Zero Trust: hype ή πραγματική άμυνα;

Τις τελευταίες δεκαετίες, η κυβερνοασφάλεια βασίστηκε σε μια σχετικά απλή αλλά πλέον ξεπερασμένη παραδοχή: ό,τι βρίσκεται μέσα στο εταιρικό δίκτυο είναι αξιόπιστο, ενώ ό,τι βρίσκεται έξω είναι δυνητικά επικίνδυνο. Όμως το ψηφιακό περιβάλλον άλλαξε ριζικά. Η απομακρυσμένη εργασία, το cloud, τα κινητά και οι IoT συσκευές διέλυσαν τα όρια του «μέσα» και του «έξω». Σε αυτό το πλαίσιο, το μοντέλο Zero Trust εμφανίστηκε ως η νέα μεγάλη υπόσχεση. Το ερώτημα όμως παραμένει: πρόκειται για πραγματική άμυνα ή απλώς για ένα ακόμη hype της αγοράς;

Δείτε επίσης: NSA: Νέα Zero Trust Implementation Guidelines (ZIGs)

Η βασική αρχή του Zero Trust συνοψίζεται στη φράση «never trust, always verify». Κανένας χρήστης, καμία συσκευή και καμία εφαρμογή δεν θεωρείται αξιόπιστη από προεπιλογή, ακόμη κι αν βρίσκεται ήδη εντός του δικτύου. Κάθε αίτημα πρόσβασης αξιολογείται δυναμικά, με βάση την ταυτότητα, τη συσκευή, το context και το επίπεδο ρίσκου. Αυτή η προσέγγιση μοιάζει αυστηρή, αλλά αντικατοπτρίζει τη σημερινή πραγματικότητα όπου οι περισσότερες επιθέσεις δεν ξεκινούν απ’ έξω, αλλά από παραβιασμένους λογαριασμούς, phishing και εσωτερικές κινήσεις επιτιθέμενων που έχουν ήδη αποκτήσει πρόσβαση.

Όσοι υποστηρίζουν ότι το Zero Trust είναι hype συνήθως επισημαίνουν τρία σημεία. Πρώτον, ότι δεν είναι πραγματικά κάτι καινούργιο. Πολυπαραγοντικός έλεγχος ταυτότητας, least privilege και segmentation εφαρμόζονταν και πριν, απλώς τώρα βαφτίστηκαν με ένα πιο εμπορικό όνομα. Δεύτερον, ότι η υλοποίηση είναι πολύπλοκη και ακριβή, ειδικά για μικρότερους οργανισμούς. Και τρίτον, ότι πολλές εταιρείες ισχυρίζονται πως εφαρμόζουν Zero Trust, ενώ στην πράξη απλώς έχουν προσθέσει μερικά επιπλέον layers ελέγχου χωρίς ουσιαστική αλλαγή φιλοσοφίας.

Δείτε ακόμα: Zero-day ευπάθειες: Γιατί αυξάνονται και ποιος πληρώνει το τίμημα

Από την άλλη πλευρά, όσοι το θεωρούν πραγματική άμυνα έχουν ισχυρά επιχειρήματα. Το Zero Trust δεν είναι ένα προϊόν, αλλά ένα μοντέλο σκέψης. Δεν υπόσχεται ότι θα αποτρέψει κάθε επίθεση, αλλά ότι θα περιορίσει δραστικά την εξάπλωση μιας παραβίασης. Σε έναν κόσμο όπου τα credentials κλέβονται καθημερινά και τα exploits είναι θέμα χρόνου, η ικανότητα να “σπάσεις” το δίκτυο σε μικρά, ελεγχόμενα κομμάτια και να επιβεβαιώνεις συνεχώς ποιος κάνει τι και γιατί, αποτελεί τεράστιο πλεονέκτημα. Πολλά σύγχρονα περιστατικά δείχνουν ότι η ζημιά δεν προκαλείται από την αρχική είσοδο, αλλά από την ανεξέλεγκτη πλευρική κίνηση του επιτιθέμενου.

Η αλήθεια βρίσκεται κάπου στη μέση. Το Zero Trust δεν είναι μαγική λύση ούτε πανάκεια. Αν εφαρμοστεί επιφανειακά, ως marketing όρος, τότε πράγματι καταλήγει hype. Αν όμως υιοθετηθεί σταδιακά, με ξεκάθαρους στόχους, σωστή διαχείριση ταυτοτήτων και κατανόηση των ροών πρόσβασης, μπορεί να αποτελέσει μια από τις πιο ρεαλιστικές απαντήσεις στις σύγχρονες απειλές.

Δείτε επίσης: 15 χρόνια μετά το zero-trust ακόμα δεν εφαρμόζεται

Στην ουσία, το Zero Trust δεν προσπαθεί να κάνει το δίκτυο απροσπέλαστο, αλλά να το κάνει ανθεκτικό. Και στη σημερινή εποχή, η ανθεκτικότητα είναι ίσως η πιο ρεαλιστική μορφή άμυνας.