Dostosowywanie wdrażania do platform Zero Trust

Ten artykuł przedstawia przegląd dobrze znanych struktur Zero Trust i pokazuje, jak model wdrażania Zero Trust firmy Microsoft pomaga przejść od zrozumienia tych struktur do wdrożenia na dużą skalę.

Zero Trust nie jest jedną strukturą. Jest to model zabezpieczeń zgodny z wieloma standardami branżowymi i rządowymi. Te standardy nie są konkurencyjnymi rozwiązaniami. Każdy z nich odnosi się do innego aspektu Zero Trust, takiego jak definiowanie podstawowych pojęć, ocenianie postępu lub koordynowanie wdrażania w organizacji.

Chociaż ramy branżowe pomagają określić, co model Zero Trust powinien zapewniać, organizacje nadal potrzebują sposobu na przełożenie tych wytycznych na konkretną strategię i architekturę na potrzeby planowania, projektowania i wdrażania rozwiązań.

Microsoft model wdrażania Zero Trust właśnie to robi. Zapewnia strategię referencyjną i architekturę, które są zgodne z branżowymi strukturami i na nich bazują, aby przyspieszyć wdrażanie i implementację modelu Zero Trust.

Wskazówka

Microsoft oferuje bogaty zestaw warsztatów wdrażania zabezpieczeń — warsztaty Security Adoption Framework. Nasze wskazówki dotyczące uporządkowanego modelu wdrażania są zgodne ze wskazówkami Microsoft Unified opracowanymi przez ekspertów i przekazanymi podczas tych warsztatów. Dowiedz się więcej o warsztatach SAF.

NIST Zero Trust

National Institute of Standards and Technology (NIST) Special Publication (SP) 800-207 Zero Trust Architecture ustanawia rozpoznaną w branży definicję architektury Zero Trust. W tym artykule wyjaśniono, czym jest Zero Trust i w jaki sposób decyzje dotyczące zaufania są podejmowane, niezależnie od konkretnego dostawcy, produktu lub planu wdrożenia.

NIST SP 800-207 jest najbardziej przydatna, gdy organizacje potrzebują wspólnej, autorytatywnej definicji pojęć Zero Trust, które mogą być współużytkowane przez zespoły ds. zabezpieczeń, IT i architektury.

Funkcje NIST

NIST wyraźnie przedstawia Zero Trust jako architekturę, w której dostępowi do zasobów nigdy nie ufa się domyślnie.

Zasady Zero Trust według NIST obejmują:

• Przyjęcie założenia o naruszeniu jako podstawy kompleksowego i praktycznego podejścia do bezpieczeństwa.
• Jawne weryfikowanie zaufania przed udzieleniem dostępu do zasobów.
• Ograniczenie promienia wybuchu przez przyznanie najmniej niezbędnych uprawnień.

Kluczowe pojęcia dotyczące architektury koncentrują się na:

• Ciągła dynamiczna ocena żądań dostępu przy użyciu sygnałów kontekstowych.
• Scentralizowana logika podejmowania decyzji dotyczących zasad, która ocenia sygnały dotyczące zasad organizacyjnych.
• Funkcjonalność egzekwowania zasad, działająca w pobliżu chronionych zasobów, egzekwuje tę decyzję.

Architektura koncepcyjna Zero Trust zdefiniowana przez firmę NIST koncentruje się na tym, jak decyzje dotyczące dostępu są oceniane i wymuszane przy użyciu aparatów zasad, punktów wymuszania i sygnałów kontekstowych.

Należy pamiętać, że:

• NIST SP 800-270 nie definiuje filarów technologii ani domen zabezpieczeń, takich jak tożsamość, punkty końcowe lub ochrona danych.
• Tożsamość, stan urządzenia, aplikacje i dane są modelowane jako podmioty, zasoby i źródła kontekstu, które informują o decyzjach zaufania, a nie jako oddzielne domeny architektury.

Microsoft model wdrażania zabezpieczeń opiera się na tej architekturze, stosując jej zasady i składniki w ramach struktury operacyjnej.

Chociaż NIST definiuje sposób podejmowania i wymuszania decyzji o zaufaniu, nasz model wdrażania organizuje te możliwości w różnych dyscyplinach zabezpieczeń i filarach technologii, aby kierować planowaniem biznesowym, własnością, projektowaniem rozwiązań, implementacją i śledzeniem postępu.

Implementation

Wskazówki dotyczące implementacji są dostępne w NIST SP 1800-35 Implementowanie architektury Zero Trust.

