Che cos'è un'architettura zero trust?

Architettura zero trust (ZTA) e ZTNA: qual è la differenza?

Prima di esaminare in modo più dettagliato l'architettura zero trust, facciamo chiarezza su questi due termini:

• Un'architettura zero trust (ZTA) è un modello che supporta i principi dello zero trust, come la gestione ferrea degli accessi, l'autenticazione rigorosa di dispositivi e utenti e una solida segmentazione. In questo senso, è diversa da un'architettura di tipo "castle and moat", che invece considera automaticamente attendibile tutto ciò che è all'interno del perimetro.
• Lo ZTNA (Zero Trust Network Access) è un caso d'uso dello zero trust che offre agli utenti un accesso sicuro ad applicazioni e dati quando queste entità non sono all'interno di un perimetro di sicurezza tradizionale; una caratteristica molto comune nel mondo del cloud e del lavoro flessibile.

L'architettura zero trust unisce questi due elementi e getta le basi di cui le organizzazioni hanno bisogno per fornire lo ZTNA e rendere i propri sistemi, servizi, API, dati e processi accessibili da qualsiasi luogo, in qualsiasi momento e da qualsiasi dispositivo.

Perché è necessaria un'architettura zero trust

Per decenni, le organizzazioni hanno costruito e riconfigurato reti hub-and-spoke complesse ed estese. In questi ambienti, gli utenti e le filiali si collegano al data center tramite connessioni private e, per accedere alle applicazioni di cui hanno bisogno, devono essere collocati sulla rete. Le reti hub-and-spoke sono protette attraverso diversi dispositivi, come VPN e firewall di "nuova generazione", tramite un'architettura di sicurezza nota come "castle-and-moat".

Questo approccio funzionava bene quando le applicazioni delle organizzazioni risiedevano nei data center, ma oggi, con la diffusione dei servizi cloud e le crescenti preoccupazioni in materia di sicurezza dei dati, questo modello finisce per rallentare le aziende anziché supportarle.

Oggi, la trasformazione digitale sta accelerando, e le organizzazioni adottano sempre più il cloud, la mobilità, l'intelligenza artificiale, l'IoT e la tecnologia operativa (OT) per essere più agili e competitive. Gli utenti sono distribuiti ovunque, e i dati delle organizzazioni non si trovano più esclusivamente nei loro data center. Per collaborare e rimanere produttivi, gli utenti devono poter accedere direttamente alle app da qualsiasi luogo e in qualsiasi momento.

Non ha più senso reindirizzare il traffico verso un data center, affinché raggiunga in modo sicuro le applicazioni sul cloud. Ecco perché le imprese stanno abbandonando il modello di rete hub-and-spoke a favore di un approccio che offre una connettività diretta al cloud: l'architettura zero trust.

Questo video offre una breve panoramica di ciò che si intende per trasformazione digitale sicura.

Quali sono i principi alla base dello zero trust?

Lo zero trust non è solo l'unione di identità dell'utente, segmentazione e accesso sicuro; è una strategia su cui costruire un ecosistema completo di sicurezza. Si fonda su tre principi cardine:

1. Interruzione di tutte le connessioni: a differenza delle tecniche di ispezione passthrough comuni alle tecnologie legacy (come i firewall), un'architettura zero trust efficace interrompe le connessioni per consentire a un'architettura proxy inline di ispezionare tutto il traffico in tempo reale, compreso quello cifrato, prima che raggiunga la relativa destinazione.
2. Protezione dei dati con policy granulari basate sul contesto: le policy zero trust verificano le richieste di accesso e i diritti in base al contesto, prendendo in considerazione fattori come l'identità dell'utente, il dispositivo, la posizione, il tipo di contenuto e l'applicazione richiesta. Queste policy sono adattive, in modo tale che i privilegi di accesso degli utenti siano riesaminati costantemente al mutare del contesto.
3. Riduzione dei rischi con l'eliminazione della superficie di attacco: con un approccio zero trust, gli utenti si connettono direttamente alle app e alle risorse di cui hanno bisogno, non alle reti (vedi ZTNA). Le connessioni dirette eliminano il rischio legato al movimento laterale e impediscono ai dispositivi compromessi di infettare altre risorse. Inoltre, utenti e app risultano invisibili a Internet, e questo li rende impossibili da individuare o attaccare.

Quali sono i 5 pilastri di un'architettura zero trust?

