Tedarik zinciri saldırılarına karşı bir savunma olarak sıfır güven

SolarWinds tedarik zinciri saldırısı, küresel olarak tedarik zinciri risk yönetimi çabalarının çılgınca bir değerlendirmesini ateşledi. Bu yanıta, tüm üçüncü taraf satıcıların değerlendirildiği risk merceğinin ani bir şekilde yeniden ayarlanması da dahil edildi. Sıfır Güven Mimarisi, satıcı ilişkilerinin operasyonel avantajlarından ödün vermeden üçüncü taraf risk direncini artırmanın bir yolunu sunar.

Sıfır Güven Mimarisi artık Joe Biden'ın Siber Güvenlik Yürütme Emri kapsamında zorunlu bir gerekliliktir.

Sıfır Güven Mimarisi (ZTA) nedir?

Sıfır Güven, NIST (Ulusal Standartlar ve Teknoloji Enstitüsü) tarafından geliştirilen bir Siber Güvenlik mimarisidir. Bu çerçeve, ister dahili ister harici olsun, tüm ağ etkinliğinin bir güvenlik tehdidi olduğunu varsayar. Adından da anlaşılacağı gibi, Sıfır Güven, aksi kanıtlanana kadar tüm kullanıcıların tehdit aktörleri olduğunu varsayar.

Sıfır Güven'i tedarik zinciri saldırılarını önlemede ve tanımlamada etkili kılan, tüm kullanıcıları suçlama konusundaki bu inatçı kararlılıktır.

Sıfır Güven Güvenlik Çerçevesi Tedarik Zinciri Saldırılarını Önlüyor mu?

Tedarik zinciri saldırılarını önlemek için hiçbir güvenlik savunması garanti edilmez, ancak Sıfır Güven Mimarisi (ZTA), tedarik zinciri saldırılarının etkisini sınırlamak için en etkili çözümlerden biridir.

ZTA'nın maksimum potansiyele sahip olması için, bu çerçeve hem bir kuruluş içinde hem de satıcı ağı boyunca uygulanmalıdır.

Ne yazık ki, tüm satıcılar bu çerçeveyi uygulamaz ve uygulayanları hızlı bir şekilde belirlemek zordur. Kuruluşlar, körü körüne çalışmak yerine, ZTA'larını satıcı ağındaki güvenlik açıklarını sürekli olarak izleyen bir çözümle destekler.

Sıfır Güven Mimarisi nasıl çalışır?

Sıfır Güven Mimarisinin (ZTA) bileşenleri yerinde veya bulut tabanlı bir hizmet aracılığıyla bulunabilir.

Aşağıdaki şekil, üst düzey bir ZTA mimarisini ve her bir temel bileşen arasındaki ilişkiyi özetlemektedir.

Doğrulanmamış tüm ağ etkinlikleri, Politika Karar Noktası ile Politika Uygulama Noktası arasında beslenir. Yalnızca katı İlke Altyapısı gereksinimlerini karşılayan isteklerin tüm Kurumsal Kaynaklara akmasına izin verilir.

ZTA'nın temel bileşen işlevleri aşağıdaki gibidir.

Politika Motoru (PE)

Politika Motoru, ZTA'nın beynidir. Bu bileşen, nihai olarak, ağ isteklerine bir Güven Algoritması (TA) aracılığıyla filtreleyerek izin verilip verilmeyeceğine karar verir. Bu Güven Algoritması ayrıca katı rol tabanlı izinlere uygun olarak erişim sağlar.

İlke Yöneticisi (PA)

İlke Yöneticisi, Politika Motoru'nun kararına bağlı olarak Politika Onay Noktası (PEP) eylemleri talimatını verir. PE bir isteği iletirse, PA PEP'ye Kurumsal Kaynaklara erişim izni vermesini emreder. Policy Engine ağ isteğine güvenmezse, PEP daha fazla erişimi engeller.

Politika Uygulama Noktası (PEP)

PEP son kapı bekçisidir. Policy Engine'in kararına bağlı olarak ağ trafiğini reddeder veya izin verir. PEP, İlke Yöneticisi'nden (PA) alınan ilke güncellemeleriyle yapılandırılabilir.

Sıfır Güven Mimarisinin farklı uygulamaları.

