācija - Device posture - DLP + klasifikācija - SIEM + SOAR - JIT/JEA piekļuve ~2-3 gadi Optimal Optimāls Pilna automatizācija - Passwordless - Continuous auth - Dinamiski lēmumi - ML/AI signāli - Automatizēta atbilde - Šifrēti dati visur strateģisks mērķis Termiņi ir orientējoši. Katru pīlāru vērtē atsevišķi - identitāte var būt Advanced, kamēr dati vēl Initial

Praksē

Brieduma tabula palīdz godīgi novērtēt, kur organizācija ir tagad, un izvēlēties, ko darīt nākamajos 12-24 mēnešos. Katru pīlāru vērtē atsevišķi.

Atsauce

CISA ZTMM v2 (2023), M-22-09 (OMB ZT memorandum), DoD Zero Trust Strategy (2022).

Drošības piezīme

No Traditional uzreiz uz Optimal nepāriet - katram solim vajag mainīt procesus, apmācīt komandu un paredzēt budžetu. Reāls ceļš ir 3-5 gadi.

Pakāpeniska ieviešana

No perimetra uz Zero Trust - reālistiska ceļa karte

Zero Trust pārejas modelis Pāreja no perimetra uz Zero Trust septiņos soļos. Pakāpenisks pārejas modelis - NIST SP 800-207 §7 1. Inventarizācija aktīvu, subjektu, plūsmu un biznesa procesu CMDB, SBOM, datu kart. 2-4 mēneši 2. Identitāte + MFA centrāls IdP, FIDO2 visiem (arī servisiem) passwordless ceļš 3-6 mēneši 3. Ierīču stāvoklis EDR, MDM, atjauninājumi device certificates posture → PE signāls 6-12 mēneši 4. Mikrosegmentācija aplikāciju izolēšana ZTNA aizvieto VPN least privilege tīklā 12-18 mēneši 5. Datu klasifikācija marķējumi, DLP šifrēti glabātie dati data-aware politika 12-18 mēneši 6. Politikas dzinējs PDP centralizēts lēmumi pēc konteksta trust algorithm 18-24 mēneši 7. Automatizācija SOAR, continuous auth ML/AI risku signāli self-healing politika 24-36 mēneši ∞ Nepārtraukti mērīt, uzlabot, atjaunot brieduma vērtējumi drošības stāvoklis visā laikā Posmi pārklājas - 2. solis turpinās arī, kad sākas 3. "Ātri uzvarēt" projekti dod redzamu rezultātu jau pirmajā gadā Pirmais ieguvums: MFA un centrāls IdP aizver biežāko ielaušanās ceļu - nozagtas paroles

Praksē

Plāns palīdz paredzēt budžetu un komandas slodzi. Pirmie soļi (inventarizācija, MFA) uzlabo drošību jau pirmajā gadā - nav jāgaida, kamēr viss ir gatavs.

Atsauce

NIST SP 800-207 §7 - "Migrating to a Zero Trust Architecture", NIST SP 1800-35 (2025, praktiskas ieviešanas), M-22-09 (OMB termiņi ASV federālajām iestādēm).

Pirmais solis

Sāc ar to, ka saskaiti ierīces, sistēmas un kontus. Nevar aizsargāt to, par ko nezini.

Atbilstības ietvars

Zero Trust kā veids, kā izpildīt NIS2 21. pantu

Zero Trust un NIS2 saistība NIS2 direktīvas 21. panta 2. punkta apakšpunkti un atbilstošās Zero Trust kontroles. Kuras Zero Trust kontroles sedz NIS2 21. panta prasības Zero Trust nav obligāts - tas ir viens atzīts veids, kā izpildīt NIS2 21. pantu 21(2)(a) riska analīze + drošības politika 21(2)(b) incidentu pārvaldība 21(2)(d) piegādes ķēdes drošība 21(2)(e) tīkla/sistēmu iegādes un izstrādes droš. 21(2)(f) pasākumu efektivitātes novērtēšana 21(2)(i) aktīvu un personāla drošība 21(2)(j) MFA un nepārtraukta autentifikācija PDP politika + risk-based lēmumi dinamiska riska analīze katrā sesijā SIEM + SOAR + sesijas atsaukšana PA nekavējoties atsauc tokenu pie anomālijas Workload identity + SBOM + supply chain ZT trešās puses arī iziet caur PEP Secure dev + CI/CD politikas + RASP/WAF aplikāciju pīlārs CDM + posture mērījumi + audita ieraksti pastāvīga atbilstības pārbaude Inventarizācija + JIT/JEA + privileged ID least privilege visiem aktīviem FIDO2 + passwordless + continuous auth tieša NIS2 21(2)(j) izpilde

Praksē

NIS2 Zero Trust tieši neprasa, bet tā daļas labi sedz 21. panta riska pārvaldības pasākumus. Tā pati arhitektūra var pierādīt atbilstību bez atsevišķiem 'NIS2 rīkiem'.

