Vertrouwen op Zero Trust

De Amerikaanse overheid lanceerde eerder dit jaar zijn cyberstrategie voor de komende periode; sinds het begin van de regering-Biden is steeds vaker de alarmbel geluid over de gevolgen van een slechte cyberweerbaarheid. Wereldwijde uitgaven voor securityoplossingen en AI-ondersteunde machine learning-tools bereikten afgelopen jaar recordhoogten. Gartner voorspelt zelfs dat investeringen in security en riskmanagement aan het einde van 2023 met 11 procent zijn gegroeid, een equivalent van 183,3 miljard dollar.

Een bijdrage van Matt Bromiley, certified instructor SANS Institute

Maar hedendaagse dreigingen omzeilen echter met het grootste gemak de aangescherpte securitymaatregelen. Als gevolg van de wereldwijde pandemie wordt er meer vanuit huis gewerkt en zijn hierdoor cloudtechnologieën, -diensten en third party-applicaties halsoverkop omarmd. Onze nieuwe manier van werken heeft het aanvalsoppervlak voor de cybercriminelen ongelooflijk vergroot. Hierdoor hebben zij een breder scala aan kwetsbaarheden in de schoot geworpen gekregen om via uitgekookte social engineering-campagnes aanvallen uit te voeren. Digitale oplossingen als Slack en Microsoft Teams zijn beter dan ooit te exploiteren.

Daarbovenop: veel bedrijven hebben geïnvesteerd in de beveiliging van on-premises omgevingen en niet in cloudgebaseerde systemen. Gezien de verhoogde complexiteit (en financiering) van hedendaagse cybercrime moeten organisaties werken in de veronderstelling dat het niet een kwestie of, maar meer wanneer zij worden aangevallen. Daarom is het van belang op een flexibele Zero Trust Architecture (ZTA) in te zetten. Beschouw een dergelijk model als een diepgaande verdediging: het opzetten van een échte zero trust-omgeving is niet een systeem dat je aan- en uitzet. Het is simpelweg geen lampje op je nachtkastje. ZTA vereist een volledige herziening van de beveiligingsarchitectuur.

Zero Trust Architecture

ZTA’s basiscomponenten omvatten onder meer een bedrijfsactiva-inventarisatie, het bepalen van het toegangsbeleid (en waar dat te implementeren) en controles hoe deze te onderhouden. Dat gezegd hebbende: ZTA kan alleen beginnen met end-to-end zichtbaarheid in de bestaande digitale infrastructuur om zo te kijken waar criminelen hun handen op willen leggen; hoe aantrekkelijker de potentiële vangst, hoe strenger het toegangsbeleid. Voor de gezondheidszorg zouden dat medische dossiers kunnen zijn, voor een financiële instelling datalogboeken met transacties en rekeningnummers en voor overheden vertrouwelijke informatie met betrekking tot de openbare veiligheid. Ongeacht sector of bedrijfsgrootte: instanties dragen de plicht om bedrijfsdata te beschermen.

Veel ondernemingen die zijn overgestapt naar hybride werkomgevingen, vertrouwen nog steeds op VPN’s die toegang verlenen tot eindpunten en applicaties. Maar wanneer een ransomware-aanval het juiste account en machtigingen zou stelen, wordt die VPN in principe onbruikbaar. Na het omzeilen van broze perimeterbeveiligingen kunnen cybercriminelen gevoelige data versleutelen en vervolgens gedupeerden afpersen. Maar als diezelfde onderneming een gelaagd ZTA-model had gehad, zouden toegangsbepalingen in plaats daarvan worden gedefinieerd bij een gecentraliseerde Policy Decision Point (PDP). In zo’n geval (nadat de ransomware-aanvaller toegang heeft gekregen tot gestolen inloggegevens) zou er al een Policy Enforcement Point-systeem (PEP) zijn geplaatst om verdacht gedrag te identificeren en vervolgens de sessie in real-time te beëindigen. Op deze manier worden breaches in de kiem gesmoord. Het beleid dat door de PDP/PEP wordt onderhouden, bepaalt per sessie tot welke activa elke gebruiker (geen) toegang krijgt.

Het is pijnlijk maar waar: kwaadwillenden boeken (te) veel succes bij aanvallen op ondernemingen. Hoewel organisatorische groei en infrastructuurimplementaties nieuwe beveiligingstools en -controles met zich meenemen, blijven cybercriminelen kwetsbaarheden ontdekken. Met het omarmen van een Zero Trust Architecture is echter niet alle hoop verloren. Organisaties met een breed scala aan resources, systemen, applicaties en data hebben een beveiligingsmodel nodig dat kan meegroeien met het tempo dat de organisatie voor ogen heeft – niet in een tempo dat groei belemmert of situaties creëert die door the bad guys kunnen worden misbruikt.

NCSC factsheet

Het NCSC-NL heeft al eerder geschreven over zero trust in verschillende naslagwerken, waaronder het ook door ons gedeelde factsheet over ransomware. Daarin staan concepten van zero trust beschreven, zoals netwerksegmentatie en autorisatie.