Новый отраслевой отчет подчеркивает критическую необходимость принятия решений о доверии на периферии в архитектурах Zero Trust
TL;DR
Почему Zero Trust должен стать ближе к периферии
В мире архитектуры нулевого доверия (Zero Trust Architecture, ZTA) нарастает скрытое напряжение. С одной стороны, у нас есть жесткое централизованное управление, которое делает ZTA столь привлекательной. С другой — реальные требования к низкой задержке и принятию решений непосредственно на периферии сети (edge).
Основное обещание Zero Trust просто: никогда не доверяй, всегда проверяй. Но когда вы переносите эту теорию в физическое пространство — например, на контроллеры дверей, биометрические сканеры или промышленные датчики — часть «всегда проверяй» начинает давать сбои. Если контроллеру двери приходится каждый раз обращаться к центральному серверу для проверки ваших учетных данных, вам придется стоять перед дверью довольно долго.
Это и есть точка трения. Организации пытаются разделить принятие политик и их принудительное исполнение, не жертвуя при этом безопасностью или скоростью.
Ловушка «дрейфующего периметра»
Чак Дэвис, вице-президент по глобальной информационной безопасности в Hikvision, слишком часто наблюдал подобную ситуацию. Чтобы системы продолжали работать во время сбоев сети, компании часто продлевают время жизни кэшей политик. Это классическое «быстрое решение» проблем с подключением, но оно опасно.
Когда вы позволяете устройству работать на устаревших данных авторизации, вы больше не практикуете Zero Trust. По сути, вы создаете «дрейфующий периметр». Вы возвращаетесь к старой модели, от которой пытались уйти, где устройству доверяют просто потому, что доверяли вчера. Это регресс безопасности, замаскированный под эксплуатационную необходимость.
Движение к ZTA неумолимо. Прогнозируется, что мировой рынок будет расти со среднегодовым темпом роста (CAGR) 27,5% до 2026 года, а Министерство обороны США подкрепляет этот переход почти миллиардом долларов только в бюджете на 2025 год. Все движутся в этом направлении, но не все делают это правильно.
Фреймворки, по которым мы живем
Стандарт NIST 800-207 является здесь фундаментом. Он помог нам отойти от менталитета «замка с рвом» — где, попав внутрь VPN, вы получали полный доступ ко всему — к модели непрерывной, контекстно-зависимой проверки.
Большинство организаций сейчас опираются на модель зрелости Zero Trust от CISA, чтобы держать свои проекты в нужном русле. Она разбивает задачу на пять управляемых столпов: идентификация, устройства, сети, приложения/рабочие нагрузки и данные. Это надежная дорожная карта, но она требует фундаментального изменения мышления. Вы должны перестать думать «доверяй, но проверяй» и начать жить по принципу «никогда не доверяй, всегда проверяй».
| Основной принцип ZTA | Операционное влияние |
|---|---|
| Непрерывная аутентификация | Устраняет сессии постоянного доверия. |
| Контекстная проверка | Гарантирует, что доступ привязан к текущему уровню риска. |
| Принцип наименьших привилегий | Ограничивает латеральное перемещение злоумышленников. |
| Доступ «точно в срок» (JiT) | Снижает длительность риска для конкретных задач. |
Дилемма принудительного исполнения на периферии
Настоящая головная боль начинается, когда вы пытаетесь втиснуть физическую инфраструктуру в программно-определяемые рамки. В идеальном мире точка принятия решений (PDP) и точка принудительного исполнения (PEP) разделены. Но в реальности, если вашему PEP требуется обращение к центральному серверу для каждой транзакции, задержка становится критическим препятствием.
Если вы не можете обеспечить задержку менее 200 мс, ваши системы физической безопасности становятся непригодными для использования. Но, опять же, ответ не в том, чтобы просто кэшировать учетные данные на неопределенный срок. Именно так происходят взломы. Вместо этого лидеры безопасности рассматривают несколько более разумных альтернатив:
- Криптографически подписанные политики: Позвольте периферийным устройствам выполнять основную работу, используя политики, подписанные центральным органом. Это сохраняет целостность без необходимости постоянного «сердцебиения» с центральным сервером.
- Краткосрочные учетные данные: Если вы должны использовать токены, делайте так, чтобы они быстро истекали. Если периферийное устройство будет скомпрометировано, вы захотите ограничить радиус поражения.
- Явная логика отказоустойчивости/безопасного отказа: Не оставляйте состояние отказа на волю случая. Проведите оценку рисков. Должна ли дверь оставаться запертой или открытой во время сбоя? Безопасность и защищенность часто конфликтуют здесь, и вам нужен задокументированный план.
- Уменьшение поверхности атаки: ZTA — ваша лучшая защита от латерального перемещения. Сегментируя сеть, вы не даете хакерам перепрыгнуть с скомпрометированного принтера на вашу основную базу данных — это распространенная тактика, наблюдаемая при уязвимостях в устаревших инструментах удаленного доступа.
Что дальше?
Данные ясны: традиционный периметр мертв. ZTNA вырос на 87% в годовом исчислении в период с 2021 по 2022 год, и почти половина всех организаций в настоящее время находятся в процессе внедрения Zero Trust.
Для тех, кто находится «в окопах», цель состоит в том, чтобы найти стратегические фреймворки внедрения, которые не рассматривают цифровые и физические активы как отдельные «силосы». Мы движемся к миру, где идентификация является периметром. Неважно, входите ли вы в облачное приложение или проходите через дверь серверной — процесс проверки должен быть одинаково строгим.
Будущее ZTA — это не централизованный контроль за счет производительности. Это перенос интеллекта на периферию. Победителями станут те организации, которые поймут, как обеспечить строгое централизованное соблюдение политик со скоростью периферийных вычислений. Это тонкий баланс, но это единственный способ построить по-настоящему устойчивую современную инфраструктуру.