I cinque "pilastri" dello zero trust sono stati stabiliti per la prima volta dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti per delineare le funzionalità principali dello zero trust che le agenzie governative (e le altre organizzazioni) devono adottare nell'ambito delle proprie strategie.

Questi cinque pilastri sono:

• Identità: il passaggio a un approccio basato sull'accesso a privilegi minimi per la gestione delle identità.
• Dispositivi: garantire l'integrità dei dispositivi utilizzati per accedere ai servizi e ai dati.
• Reti: allineare la segmentazione e la protezione della rete alle esigenze dei flussi di lavoro applicativi, non all'attendibilità implicita della segmentazione tradizionale della rete.
• Applicazioni e workload: integrare la protezione nei flussi di lavoro delle applicazioni, consentendo l'accesso in base all'identità, la conformità del dispositivo e altri attributi.
• Dati: il passaggio a un approccio alla sicurezza informatica incentrato sui dati, che include l'identificazione, la categorizzazione e l'inventario dei dati.

Ciascuna funzionalità può progredire a proprio ritmo ed essere più avanzata rispetto ad altre in un dato momento; per questi motivi, è necessario un coordinamento trasversale tra i diversi pilastri (viste l'interoperabilità e le dipendenze) per garantire la compatibilità. Così facendo è possibile consentire un'evoluzione graduale verso lo zero trust, distribuendo costi e attività nel corso del tempo.

Come funziona un'architettura zero trust?

Basato sul semplice concetto che prima di fidarsi è necessario verificare tutto, lo zero trust parte dal presupposto che tutto ciò che si trova sulla rete è ostile o compromesso, e l'accesso viene concesso solo dopo la verifica dell'identità dell'utente, del profilo di sicurezza del dispositivo, del contesto aziendale e l'applicazione dei controlli delle policy. Tutto il traffico deve essere registrato e ispezionato, un'operazione che richiede un certo grado di visibilità che non può essere ottenuto con i controlli di sicurezza tradizionali.

Un vero approccio zero trust viene implementato al meglio tramite un'architettura proxy, che collega gli utenti direttamente alle applicazioni, non alla rete; ciò consente di eseguire ulteriori controlli prima di consentire o bloccare le connessioni.

Prima di stabilire una connessione, un'architettura zero trust sottopone ogni connessione a un processo di tre fasi:

1. Verifica dell'identità e del contesto. Quando l'utente/dispositivo, il workload o il dispositivo IoT/OT invia una richiesta, indipendentemente dalla rete sottostante, l'architettura zero trust interrompe prima di tutto la connessione e verifica l'identità e il contesto per ottenere maggiori informazioni sulla richiesta.
2. Controllo del rischio. Una volta verificati il contesto e l'identità dell'entità richiedente e applicate le regole di segmentazione, l'architettura zero trust valuta quindi il rischio associato alla richiesta di connessione e ispeziona il traffico alla ricerca di minacce informatiche e dati sensibili.
3. Applicazione delle policy. Infine, viene calcolato un punteggio di rischio per l'utente, il wokload o il dispositivo, al fine di determinare se è consentito o soggetto a limitazioni. Se l'entità è consentita, l'architettura zero trust stabilisce una connessione sicura a Internet, all'app SaaS o all'ambiente IaaS/PaaS.

I vantaggi di un'architettura zero trust

L'architettura zero trust fornisce all'utente un accesso accurato e contestuale per lavorare alla velocità delle aziende moderne, offrendo al contempo la protezione di utenti e dati da malware e altri attacchi informatici. In quanto fondamento dello ZTNA, un'architettura zero trust efficace aiuta a:

• Garantire un accesso sicuro e veloce ai dati e alle applicazioni per i lavoratori da remoto, sia dipendenti che partner, ovunque essi si trovino, migliorando così l'esperienza utente
• Fornire un accesso remoto affidabile e gestire e applicare le policy di sicurezza in modo più semplice e uniforme rispetto a quanto avviene con le tecnologie legacy come le VPN
• Proteggere le applicazioni e i dati sensibili on-premise o in un ambiente cloud, siano essi in transito o inattivi, con controlli di sicurezza rigorosi, tra cui crittografia, autenticazione, controlli sullo stato e molto altro
• Bloccare le minacce interne, in quanto non viene più riconosciuta l'attendibilità implicita e predefinita degli utenti e dei dispositivi che sono all'interno del perimetro della rete
• Limitare il movimento laterale con policy di accesso granulari a livello di singola risorsa, riducendo così la probabilità di subire una violazione
• Rilevare, rispondere e ripristinare le attività dopo eventuali violazioni riuscite in modo più rapido ed efficace, al fine di mitigarne l'impatto
• Acquisire una maggiore visibilità su tutto ciò che riguarda le attività di utenti ed entità grazie al monitoraggio dettagliato e il logging delle sessioni e delle azioni intraprese
• Valutare il rischio in tempo reale, grazie a log dettagliati sull'autenticazione, verifiche sullo stato delle risorse e dei dispositivi, analisi del comportamento degli utenti e delle entità e molto altro

