Zero Trust

Zero Trust er en samling af begreber og idéer, der er designet til at minimere usikkerheden i håndhævelsen af præcise least privilege-adgangsbeslutninger pr. forespørgsel i informationssystemer og services – i et netværk, der betragtes som kompromitteret. [1]

Hvad er Zero Trust?

Zero Trust bliver ofte forvekslet med en specifik teknologi, men er i virkeligheden en tilgang til cybersikkerhed. Tilgangen følger ganske enkelt mottoet “Never trust, always verify” og er et svar på den traditionelle såkaldte perimeterforsvars-tilgang, hvor alt inden for perimeteren betragtes som sikkert, mens alt udenfor blev anset for at være hjemsted for ondsindede modstandere, man måtte beskytte sig imod. Virksomhedsnetværk er siden vokset betragteligt i størrelse og kompleksitet, og med tilføjelsen af cloud-teknologi er perimeteren ikke længere klart defineret og derfor stadig sværere at beskytte.

Zero Trust antager i stedet, at trusler kan komme både udefra og indefra. Tilgangen bygger på kontinuerlig verifikation af identiteten og sikkerhedstilstanden for enhver bruger, enhed eller ethvert system, der forsøger at tilgå ressourcer – uanset placering. Modellen lægger vægt på least privilege-adgang, stærk autentifikation og konstant overvågning for at styrke den samlede sikkerhed i et stadig mere dynamisk og komplekst digitalt miljø.

Fra netværk til ressource

Mere konkret flytter Zero Trust fokus fra at beskytte netværket til at beskytte ressourcen. I en militær kontekst muliggør det potentielt, at klassificerede ressourcer kan tilgås fra usikre lokationer: Brugerens og enhedens identitet verificeres efter dynamiske politikker, de fornødne privilegier til den konkrete ressource er defineret, og ressourcen er krypteret både i hvile og under transport. Least privilege-adgang kan potentielt endda gælde dele af en ressource, så den, der anmoder, får adgang til dele af eksempelvis et Word-dokument, mens den ikke-tilgængelige information automatisk overstreges.

Zero Trust er dermed en enabler for Data Centric Security, som igen er en central enabler for Multi-Domain Operations.

NATO Zero Trust Reference Model

NATO Zero Trust Reference Model, som defineret af NATO C3B i dens Zero Trust Policy [2], giver mere indsigt i de berørte områder – med fokus på stærk styring af brugere, identiteter, legitimationsoplysninger og enheder, datacentrisk sikkerhed, fysisk og logisk kommunikationsinfrastruktur samt de mekanismer, der muliggør administrative og forretningsmæssige processer i et CIS.

De tre fundamentslag understreger det udvidede behov for kontinuerlig overvågning og analyse af hændelser, automatisering baseret på politik samt føderation, der styrer interoperabilitetskravene, når forskellige organisationer skal dele ressourcer.

Vurdering

Zero Trust er en kritisk enabler for Data Centric Security, som igen er en kritisk enabler for Multi-Domain Operations. Modenheden af Zero Trust som teknologitrend er spredt – nogle områder af Zero Trust er mere modne end andre. Samlet set vurderes tilliden til Zero Trust dog til høj.

Zero Trust er en kritisk strategisk enabler, som er moden nok til at blive implementeret. Selvom den overordnede virkning klart er en gevinst, kan et skifte i cybersikkerhedstilgang udgøre en trussel, hvis det gøres forkert.

Relaterede teknologier

Som visualiseret i NATO Zero Trust Reference Model er Zero Trust ikke i sig selv en teknologi, men en tilgang, der omfatter flere konvergerende teknologier. For at citere referencemodellen igen vedrører ressourcesøjlerne User, Device, Data, Communication/Network og Application/Workload, mens fundamentslagene består af Visibility and Analytics, Orchestration and Automation og Federation. Alle realiseres af separate teknologiområder, der tilsammen leverer en Zero Trust-kapabilitet.

For at nævne nogle få: Bruger og enhed kræver en urokkelig sikkerhed for, at brugeren er den, vedkommende udgiver sig for at være, og at enheden er sikret og løbende efterlever de fastsatte politikker. Disse elementer kræver avanceret Identity and Credential Access Management (ICAM) og moderne enhedsstyringsmetoder, der rækker langt ud over, hvad gammeldags Active Directory-centreret enheds- og brugerstyring kan.

Hvis data er en central ressourcesøjle, må data behandles som mere end blot “smørelsen, der får applikationerne til at køre” – nemlig som produkter eller aktiver, der kan samles, analyseres og deles internt mellem de militære kommandoer og eksternt med vores partnere og allierede. Ud over en datacentrisk governance bør en datamanagement-kapabilitet udnyttes for at få det fulde udbytte af Zero Trust.

Desuden kræver fundamentslagene cloud-lignende tilgange til orkestrering og automatisering, hvor afværgende handlinger udføres gennem automatiserede processer. Automatiseringen baserer sig på intelligent analyse, hvor AI-teknologi kan bruges til at spotte anomalier i netværkene eller i brugeradfærden, som kan være resultatet af ondsindede handlinger fra en modstander.

Endelig bruges føderationer til at sikre interoperabilitet med allierede, men de er også en del af en segmentering, der begrænser “sprængradius”, hvis et cyberangreb lykkes med at infiltrere netværket. Hvis netværket blot udvides, får modstanderen lettere adgang til alle systemer og enheder på det pågældende netværk.

Igangværende initiativer i Cyberdivisionen

Cyberdivisionen har gennem mange år forfulgt Identity and Credential Access Management (ICAM). Projektet eksisterer fortsat, men er ikke højt prioriteret, og ICAM-initiativet er blevet stoppet og genstartet flere gange.

Kernebegreber

Assume Breach

Princippet understreger antagelsen om, at netværket allerede er kompromitteret. Beslutninger om design, udvikling og drift af CIS skal træffes ud fra en antagelse om, at miljøet er kompromitteret.

Never Trust, Always Verify

I alle miljøer kan brugere og ressourcer ikke betros som udgangspunkt. Enhver forespørgsel skal autentificeres og autoriseres, før der gives adgang til de ønskede ressourcer – uanset deres art eller placering i CIS’et. Ressourcer skal beskyttes imod og overvåges for uautoriseret adgang, ændring, oprettelse, sletning og enhver anden potentielt ondsindet adfærd.

Verify Explicitly and Continuously

I et miljø, hvor trusselsbilledet konstant ændrer sig, kan en bruger eller ressource ikke betragtes som permanent betroet. Enhver adgang og transaktion, der er givet, skal regelmæssigt og eksplicit verificeres – og ikke anses for gyldig som udgangspunkt.

Apply Least Privilege

Princippet om least privilege skal anvendes på enhver ressource på finkornet vis.

Probabilistic and Explainable Security Decisions

Zero Trust-adgangsbeslutninger baseres på målepunkter, der angiver tillidsniveauet på en granulær, probabilistisk skala for at opnå den ønskede beslutningspræcision. Desuden kan adgangs- og transaktionsbeslutninger forklares, så det i hvert enkelt tilfælde er klart, hvorfor adgangen eller transaktionen blev givet eller afvist.

Referencer

1. Cybersecurity & Infrastructure Security Agency (CISA)
2. C3B NATO Zero Trust Policy, AC/322-WP(2023)0087 (INV), 6. november 2023

---

Baseret på en artikel fra Cyberdivisionens teknologiradar af Rasmus Valther Jensen, med bidrag fra Julija Gromova og Jens Ejnar Stavnstrup.