Sebbene molti vendor di networking e sicurezza utilizzino frasi che includono il termine Zero Trust, non tutti lo usano nella stessa accezione: ad aumentare la potenziale confusione ci sono i termini ZTA (Zero Trust Access) e ZTNA (Zero Trust Network Access), che spesso sono usati in modo intercambiabile.
Con così tanti termini e acronimi simili in circolazione, è importante assicurarsi di capire di cosa sta effettivamente parlando un fornitore quando si discute di tali soluzioni.
Indice degli argomenti
Zero trust: valutazione della fiducia per ogni transazione
Il concetto di zero trust è nato perché il vecchio modello di sicurezza di rete in cui “ciò che è all’interno è affidabile” e “ciò che è all’esterno è non affidabile” non funziona più.
Questo approccio basato sul perimetro è stato stiracchiato nel corso degli anni utilizzando reti private virtuali (VPN) e zone demilitarizzate (DMZ) per affrontare nuove sfide come gli utenti che diventano mobili e i fornitori aziendali al di fuori della rete che necessitano di accesso.
Ma questo approccio basato sul perimetro presenta uno svantaggio intrinseco per le reti altamente complesse di oggi: garantisce un’eccessiva fiducia implicita. Una volta che sei connesso, direttamente o utilizzando una VPN, sei considerato affidabile insieme al resto della “rete interna”.
Il modello zero trust rimuove il concetto della sicurezza implicita basata sulla posizione rispetto alla rete. Invece, si concentra sulla valutazione della fiducia per ogni singola transazione.
Con l’approccio zero trust, la posizione nella rete o l’indirizzo IP non trasmettono più un’implicazione di fiducia. Il modello zero trust stabilisce che la fiducia dovrebbe essere esplicitamente derivata da un mix di verifica dell’identità e di altri aspetti basati sul contesto.
Il principio del privilegio minimo
Il nome deriva dal fatto che quando si tratta di accesso alla rete, l’approccio zero trust inizia con una postura di negazione predefinita per tutti e tutto, in altre parole appunto “ nessuna fiducia”.
Utilizzando un modello zero-trust, ogni volta che un utente o un dispositivo richiede l’accesso a una risorsa è necessario fare le opportune verifiche prima che venga concesso l’accesso. Tali verifiche si basano sull’identità degli utenti e dei dispositivi, oltre ad altri attributi e contesti, come ora e data, geolocalizzazione e aspetti della postura di sicurezza del dispositivo.
Dopo che il dispositivo e l’utente sono stati verificati, viene concessa solo ed esclusivamente l’appropriata fiducia richiesta. L’accesso è dato in base al principio del privilegio minimo. Se un utente richiede l’accesso a un’applicazione delle risorse umane ed il suo diritto viene verificato, l’accesso a tale applicazione è l’unico accesso che gli viene concesso.
Zero Trust Access: controllo degli accessi basato sui ruoli
Il solo fatto di aver avuto l’accesso a qualcosa, non significa che gli utenti debbano di conseguenza avere visibilità di tutto il resto. “Accesso” significa solo concedere l’accesso a una risorsa specifica, non all’intera rete.
Un elemento chiave del modello zero trust è che la fiducia deve essere continuamente rivalutata. Se attributi importanti dell’utente o del dispositivo cambiano, l’esito positivo della verifica può essere revocato e l’accesso rimosso.
Zero trust access (ZTA) riguarda la conoscenza e il controllo di chi e cosa c’è sulla tua rete. Il controllo degli accessi basato sui ruoli utente è un componente critico della gestione degli accessi.
Solo conoscendo in modo definitivo chi è un utente, si può garantire il livello di accesso appropriato in base al suo ruolo. L’utente è un dipendente, un ospite o un consulente? Qual è il loro ruolo e a quali diritti di accesso alla rete quel ruolo li autorizza?
ZTA si occupa poi degli endpoint utilizzati dagli utenti, di cui sono richiesti controllo di gestione e visibilità.
Allinearsi al modello zero trust significa implementare una politica di accesso ridotto che garantisca all’utente il livello minimo di accesso alla rete richiesto per il proprio ruolo e rimuovendo qualsiasi possibilità di accedere o vedere altre parti della rete.
Zero Trust Network Access e smart working
Ma ZTA non si concentra esclusivamente su chi è in rete; incorpora anche la sicurezza per ciò che è in rete.
La sempre crescente profusione di dispositivi connessi alla rete può includere una serie di dispositivi IoT che possono variare dalle stampanti alle apparecchiature di riscaldamento e ventilazione e ai sistemi di controllo accessi delle porte.
Questi dispositivi non hanno un nome utente e una password per identificare se stessi e un ruolo. Per questi dispositivi “headless”, le soluzioni di Network Access Control (NAC) possono essere utilizzate per rilevare e controllare la loro connessione in rete. Utilizzando le policy NAC, i principi di zero trust del minimo accesso possono essere applicati anche a questi dispositivi IoT, garantendo un accesso alla rete sufficiente per svolgere il loro ruolo e nient’altro.
A causa dell’aumento del lavoro a distanza, lo Zero Trust Network Access (ZTNA) ha ricevuto più attenzione ultimamente perché è un modo per controllare l’accesso alle applicazioni indipendentemente da dove risiede l’utente o l’applicazione. L’utente potrebbe trovarsi su una rete aziendale, lavorare da casa o da qualche altra parte. L’applicazione può risiedere in un data center aziendale, in un cloud privato o su una rete Internet pubblica.
Sebbene le VPN tradizionali siano state un pilastro per decenni, ZTNA è la naturale evoluzione della VPN e offre una migliore sicurezza, un controllo più granulare e una migliore esperienza utente alla luce della complessità delle reti odierne, quindi può essere una scelta più intelligente per una connessione sicura della forza lavoro remota.
Con una VPN tradizionale, il presupposto è che chiunque o qualsiasi cosa superi i controlli perimetrali della rete possa essere considerato attendibile. Ma ZTNA adotta l’approccio opposto: nessun utente o dispositivo può essere considerato attendibile per accedere a qualcosa fino a prova contraria. A differenza di una VPN, ZTNA estende il modello zero-trust oltre la rete e riduce la superficie di attacco mascherando le applicazioni da Internet.
Conclusioni
A causa del fatto che gli utenti hanno necessità di accedere a risorse applicative che risiedono al di fuori della rete tradizionale, il perimetro aziendale si sta dissolvendo, e non è più possibile garantire fiducia solo basandosi sulla posizione rispetto alla rete.
Quindi, quando leggiamo a riguardo di soluzioni zero trust, la cosa principale da ricordare è che questo termine viene usato genericamente. Il termine zero trust indica che nessuno dovrebbe essere considerato affidabile per definizione.
Una volta fatte le verifiche del caso, bisognerebbe fornire solo un accesso limitato e la verifica andrebbe ripetuta nel tempo.
Appoggiandosi a questo concetto generale, le soluzioni ZTA si preoccupano di capire chi e che cosa sta avendo accesso alla rete, mentre le architetture ZTNA ruotano intorno agli aspetti del diritto di accesso alle singole applicazioni, e sono spesso presentate come un’alternativa all’utilizzo delle VPN.