Atsauce

Direktīva (ES) 2022/2555 21. pants, Nacionālās kiberdrošības likums, Komisijas Īstenošanas regula (ES) 2024/2690 (tehniskās prasības digitālās infrastruktūras un pārvaldīto pakalpojumu sniedzējiem).

Drošības piezīme

Atbilstība vēl nav drošība. Arī formāli izpildītas NIS2 prasības var atstāt caurumus - izmanto šo tabulu kā plānu, ne kā ķeksīšu sarakstu.

Saīsinājumi

Ceļvedī lietotie saīsinājumi: oriģinālais nosaukums un ko tas nozīmē.

ABAC
Attribute-Based Access Control - piekļuve pēc atribūtiem - lomas, ierīces, laika, datu klases.
BYOD
Bring Your Own Device - darbinieka personīgā ierīce, ko lieto darbam.
CDM
Continuous Diagnostics and Mitigation - ASV programma ierīču un konfigurāciju pastāvīgai uzraudzībai.
CISA
Cybersecurity and Infrastructure Security Agency - ASV kiberdrošības un infrastruktūras aģentūra.
CMDB
Configuration Management Database - IT ierīču, sistēmu un to saistību uzskaites datubāze.
DLP
Data Loss Prevention - rīki, kas aptur jutīgu datu nosūtīšanu ārpus organizācijas.
EDR
Endpoint Detection and Response - datoru un serveru uzraudzība, kas pamana un aptur aizdomīgas darbības.
FIDO2
Standarts pieteikšanās atslēgām (arī passkey) - pikšķerēšanai noturīga autentifikācija.
IdP
Identity Provider - sistēma, kas pārbauda lietotāju un apliecina viņa identitāti citām sistēmām (piem., Entra ID, Okta).
IoC
Indicator of Compromise - pazīme, ka sistēma ir uzlauzta - adrese, faila nospiedums, domēns.
JIT / JEA
Just-In-Time / Just-Enough-Access - tiesības tikai uz īsu laiku un tikai tik, cik darbam vajag.
KEV
Known Exploited Vulnerabilities - CISA katalogs ar ievainojamībām, ko uzbrucēji jau izmanto.
MDM
Mobile Device Management - ierīču centrāla pārvaldība - iestatījumi, šifrēšana, attālināta dzēšana.
MFA
Multi-Factor Authentication - pieteikšanās ar vismaz diviem faktoriem (parole un kods vai atslēga).
OMB
Office of Management and Budget - ASV iestāde; tās memorands M-22-09 nosaka Zero Trust termiņus federālajām iestādēm.
PA
Policy Administrator - atver vai aizver sesiju pēc PE lēmuma.
PDP
Policy Decision Point - vieta, kur pieņem piekļuves lēmumu (PE un PA kopā).
PE
Policy Engine - lēmuma dzinējs: atļaut, liegt vai prasīt papildu pārbaudi.
PEP
Policy Enforcement Point - vārti, kas lēmumu izpilda - proxy, vārteja, sidecar.
PKI
Public Key Infrastructure - sertifikātu izsniegšanas un pārbaudes sistēma.
RASP
Runtime Application Self-Protection - aizsardzība, kas darbojas pašā lietotnē tās darbības laikā.
RBAC
Role-Based Access Control - piekļuve pēc lomas (grāmatvedis, administrators).
SASE
Secure Access Service Edge - mākoņpakalpojums, kas apvieno tīkla piekļuvi un drošības pārbaudes.
CASB
Cloud Access Security Broker - starpnieks, kas uzrauga un ierobežo mākoņpakalpojumu lietošanu.
SBOM
Software Bill of Materials - programmatūras sastāvdaļu un atkarību saraksts.
SDP
Software-Defined Perimeter - resurss tīklā nav redzams, kamēr lietotājs nav pārbaudīts.
SIEM
Security Information and Event Management - žurnālu centrāla vākšana, korelācija un brīdinājumi.
SOAR
Security Orchestration, Automation and Response - automātiska reaģēšana uz brīdinājumiem pēc iepriekš sagatavota scenārija.
SSO
Single Sign-On - viena pieteikšanās, kas der vairākām sistēmām.
TLS / mTLS
Transport Layer Security / mutual TLS - šifrēts savienojums; mTLS - sertifikātu uzrāda abas puses.
WAF
Web Application Firewall - ugunsmūris, kas filtrē uzbrukumus tīmekļa lietotnēm.
ZTA
Zero Trust Architecture - Zero Trust arhitektūra (NIST SP 800-207).
ZTMM
Zero Trust Maturity Model - CISA Zero Trust brieduma modelis.
ZTNA
Zero Trust Network Access - piekļuve konkrētai lietotnei pēc pārbaudes - VPN vietā, kas atver visu tīklu.