(Adattato da "Implementing a Zero Trust Architecture", Pubblicazione speciale del National Institute of Standards and Technology [NIST])

Perché un'architettura zero trust è più efficace dei modelli di sicurezza tradizionali?

Un'architettura zero trust risulta migliore rispetto ai modelli di sicurezza tradizionali per via del suo approccio proattivo, adattivo e incentrato sui dati. Se da un lato i modelli tradizionali si basano sulle difese perimetrali, lo zero trust riconosce che le minacce possono provenire anche dall'interno della rete, non solo dall'esterno; ecco perché convalida continuamente l'identità e il profilo di sicurezza di utenti e dispositivi.

Applicando controlli granulari basati sull'accesso a privilegi minimi, lo zero trust garantisce a utenti e dispositivi solo il livello di accesso necessario. Il monitoraggio continuo, l'MFA e l'analisi comportamentale rilevano le minacce in tempo reale prima che possano trasformarsi in attacchi riusciti. La sua adattabilità rende lo zero trust più agile e quindi più adatto dei modelli tradizionali a proteggere superfici di attacco estese e nuove vulnerabilità legate al lavoro da remoto e al mondo cloud di oggi.

Fondamentalmente, lo zero trust si concentra sulla protezione dei dati, non della rete, preservandone la sicurezza ovunque risiedano o siano di passaggio: nella rete, sui dispositivi in remoto o sul cloud.

One True Zero Trust: Zscaler Zero Trust Exchange

Zscaler Zero Trust Exchange™ è una piattaforma integrata e nativa del cloud fondata sul principio dell'accesso a privilegi minimi e sul concetto che nessun utente, workload o dispositivo sia intrinsecamente attendibile. Questa piattaforma concede l'accesso in base all'identità e al contesto, considerando fattori come il tipo di dispositivo, la posizione, l'applicazione e il contenuto, e agendo da broker per instaurare connessioni sicure tra utenti, workload o dispositivi su qualsiasi rete e da qualsiasi luogo, in base alle policy aziendali.

Zero Trust Exchange aiuta la tua organizzazione a:

• Eliminare la superficie di attacco esposta a Internet e il movimento laterale delle minacce. Il traffico degli utenti non tocca mai la rete aziendale e gli utenti si collegano direttamente alle applicazioni attraverso tunnel cifrati univoci, che impediscono il rilevamento e gli attacchi mirati.
• Migliorare l'esperienza utente. A differenza delle architetture di rete legacy statiche che hanno una "porta di accesso" che esegue il backhauling dei dati verso i centri di elaborazione, Zero Trust Exchange gestisce e ottimizza in modo intelligente le connessioni dirette a qualsiasi cloud o destinazione Internet e applica policy adattive e protezioni inline all'edge, il più vicino possibile all'utente.
• Ottimizzare l'integrazione con i principali provider di sevizi cloud, per l'identità, la protezione degli endpoint e le SecOps. La nostra piattaforma olistica combina le funzioni di sicurezza fondamentali (ad esempio, SWG, DLP, CASB, firewall, sandboxing) con tecnologie emergenti, come l'isolamento del browser, il monitoraggio dell'esperienza digitale e lo ZTNA, per offrire uno stack completo di soluzioni per la sicurezza sul cloud.
• Ridurre i costi e la complessità. Zero Trust Exchange è semplice da distribuire e gestire ed elimina la necessità di ricorrere alle VPN o a policy complesse per i firewall perimetrali della rete.
• Fornire una sicurezza uniforme su larga scala. Zscaler gestisce il security cloud più grande del mondo, distribuito su oltre 150 data center a livello globale, che elabora oltre 240 miliardi di transazioni nei periodi con più richieste e previene ogni giorno 8,4 miliardi di minacce.