Utoljára frissítve:
A Zero Trust biztonság lényege egyszerűen összefoglalható: ne bízzunk meg automatikusan senkiben és semmiben csak azért, mert „cégen belülről” érkezik. A hagyományos gondolkodás sokáig arra épült, hogy van egy védett belső hálózat, kívül pedig az internet. Ma viszont a munkatársak otthonról, mobilról, felhős rendszerekből, külsős partnerekkel és többféle eszközről dolgoznak. Ilyen környezetben a régi, kizárólag peremvédelemre és VPN-re épülő modell könnyen kevésnek bizonyul.
Miért nem elég önmagában a VPN?
A VPN továbbra is hasznos eszköz lehet: titkosított kapcsolatot ad a felhasználó és a céges hálózat között. A probléma ott kezdődik, ha a VPN belépés után túl sok mindenhez enged hozzáférést. Ha egy felhasználói fiók kompromittálódik, vagy egy fertőzött laptop csatlakozik, a támadó sok esetben már „belső” szereplőként mozoghat tovább.
Ez különösen kis- és középvállalkozásoknál jelent kockázatot, ahol gyakran vegyes az infrastruktúra: van helyi fájlszerver, felhős levelezés, távoli asztal, webes ügyviteli rendszer, VPS-en futó alkalmazás és külsős rendszergazdai hozzáférés is. Ilyenkor a céges hálózatvédelem nem állhat meg annál, hogy „van tűzfal és VPN”. A kérdés inkább az: ki, mikor, honnan, milyen eszközről, pontosan mihez férhet hozzá?
Mit jelent a Zero Trust a gyakorlatban?
A Zero Trust vállalkozásoknak nem egyetlen dobozos termék, hanem működési szemlélet és technológiai megoldások együttese. A NIST SP 800-207 szerint a megközelítés a felhasználókra, eszközökre és erőforrásokra helyezi a hangsúlyt, nem pedig egy statikus hálózati peremre. Nem kell mindent egyszerre lecserélni, és nem csak nagyvállalati környezetben van értelme. Már néhány alapelv bevezetése is jelentősen rendezettebbé teheti az IT-biztonsági működést.
- Mindig ellenőrizzünk: a belépést ne csak jelszó alapján engedjük, hanem többtényezős hitelesítéssel, eszközállapot-ellenőrzéssel és jogosultsági szabályokkal.
- Legkisebb jogosultság elve: mindenki csak ahhoz férjen hozzá, amire a munkájához tényleg szüksége van.
- Hozzáférés alkalmazásszinten: ne a teljes belső hálózatot nyissuk meg, hanem konkrét rendszerekhez adjunk célzott hozzáférést.
- Folyamatos felülvizsgálat: a jogosultságokat ne egyszer állítsuk be, majd felejtsük el, hanem rendszeresen ellenőrizzük.
VPN alternatíva vagy VPN mellé épülő védelem?
A Zero Trust gyakran kerül elő úgy, mint VPN alternatíva, de a gyakorlatban nem mindig az a cél, hogy a VPN-t azonnal megszüntessük. Sok cégnél életszerűbb az átmenet: a legkritikusabb rendszereknél már alkalmazásszintű hozzáférés-kezelés működik, miközben bizonyos adminisztrációs vagy karbantartási feladatokra a VPN megmarad, szigorúbb szabályokkal.
Például egy könyvelő kollégának nem feltétlenül kell belépnie a teljes irodai hálózatba ahhoz, hogy elérje az ügyviteli rendszert. Egy külsős fejlesztőnek sem kell minden szerverhez hozzáférnie, ha csak egy VPS-en futó tesztkörnyezetet kezel. Egy rendszergazdai fióknál pedig indokolt lehet az időkorlátos hozzáférés, a naplózás és a külön jóváhagyási folyamat.
Hozzáférés-kezelés: itt dől el a biztonság nagy része
A hozzáférés-kezelés a Zero Trust egyik kulcsterülete. Sok incidens nem bonyolult technikai támadással kezdődik, hanem ellopott jelszóval, újrahasznált belépési adatokkal vagy elfelejtett, már nem használt fiókokkal. Ezért érdemes rendet tenni a felhasználók, csoportok, jogosultságok és adminisztrátori hozzáférések között.
Gyakorlati lépések, amelyek egy kisebb vállalkozásnál is megvalósíthatók:
- kötelező többtényezős hitelesítés bevezetése levelezéshez, adminfelületekhez és távoli hozzáféréshez;
- külön adminisztrátori fiókok használata, nem napi munkára használt felhasználókkal;
- kilépő munkatársak fiókjainak azonnali tiltása, eszközeinek visszavonása;
- megosztott jelszavak megszüntetése, jelszókezelő használata;
- rendszeres jogosultsági audit: kinek mihez van hozzáférése, és ez indokolt-e.
Eszközök, szerverek és webes rendszerek védelme
A Zero Trust biztonság nem csak a felhasználókról szól. Ugyanilyen fontos, hogy milyen állapotban vannak az eszközök és a kiszolgálók. Egy frissítetlen laptop, egy elhanyagolt WordPress oldal, egy rosszul konfigurált VPS vagy egy nyitva hagyott adminfelület mind belépési pont lehet.
Érdemes külön figyelmet fordítani a szerveroldali hozzáférésekre: SSH-kulcsok használata jelszavas belépés helyett, IP-alapú korlátozás, naplózás, rendszeres frissítés, biztonsági mentés és jogosultságok szétválasztása. Weboldal-üzemeltetésnél ugyanez igaz a CMS-felhasználókra, bővítményekre, tárhely- vagy VPS-hozzáférésekre is. Nem minden marketingesnek, fejlesztőnek vagy külsős partnernek kell teljes adminisztrátori jogosultság.
IT biztonság kisvállalkozásoknak: hogyan érdemes elkezdeni?
Az IT biztonság kisvállalkozásoknak akkor működik jól, ha nem túlbonyolított, hanem következetes. A Zero Trust bevezetését célszerű felméréssel kezdeni: milyen rendszereket használ a cég, kik férnek hozzá, honnan dolgoznak, milyen eszközökkel, és mi történik, ha egy fiók vagy gép kompromittálódik.
Ezután érdemes priorizálni. Első körben a levelezést, a felhős fiókokat, a pénzügyi rendszereket, a szerveradminisztrációt és az ügyféladatokat kezelő alkalmazásokat kell védeni. Nem feltétlenül a legdrágább megoldás a legjobb, hanem az, amelyik illeszkedik a cég működéséhez, és valóban használni is fogják a munkatársak.
A Zero Trust nem varázspajzs, hanem fegyelmezettebb hozzáférési és üzemeltetési modell. A NIST SP 800-207 szerint a rendszernek nem szabad automatikusan megbíznia egy felhasználóban vagy eszközben csak a hálózati helyzete alapján. Aki ma rendet tesz a jogosultságokban, bevezeti a többtényezős hitelesítést, korlátozza a távoli hozzáféréseket, frissíti a rendszereit és rendszeres adatmentést használ, már komoly lépést tesz egy biztonságosabb, átláthatóbb céges IT-környezet felé.