ZTA, farklı ekosistem gereksinimlerine uyacak şekilde ayarlanabilir. Tüm ZTA varyasyonları, tedarik zinciri saldırılarına karşı koruma sağlayabilir, ancak bazılarının uygulanması diğerlerinden daha kolaydır.

Kuruluşlar, minimum miktarda uygulama çabası gerektiren bir ZTA yapısı seçmelidir.

ZTA varyasyonu 1 - Gelişmiş Kimlik Yönetişimi

Bu, en yaygın ZTA entegrasyonudur. Bu varyasyonda, yalnızca ayrıcalıklı erişime sahip olanların Kurumsal Kaynaklara bağlanmasına izin verilir. Bu protokolü kolaylaştırmak için, Kurumsal Kaynak Erişimi ilkelerinin aşağıdaki bileşenleri içermesi gerekir:

İzin verilen her kullanıcının kimlikleri
İzin verilen her kullanıcının atanan öznitelikleri
İzin verilen cihazların listesi
Varlık durumları

Kurumsal Kaynak Erişimi ilkeleri, belirli koşullar karşılandığında (örneğin, belirli konumlardan erişim istendiğinde) Kurumsal Kaynaklara kısmi erişim verecek şekilde de yapılandırılabilir.

Gelişmiş Tanımlama Yönetişimi modelini benimseyen işletmeler genellikle ayrı bir ziyaretçi erişim ağı içerir. Bu, kurumsal kaynak erişimini ayrıcalıklı kullanıcılarla sınırlarken, daha az savunmasız olan diğer varlıklara erişime izin vermeye devam eder.

Enhanced Identity ZTA modeli, güvenlik açıklarını ilk olarak kullanıcı düzeyinde belirlemek için optimize edilmiştir.

ZTA varyasyonu 2 - Mikro segmentasyon

Dijital tedarik zinciri saldırısına karşı savunma çözümünü hızlı bir şekilde uygulamak isteyen büyük ekosistemler, Gelişmiş Kimlik Yönetişimi varyasyonunu ölçeklendirmeyi zor bulacaktır. Mikro Segmentasyon modeli, tüm ekosistemden ziyade savunmasız ağ bölgelerinin güvenliğini sağlamaya odaklandığı için çok daha idealdir.

Bu "bölgeler" veya "segmentler", Yeni Nesil Güvenlik Duvarları (NGFW'ler) veya özel amaçlı ağ geçidi cihazları tarafından korunur. Sonuç, birden çok PEP ağ geçidi üzerinden varlık erişimi veren veya reddeden bir dizi korumalı segmenttir.

ZTA varyasyonu 3 - Ağ Altyapısı ve Yazılım Reddedilen Çevreler

Bu varyasyonda, ağ yapısı, genellikle katman 7'de bir ZTA uygulamak için değiştirilir. Entegre edildikten sonra PA, PE tarafından alınan kararlara dayalı olarak ağı kontrol eder.

Bu kurulumda, tüm ağ istekleri, kurumsal kaynaklara erişimlerine izin verilmeden veya erişimleri reddedilmeden önce bir PA tarafından yönetilen tek bir PEP'den geçer.

ZTA varyasyonu 4 - Cihaz aracısı veya ağ geçidi tabanlı dağıtım

Bu varyasyonda, PEP iki kısma ayrılır - biri bir varlıkta, diğeri ise bir kaynağın önünde bulunur. Bu kurulum genellikle bir uzaktan çalışma kurulumunda uygulanır.

Örneğin, bir çalışan, şirket tarafından verilen bir dizüstü bilgisayar aracılığıyla bir kaynağa bağlanma isteğinde bulunur. Bu istek, bir aracı (genellikle bir yazılım bileşeni) aracılığıyla kolaylaştırılır. Dizüstü bilgisayar daha sonra İlke Yöneticisi'ne bağlanır ve bu da İlke Motoru aracılığıyla erişimi doğrular.

Politika Yönetimi ve Politika Motoru, bir bulut hizmeti (Cloud Security Alliance'ın istemci-sunucu uygulaması) veya yerel bir varlık olabilir. Politika Motoru isteğe izin verirse, İlke Yöneticisi ilgili kaynak ağ geçidini etkinleştirir ve tamamlanmış bir bağlantı kurulur.

