Идентичность без границ доверия: современный подход

Традиционные модели сетевой безопасности основаны на предположении, что все внутри сети заслуживает доверия. Этот подход “крепость и ров” становится все менее эффективным в современных облачных и распределенных средах. Рост удаленной работы, сложные кибератаки и увеличение числа устройств, обращающихся к корпоративным ресурсам, сделали периметр в значительной степени неактуальным. Именно здесь на помощь приходит модель безопасности «нулевого доверия». В этой статье мы рассмотрим основные принципы идентификации в модели «нулевого доверия», уделяя особое внимание непрерывной авторизации, адаптивной аутентификации и гранулярному контролю доступа.

Ключевой вывод 1: «Нулевое доверие» работает по принципу «никогда не доверяй, всегда проверяй», независимо от того, находится ли пользователь или устройство внутри или снаружи сетевого периметра.

Ключевой вывод 2: Непрерывная авторизация является центральным элементом «нулевого доверия», постоянно проверяя запросы на доступ на основе контекстных факторов.

Ключевой вывод 3: Внедрение «нулевого доверия» требует многоуровневого подхода, охватывающего идентификацию, устройства, сети, приложения и данные.

Ключевой вывод 4: Эффективная работа «нулевого доверия» во многом зависит от надежной проверки личности и надежных механизмов аутентификации.

Ограничения традиционного управления идентификацией и доступом

Традиционные системы управления идентификацией и доступом (IAM) часто полагаются на статические правила и однократную аутентификацию. После аутентификации пользователю может быть предоставлен широкий доступ к ресурсам на длительный период времени. Это создает значительный риск, поскольку скомпрометированные учетные данные или внутренние угрозы могут привести к масштабному ущербу. Кроме того, традиционным IAM трудно адаптироваться к динамичным средам, в которых роли пользователей, состояние устройств и ландшафт угроз постоянно меняются.

Например, пользователь, прошедший аутентификацию по имени пользователя и паролю, может получить доступ к базе данных, содержащей конфиденциальные данные о клиентах на весь рабочий день. Если машина этого пользователя будет скомпрометирована в середине дня, злоумышленник получит неограниченный доступ до истечения срока действия сеанса пользователя или его выхода из системы. Подход «нулевого доверия» снижает этот риск путем непрерывной проверки личности пользователя и контекста его запроса на доступ.

Основные принципы системы идентификации, основанной на модели «нулевого доверия»

Система идентификации, основанная на модели «нулевого доверия», строится на нескольких ключевых принципах:

• Предполагать взлом: Всегда предполагать, что злоумышленники уже находятся внутри сети.
• Принцип наименьших привилегий: Предоставлять пользователям только минимальный уровень доступа, необходимый для выполнения их служебных обязанностей.
• Непрерывная проверка: Постоянно проверять личность пользователей и безопасность устройств.
• Микросегментация: Разделить сеть на более мелкие, изолированные сегменты, чтобы ограничить область распространения потенциального взлома.
• Безопасность данных: Сосредоточиться на защите самих данных, а не только на периметре сети.

Непрерывная авторизация и адаптивная аутентификация

Непрерывная авторизация является краеугольным камнем «нулевого доверия». Она выходит за рамки однократной аутентификации, постоянно оценивая запросы на доступ на основе множества факторов, включая личность пользователя, состояние устройства, местоположение, время суток и конфиденциальность запрашиваемого ресурса. Это часто достигается с помощью точек принятия решений о политиках (PDP), которые оценивают запросы на доступ на соответствие определенным политикам.

Адаптивная аутентификация повышает безопасность, требуя различные уровни аутентификации в зависимости от риска. Например, пользователю, обращающемуся к конфиденциальным данным с неопознанного устройства или из необычного местоположения, может быть предложено пройти многофакторную аутентификацию (MFA), в то время как пользователю, обращающемуся к неконфиденциальным данным с доверенного устройства, может потребоваться только пароль. Использование поведенческой биометрии — анализа скорости набора текста, движений мыши или даже походки — также может быть включено в адаптивную аутентификацию для обнаружения аномальной активности.

Гранулярный контроль доступа и динамические политики

«Нулевое доверие» делает акцент на гранулярном контроле доступа, что означает, что доступ предоставляется на уровне отдельных ресурсов, а не на основе широких сетевых сегментов. Управление доступом на основе атрибутов (ABAC) является мощным механизмом для реализации гранулярного контроля доступа. ABAC использует атрибуты пользователя, ресурса и среды для определения того, должен ли быть предоставлен доступ. Например, политика может гласить, что только пользователи с определенной должностью и уровнем допуска могут получить доступ к определенному файлу и только в рабочее время.

Динамические политики имеют решающее значение для адаптации к меняющимся условиям. Эти политики могут автоматически обновляться на основе данных об угрозах, поведении пользователей и других контекстных факторах. Например, если устройство пользователя обнаружено зараженным вредоносным ПО, его доступ к конфиденциальным ресурсам может быть автоматически отозван.

Как Didit помогает внедрить идентификацию, основанную на модели «нулевого доверия»

Didit предоставляет надежную платформу для создания системы идентификации, основанной на модели «нулевого доверия». Наши основные возможности напрямую соответствуют принципам «нулевого доверия»:

• Надежная проверка личности: Проверки личности на основе искусственного интеллекта от Didit гарантируют, что доступ к вашим системам получат только законные пользователи.
• Непрерывная авторизация посредством интеграции API: Интегрируйте API Didit в существующие рабочие процессы авторизации, чтобы непрерывно проверять личность пользователя.
• Аутентификация на основе рисков: Используйте сигналы мошенничества и оценки рисков Didit для запуска адаптивных задач аутентификации.
• Повторное использование KYC: Позвольте пользователям один раз подтвердить свою личность и повторно использовать ее в нескольких приложениях, снижая трение и повышая безопасность.
• AML-скрининг: Непрерывно отслеживайте пользователей по глобальным санкционным спискам и спискам наблюдения.

Модульная архитектура Didit позволяет создавать индивидуальные рабочие процессы идентификации, адаптированные к вашим конкретным потребностям. Наш конструктор рабочих процессов позволяет визуально оркестровать шаги проверки, устанавливать условную логику и автоматизировать решения.

Готовы начать?

Внедрение системы идентификации, основанной на модели «нулевого доверия», — это путь, а не пункт назначения. Начните с оценки текущей ситуации с безопасностью, определения критически важных активов и разработки дорожной карты для внедрения принципов «нулевого доверия».

Хотите узнать больше о том, как Didit может помочь вам создать систему идентификации, основанную на модели «нулевого доверия»?

Запросить демо | Просмотреть документацию