Nyckelinsikter
-
Zero Trust Networks (ZTN) bygger på idén om att göra tillit (eng. trust) till ett dynamiskt realtidsattribut som ska användas vid nätverksanslutningar, åtkomstkontroller osv.
-
ZTN utgår ifrån principen om att nätverken är fientliga
-
Boken ägnar på tok för mycket tid åt kringliggande säkerhetskoncept (e.g. hur du konstruerar säkra applikationer, OSI-modellen, hur du kan autentisera en användare)
-
ZTN är cutting-edge vilket sannolikt kommer innebära fundamentala förändringar i framtida “versioner” av tankarna bakom ZTN
-
Verkar i stor utsträckning bygga på Google BeyondCorp som onekligen har resurser både finansiellt och intellektuellt, vilket få andra organisationer har…
-
… vinsterna i ZTN ligger således i principerna bakom. Att tillit till en användare, dess enhet, geografiska position, tidigare beteenden är grunden för en dynamisk tillitsnivå som senare styr åtkomstkontroller osv. Jag tror att få bolag inom en nära framtid (3-5 år) kommer lyckas implementera ett fullskaligt ZTN.
För något år sedan hörde jag talas om Google BeyondCorp av en kollega. Det ska jag kolla mer på tänkte jag… ska bara. Och så var det borta. Men nu så plockade jag upp bollen igen och läste en bok om Zero Trust Network(s), ZTN.
Det är ett onekligen spännande koncept som avser bryta det tidigare paradigmet om en zon- och perimeterbaserad nätverksarkitektur. Det handlar om att eliminera alla gränser (nja, inte riktigt, men nästan) och betrakta alla enheter som suspekta till dess att de kan bevisa att de är pålitliga och bra enheter. Och samma sak gäller för användarna. Det räcker inte med att en användare autentiserar sig med flera faktorer om det sker från en ny enhet som vi aldrig sett förut.
Det handlar om att etablera ett slags realtids dynamiskt tillitsattribut. Detta attribut uppdateras, idealt, kontinuerligt beroende på hur användaren förflyttar sig mellan enheter, i sitt användande av applikationer och generella beteende. Vidare används detta attribut sedan för att i realtid uppdatera nätverksmässig åtkomst, åtkomster i applikationer osv. Det är onekligen ett spännande koncept.
Men några centrala komponenter måste givetvis finnas kvar. Det system/komponent som styr och tillgängliggör detta tillitsattribut måste givetvis finnas någonstans. Och behovet av säkerhet i detta blir onekligen relativt högt med tanke på att detta styr vad du ska få åtkomst till. Och ZTN tar inte helt bort behovet av en yttre gräns (perimetern). Dessa har en fortsatt roll, men vi tar helt enkelt bort mycket av den tidigare placerade tilliten i dessa. Bara för att en enhet befinner sig på det “inre” och betrodda nätverket betyder det inte att enheten/användaren är betrodd.
Vad kräver ett ZTN?
Bara några få ord om kraven på ett ZTN, för det är intet enkelt att bygga ett fullskaligt ZTN. Detta är några krav som ett ZTN förutsätter:
- Alla nätverksflöden MÅSTE vara autentiserade
- Autentisering och kryptering MÅSTE utföras av applikationslagret hos slutpunkter
- Alla nätverksflöden MÅSTE vara inventerade så att åtkomstkontroll kan enforcas av systemet
- Alla nätverksflöden BÖR vara krypterade
Bara en sådan sak som att alla nätverksflöden måste vara autentiserade är svårt att genomföra fullständigt. Det förutsätter att du för varje liten applikation vet EXAKT hur den kommunicerar. Alla egenutvecklade, alla inköpta produkter, precis allting måste vara dokumenterat ner på IP och TCP/UDP-nivå. Därefter ska varje sådant flöde individuellt autentiseras.
Och visst är det fint? Det vore ju grymt. Kanske spelar det ingen roll att det alltid kommer finnas en restlista av icke-autentiserade flöden, det kanske är tillräckligt att bara sträva mot det, som princip?
Avslutningsvis
Boken är på ett sätt spännande, men jag tycker att den lägger alldeles för mycket text på att beskriva fundamentala säkerhetskoncept. Det borde istället vara förkunskapskrav. Förstår man inte dessa grundläggande koncept behöver man inte heller läsa en bok om ZTN. Det är ett avancerat koncept, cutting-edge skulle jag vilja säga. Boken kunde kanske vara 150 sidor kortare och fokusera enbart på principerna bakom ZTN, framgångsfaktorer osv.
Jag får känslan av att boken är skriven av några som gärna vill jobba med ZTN men där den praktiska erfarenheten ändå är tämligen begränsad.