Sıfır Güven Mimarisi (ZTA) Nasıl Uygulanır?

Bir ZTA çerçevesinin uygulanması üç aşama ile özetlenebilir:

Aşama 1 - Tüm kullanıcıların doğrulanması
Aşama 2 - Tüm kullanıcı cihazlarının doğrulanması
Aşama 3 - Tüm erişim ayrıcalıklarının doğrulanması.

Kullanıcıların güvenilir olarak etiketlenmesi için üç kimlik doğrulama katmanını da geçmesi gerekir. ZTA, tehdit aktörlerinin hassas verilere erişmesini son derece zorlaştırmanın yanı sıra, saldırı girişiminde bulunan siber suçluları girişte uyumluluk standartlarını karşılamaya zorlayarak izlemeyi de mümkün kılar.

Güvenlik çerçevesi olmayan kuruluşlar, saf bir ZTA çözümü uygulayabilir. Mevcut çerçeveler, rekabetçi (ve maliyetli) bir revizyondan kaçınarak ZTA çözümlerini entegre etmek için hibrit bir ZTA çevresini benimseyebilir.

Sıfır Güven Mimarisi 7 adımda uygulanabilir

1. Adım - Tüm kullanıcıları tanımlayın

Bir kuruluşun her zaman tüm ağ kullanıcılarının farkında olması gerekir. Her olay günlüğe kaydedilmeli ve onaylanan kullanıcıların ayrıntılarıyla karşılaştırılmalıdır.

günlüğe kaydedilir ve onaylanan kullanıcıların ayrıntılarıyla karşılaştırılır.

Onaylanan kullanıcı ayrıntıları aşağıdakileri içermelidir:

Onaylanan kullanıcıların adları ve izin verilen işlevleri
Tüm Kişi Olmayan Varlıkların kimlikleri ve izin verilen işlevleri

Bu adımın devam eden bir çaba olduğunu anlamak önemlidir. Bir ZTA çerçevesinde, kullanıcıların kimliği tüm erişim yaşam döngüsü boyunca sürekli olarak doğrulanır.

2. Adım - Kurumsal varlıkları tanımlayın

Varlık erişimini izlemek, ağınızdaki tüm kurumsal kaynakları tanımlamakla başlar. Tüm varlıkların ve erişim protokollerinin güncel bir kaydı tutulmalıdır.

Ağ varlıkları aşağıdakileri içerebilir:

Tüm iç ve dış uç noktalar

Çalışan dizüstü bilgisayarları (özellikle uzaktaki çalışanlar)
Mobil cihazlar
Nesnelerin İnterneti (IoT) cihazları
Üçüncü taraf cihazlar

Tüm yazılım çözümleri

Dahili yazılım
Uzaktan işbirliği yazılımı
Üçüncü taraf satıcı yazılımı
İç ve dış kullanıcı hesapları

Tüm varlıklar tanımlandıktan sonra erişimleri izlenebilir ve kontrol edilebilir. Çok Faktörlü Kimlik Doğrulama (MFA) ideal olarak tüm varlıklarda uygulanmalıdır, bunun mümkün olmadığı durumlarda diğer varlık kimlik doğrulama biçimleri kullanılmalıdır.

Ayrıntılı bir varlık günlüğü, kimliği doğrulanmış tüm varlık bağlantılarını, varlık güncelleştirmelerinin bir listesini ve diğer varlık değişikliklerini belgelemek için düzenli olarak güncelleştirilmelidir.

Adım 3 - Tüm ağ işlemlerini tanımlayın

Bir FTA ekosisteminde kurulu hiçbir bağlantı sürpriz olmamalı, hepsine izin verilmeli ve bu nedenle beklenmelidir.

Tüm bağlantılar günlüğe kaydedilmeli ve ilgili ayrıcalıklı erişim düzeylerine göre kategorilere ayrılmalıdır. Her bir süreçle ilişkili potansiyel riskler bilinmelidir. Bu, verimli kaynak izleme tahsisini destekleyecektir - yüksek riskli süreçler, düşük riskli süreçlerden daha fazla izleme derinliği gerektirir.