Na potrzeby tych wskazówek dotyczących implementacji:

• NIST współpracowała z 24 dostawcami, w tym Microsoft, nad opracowaniem przewodnika z praktycznymi krokami dla organizacji chętnych do wdrożenia projektów referencyjnych cyberbezpieczeństwa dla Zero Trust.
• Microsoft uczestniczył jako jeden z dostawców technologii umożliwiających wdrożenie funkcji Zero Trust w następujących obszarach:
  • Zarządzanie tożsamościami i dostępem.
  • Zarządzanie punktami końcowymi i konfiguracja.
  • Ochrona przed zagrożeniami i monitorowanie.
  • Bezpieczny dostęp do rozproszonych zasobów.

Ten diagram jest wynikiem współpracy NIST SP 1800-35. Można go pobrać z Microsoft Cybersecurity Reference Architecture (MCRA). Dowiedz się więcej o usłudze MCRA

Model dojrzałości zerowej zaufania CISA

Model dojrzałości Cybersecurity and Infrastructure Security Agency (CISA) Zero Trust Maturity Model opiera się na wdrożeniu i ocenie. Ten model dojrzałości ułatwia organizacjom organizowanie i ocenianie bieżącego stanu, określanie priorytetów ulepszeń i śledzenie postępu.

Funkcje CISA

W przeciwieństwie do architektury NIST ciSA nie definiuje architektury referencyjnej i zamiast tego ocenia możliwości niezależnie od określonych wzorców projektowych.

• Model korzysta z domen opartych na filarach, w tym tożsamości, urządzeń, sieci/środowiska, aplikacji/obciążeń i danych.
• Określa ona również trzy przekrojowe zdolności — widoczność i analitykę, automatyzację i orkiestrację oraz nadzór.
• Przechwytuje cztery etapy dojrzałości: Tradycyjne, Początkowe, Zaawansowane i Optymalne.
• Zarządzanie również nie jest traktowane jako odrębny filar, lecz jako przekrojowa kompetencja, która zapewnia spójność z celami biznesowymi, jasno określoną odpowiedzialność oraz mierzalne wyniki we wszystkich obszarach.

Implementation

Model jest zgodny z modelem wdrażania zabezpieczeń firmy Microsoft i stanowi dla niego podstawę, a firma Microsoft dodatkowo go rozwija, wprowadzając obszary takie jak architektura, aby połączyć ramy koncepcyjne, takie jak NIST SP 800‑207, z praktycznym wdrożeniem.

CISA	Dziedzina/filar wdrażania	Szczegóły
Identity Tożsamość obejmuje uwierzytelnianie, autoryzację, ryzyko tożsamości, cykl życia. Aplikacje i obciążenia obejmują mechanizmy kontroli dostępu do aplikacji, tożsamość obciążenia i bezpieczną interakcję z aplikacjami.	Dyscyplina: Tożsamość i dostęp Technologia: Tożsamość	Kontrola dostępu w Microsoft obejmuje zarówno warstwy tożsamości, jak i aplikacji, podczas gdy ciSA je oddziela.
Rządzenie Zasady, mechanizmy kontroli i wymuszania dla całego przedsiębiorstwa.	Dyscyplina: strategia, integracja, ład Architektura zabezpieczeń Technologia: Wszystko.	Funkcje CISA w zakresie zasad i mechanizmów kontroli bezpośrednio przekładają się na rezultaty działań SecOps. Microsoft kładzie dodatkowy nacisk na inne aspekty ładu korporacyjnego (dopasowanie do biznesu, zarządzanie ryzykiem, role i inne) oraz na dyscyplinę architektoniczną i architektury referencyjne.
Urządzenia Spis urządzeń, stan, zgodność; segmentacja sieci, bezpieczna łączność, mechanizmy kontroli środowiska. Obejmuje nietradycyjne, ograniczone i wyspecjalizowane urządzenia.	Dyscyplina: tożsamość i dostęp, zabezpieczenia infrastruktury, zabezpieczenia OT/IoT Technologia: punkty końcowe	Zaufanie do infrastruktury buduje się na podstawie stanu urządzenia i kontrolowanej łączności, co jest zgodne z celem modelu Zero Trust, jakim jest minimalizacja skali skutków incydentu i ruchu bocznego. Microsoft uważa urządzenia OT/IoT za odrębną dyscyplinę ze względu na unikatową własność i przyczyny zarządzania ryzykiem.
Aplikacje i obciążenia Aplikacje i obciążenia obejmują mechanizmy kontroli dostępu do aplikacji, tożsamość obciążenia i bezpieczną interakcję z aplikacjami.	Obszar: Bezpieczeństwo tworzenia oprogramowania Technologia: Aplikacje	Koncentracja CISA na obciążeniach roboczych jest zgodna z celami DevSecOps, ponieważ zakłada wbudowanie bezpieczeństwa w cykle życia aplikacji i usług, zamiast traktować je jako działanie realizowane po wdrożeniu.
Networks Segmentacja sieci, bezpieczna łączność, mechanizmy kontroli środowiska.	Dyscyplina: Tożsamość i dostęp Technologia: Sieci	Microsoft łączy cały obszar dostępu — tożsamość, aplikacje i sieci — w ramach jednej dyscypliny, aby wspierać tworzenie przejrzystej strategii, architektury i spójności zasad we wszystkich technologiach.
Data Klasyfikacja danych, spis, kontrola dostępu, szyfrowanie i ochrona niezależnie od lokalizacji sieciowej.	Dyscyplina: Bezpieczeństwo danych Technologia: dane	Oba modele traktują dane jako podstawowy obiekt ochrony i wzmacniają w modelu Zero Trust przesunięcie z zabezpieczeń obwodowych w kierunku mechanizmów kontrolnych skoncentrowanych na danych.
Widoczność i analiza, automatyzacja i orkiestracja Zbieranie danych telemetrycznych, ciągłe monitorowanie, wykrywanie, automatyzacja odpowiedzi i wymuszanie zasad na dużą skalę.	Dyscyplina: SecOps Technologia: Wszystkie	Przekrojowe zdolności CISA bezpośrednio przekładają się na rezultaty SecOps, obejmujące wykrywanie zagrożeń, automatyzację reagowania oraz ciągłą ponowną ocenę poziomu zaufania we wszystkich domenach.
Etapy dojrzałości we wszystkich filarach	Stan zabezpieczeń	Zarządzanie stanem to podstawowy cel modelu CISA: ocenianie bieżącego stanu, identyfikowanie luk, określanie priorytetów ulepszeń i śledzenie postępu Zero Trust w czasie.

Aby uzyskać więcej informacji, zobacz Implementowanie modelu dojrzałości Zero Trust CISA przy użyciu usług chmurowych firmy Microsoft.

Model referencyjny Zero Trust organizacji The Open Group

Model referencyjny Zero Trust organizacji The Open Group ujmuje koncepcję Zero Trust z perspektywy zdolności przedsiębiorstwa i integracji. Zamiast definiować konkretne kroki implementacji, opisuje ona możliwości i struktury ładu, które organizacje muszą definiować, integrować i obsługiwać Zero Trust na dużą skalę.

Otwórz funkcje grupy

Funkcje obejmują:

• Zdolności i bloki konstrukcyjne architektury (ABB) definiują zdolności w zakresie bezpieczeństwa, które prowadzą do trwałych rezultatów w obszarze bezpieczeństwa, a także ludzi, procesy i technologie potrzebne do ich realizacji.
• Modele współpracy i integracji pokazują, jak zintegrować zabezpieczenia ze strategią, zarządzaniem ryzykiem, operacjami i innymi aspektami organizacji.

Możliwości składają się z osób, procesów i elementów technologicznych, które współpracują ze sobą:

• Osoby: zdefiniowane jako role w standardzie Open Group Roles and Glossary
• Process: zdefiniowane jako bloki konstrukcyjne architektury (ABB) w tym samym standardzie modelu referencyjnego Zero Trust
• Technology: zdefiniowane jako ABB w tym samym standardzie modelu referencyjnego Zero Trust

Na tym diagramie przedstawiono następujące możliwości:

Na tym diagramie pokazano, jak te możliwości są dostosowane do funkcji struktury cyberbezpieczeństwa NIST (NIST CSF):

Implementation

Model odpowiada naszemu zalecanemu modelowi wdrożenia.