Günlüğe kaydedilen işlemler şunları içerebilir:

İş Akışları
Veri akışı
Protokol
Yapılandırılmış etkinlikler

Adım 4 - Sıfır erişim politikalarının taslağı

Artık tüm olası ağ etkinlikleri tanımlandığına göre, Sıfır Güven ilkeleri olarak da bilinen bu etkinlikleri yöneten kurallar oluşturulmalıdır.

Sıfır güven politikaları, bir dizi beyaz liste kuralıdır. Yetkili kullanıcıların ölçütlerini ve erişebilecekleri belirli kaynakları belirtirler. Sıfır Güven ilkelerine uymayan tüm ağ trafiği bir güvenlik duvarı tarafından engellenir.

Aşağıdaki listede, Sıfır Güven ilkesinin net bir şekilde yanıtlaması gereken tüm sorular ve bunları yanıtlamak için kullanılabilecek bazı varlık örnekleri özetlenmektedir.

Belirli bir kaynağa kimler erişebilir?

Kullanıcı Kimlikleri.
Multi-Factor Authentication (MFA) gibi kullanıcı kimlik doğrulama işlemi.
Yetkisiz kullanıcıların belirli kaynaklara erişmesini engellemek için Ana Bilgisayar Bilgi Profilleri (HIP'ler).

Kaynaklara erişmek için hangi uygulamalar kullanılır?

Uygulama tabanlı bir Katman 7 ilkesi oluşturarak izin verilen tüm uygulamaları listeleyin.

Kullanıcılar kaynaklara ne zaman erişir?

Kaynaklar için belirli saatlerde erişim programları oluşturulmalıdır. Siber saldırılar tespit edilmekten kaçınmak için mesai saatleri dışında gerçekleşme eğiliminde olduğundan, bu politikanın uygulanması önemlidir.

Her kaynak nerede bulunur?

Her kaynağın konumunu belirtin. Bu, coğrafi konumlara göre erişimi kısıtlamanıza olanak tanır.

Verilere neden erişiliyor?

Her kullanıcının her kaynağa erişmek için ikna edici bir nedeni olmalıdır. "Neden" i bilmek, her bir kaynağın ihtiyaç duyduğu koruma derecesini planlamanıza yardımcı olacaktır.

Her kaynağa nasıl erişilir?

Uç nokta şifrelemesini zorunlu kılma
En az ayrıcalık ilkesini uygulayın

Adım 5 - Sıfır Güven çözümleri üretin

Bu adımda, tüm politika belgeleri somut planlara dönüştürülür. İdeal olarak, birden çok çözüm oluşturulmalı ve ardından en verimli seçeneklere göre filtrelenmelidir.

Seçim kriterleri aşağıdakileri içerebilir:

Uygulama süresi
Kurulum gerektiren bileşen sayısı
Coğrafi konumun etkinlik üzerindeki etkileri

6. Adım - Sıfır Güven çözümlerini dağıtma

Artık ZTA çözümleri nihayet uygulanabilir. Çözümler başlangıçta küçük bir mimari alt kümesine tanıtılmalı ve yalnızca istenen sonuçlar elde edildikten sonra ölçeklendirilmelidir.

Sorunları belirlemek ve entegrasyonları sürekli olarak optimize etmek için dağıtılan tüm Sıfır Güven çözümlerinin izlenmesi gerekir. Bu, Sıfır Güven Mimarisi'nin ilk uygulaması olduğundan, ilke koşullarının tam bir kullanıma sunulduktan sonra olduğundan daha sıkı bir şekilde uygulanması gerekir.

Bu, kuruluşların en kötü senaryo sorunlarına uyum sağlamasına yardımcı olacak ve tamamen uygulandığında Sıfır Güven Mimarisini sorunsuz bir şekilde çalıştırma konusunda en yüksek şansı verecektir.

7. Adım - Sıfır Güven çerçevesini ölçeklendirin

Bir test alt kümesi üzerinde çalıştığı kanıtlanan sıfır güven çözümleriyle, çerçeve artık tüm kuruluşa dağıtılabilir.

Her yeni ekosistem segmenti için politikalar tasarlanır ve ardından oluşturulur. Bir sıfır güven çözümü, bu segmentin küçük bir alt kümesi üzerinde oluşturulur ve test edilir ve ardından tüm segmente dağıtılır.

Her döngüden sonra, verimliliği optimize etmek için ortaya çıkan yeni sorunlar belgelenmeli ve hemen çözülmelidir.