Otwórz grupę	Dziedzina wdrażania	Wyrównanie
Strategia i nadzór Zero Trust Określa, w jaki sposób organizacje ustanawiają Zero Trust jako strategię zgodną z celami biznesowymi, w tym ład organizacyjny, zarządzanie ryzykiem, odpowiedzialność za zasady oraz dostosowanie ludzi, procesów i technologii.	Strategia, integracja i ład	Zarówno grupa open, jak i Microsoft jawnie pozycjonuje Zero Trust jako strategię przedsiębiorstwa, a nie zestaw kontroli technicznej. To bezpośrednio wspiera spójność działań kadry kierowniczej, odpowiedzialność i integrację w całej organizacji.
architektura Zero Trust bazująca na zdolnościach Udostępnia bloki konstrukcyjne i grupy możliwości architektury do projektowania architektur Zero Trust bez konieczności przepisywania określonych technologii lub produktów.	Architektura zabezpieczeń	Wypełnia to przestrzeń między abstrakcyjną architekturą NIST a wskazówkami dotyczącymi implementacji, umożliwiając architektom tłumaczenie zasad Zero Trust na projekty w skali przedsiębiorstwa.
Możliwości w zakresie zarządzania tożsamością, uwierzytelniania, autoryzacji i egzekwowania zasad Definiuje możliwości wymagane do weryfikowania tożsamości, dynamicznego oceniania zaufania i spójnego wymuszania decyzji dotyczących dostępu w różnych środowiskach.	Tożsamość i dostęp	Dopasowuje się bezpośrednio do zabezpieczeń dostępu jako dziedziny wdrażania: kto może uzyskać dostęp do tego, co, w jakich warunkach i w jaki sposób jest wymuszana ta decyzja.
Możliwości ochrony skoncentrowanej na danych Podkreśla ochronę informacji niezależnie od lokalizacji, w tym klasyfikacji danych, ochrony i dostępu opartego na zasadach.	Bezpieczeństwo danych	Odzwierciedla przejście modelu Zero Trust od bezpieczeństwa obwodowego do bezpieczeństwa skoncentrowanego na danych, co naturalnie wpisuje się w ochronę danych jako obszar wdrożenia.
Widoczność, monitorowanie, analiza i możliwości odpowiedzi Obejmuje możliwości zbierania danych telemetrycznych, monitorowania sygnałów zaufania i dostosowywania zasad na podstawie obserwowanego ryzyka.	SecOps	Umożliwia ciągłą ocenę i egzekwowanie — kluczowe dla działań w modelu Zero Trust oraz monitorowania bezpieczeństwa na dużą skalę.
Możliwości zabezpieczeń interakcji aplikacji i usług Opisuje, w jaki sposób aplikacje i usługi funkcjonują w modelu Zero Trust, w tym bezpieczne interakcje, tożsamość usług i egzekwowanie zasad w środowisku uruchomieniowym.	Zabezpieczenia deweloperskie	Obsługuje integrowanie Zero Trust z nowoczesnymi cyklami życia aplikacji i komunikacją między usługami.
Możliwości zabezpieczeń platformy i środowiska Obejmuje bezpieczną operację platform, sieci i środowisk hostujących obciążenia bez traktowania sieci jako granicy zaufania.	Zabezpieczenia infrastruktury	Dostosowuje zabezpieczenia infrastruktury do zasad Zero Trust, traktując infrastrukturę jako wymuszaną, ale nie z natury zaufaną.
Rozszerzona obsługa środowisk i nietradycyjnych aktywów Wyraźnie uwzględnia konwergencję IT/OT/IoT oraz potrzebę stosowania mechanizmów Zero Trust w ograniczonych i heterogenicznych środowiskach.	Infrastruktura (zabezpieczenia OT/IoT)	Odzwierciedla realia wdrażania, w których OT/IoT wymagają odrębnej odpowiedzialności, ale muszą nadal pozostawać zgodne ze strategią Zero Trust przedsiębiorstwa.
Dojrzałość oparta na możliwościach i ciągłe ulepszanie Zapewnia model zdolności służący do oceny bieżącego stanu, ukierunkowania działań doskonalących oraz dostosowywania się z biegiem czasu do ewoluujących zagrożeń i technologii.	Stan zabezpieczeń	Przedstawia Zero Trust jako ciągły program, a nie jednorazowe wdrożenie — co bezpośrednio wpisuje się w cele zarządzania postawą bezpieczeństwa.

Mapuj technologie Microsoft na model

Model referencyjny Zero Trust zawiera również ogólne podsumowanie składników Zero Trust. Na tym diagramie przedstawiono sposób mapowania technologii Microsoft na te składniki:

Strategia Zero Trust DoD

Departament Obrony USA opublikował strategię Zero Trust i plan działania DoD.

Aby uzyskać informacje na temat konfigurowania usług chmurowych firmy Microsoft na potrzeby strategii Zero Trust Departamentu Obrony, zobacz Konfigurowanie usług firmy Microsoft na potrzeby strategii Zero Trust Departamentu Obrony.

Następne kroki

Wybierz scenariusz biznesowy i dowiedz się, jak obszary zabezpieczeń odnoszą się do tego scenariusza.