Zero trust to model bezpieczeństwa, który usuwa domyślne zaufanie z sieci i weryfikuje każdy dostęp na podstawie jego własnych przesłanek. Zamiast ufać wszystkiemu, co znajduje się wewnątrz perymetru, wymaga od każdego żądania udowodnienia, że powinno zostać dopuszczone. W bogatym w tożsamości środowisku IT jest to podejście skuteczne i coraz bardziej standardowe.
Zastosowanie zero trust w OT jest trudniejsze. Wiele systemów OT nie ma tożsamości, komunikuje się protokołami bez uwierzytelniania i nie toleruje narzutu, jaki wprowadzają mechanizmy zero trust. Ten artykuł pokazuje, co da się przełożyć, co zawodzi i jak ograniczanie osiągalności zapewnia pragmatyczną drogę do tego samego celu.
01Najważniejsze wnioski
- 01
Zero trust usuwa domyślne zaufanie sieciowe i weryfikuje każdy dostęp, zamiast ufać lokalizacji.
- 02
Jego podstawowe założenia — najmniejsze uprawnienia, mikrosegmentacja i ciągła weryfikacja — są wartościowe w OT.
- 03
Zawodzi tam, gdzie systemy OT nie mają tożsamości, używają protokołów bez uwierzytelniania lub nie tolerują dodatkowego narzutu.
- 04
Duch zero trust — nigdy nie zakładaj, że osiągalność jest bezpieczna — bezpośrednio przekłada się na ograniczanie osiągalności.
- 05
Pragmatycznym krokiem zero trust w OT jest usunięcie stałego dostępu oraz uczynienie łączności jawną i minimalną.
02Podstawy zero trust
Zero trust zastępuje stary model zaufanej sieci wewnętrznej ukrytej za twardym perymetrem modelem, w którym żaden podmiot ani system nie jest domyślnie zaufany. Każde żądanie dostępu jest uwierzytelniane, autoryzowane i weryfikowane względem polityki, niezależnie od tego, skąd pochodzi.
NIST opisuje architekturę zero trust wokół zasad takich jak najmniejsze uprawnienia, decyzje o dostępie podejmowane dla każdego żądania i ciągła weryfikacja. Celem jest zapewnienie, że sama obecność w sieci nie jest jeszcze pozwoleniem na cokolwiek.
Kluczowe twierdzenie zero trust: lokalizacja to nie autoryzacja. Każdy dostęp musi zasłużyć na przyznanie.
03Dlaczego OT stanowi wyzwanie dla tego modelu
Zero trust zakłada świat silnej tożsamości i możliwość weryfikacji każdego żądania. OT często nie zapewnia żadnego z tych elementów i właśnie tam model napotyka trudności.
- Wiele urządzeń nie ma pojęcia tożsamości użytkownika, którą można by uwierzytelnić.
- Protokoły przemysłowe często całkowicie pozbawione są uwierzytelniania i szyfrowania.
- Ograniczenia czasu rzeczywistego nie pozostawiają miejsca na narzut weryfikacji każdego żądania.
- Starsze systemy nie mogą uruchamiać agentów ani nowoczesnego oprogramowania zabezpieczającego.
- Wymagania dotyczące dostępności sprawiają, że agresywne blokowanie jest ryzykowne.
04Co się przekłada, a co nie
Zamiast traktować zero trust jako podejście typu wszystko albo nic, warto oddzielić zasady, które przetrwają przejście do OT, od mechanizmów, które często tego nie robią.
- Przekłada się dobrze
- Najmniejsze uprawnienia, mikrosegmentacja, usuwanie domyślnego zaufania między strefami oraz weryfikacja dostępu na kontrolowanych granicach zamiast ufania sieci.
- Przekłada się słabo
- Tożsamość per urządzenie na starszych sterownikach, egzekwowanie oparte na agentach oraz ciągłe uwierzytelnianie każdego żądania w protokołach czasu rzeczywistego.
Wniosek jest taki, aby dążyć do efektów zero trust środkami, na które pozwala OT — często na poziomie sieci i granic — zamiast wymuszać mechanizmy IT na urządzeniach, które nie są w stanie ich obsłużyć.
05Ograniczanie osiągalności jako pragmatyczny krok zero trust
Jeśli urządzenie nie potrafi zweryfikować, kto się z nim komunikuje, najlepszą alternatywą jest ścisłe ograniczenie tego, co w ogóle może się z nim komunikować i kiedy. To zero trust wyrażone poprzez osiągalność: nigdy nie zakładaj, że ścieżka powinna być otwarta tylko dlatego, że istnieje.
Usunięcie stałego dostępu ucieleśnia domyślną zasadę zero trust, jaką jest odmawianie z zasady. Wzorzec kontrolowanej łączności AIRGAPNET może utrzymywać segmenty OT domyślnie odłączone i otwierać ścieżkę wyłącznie w jawnie zatwierdzonym, ograniczonym czasowo celu, tak aby łączność nigdy nie była domyślna i zawsze była uzasadniona, nawet wtedy, gdy samo urządzenie nie potrafi tego egzekwować.
To nie jest pełna architektura zero trust, ale zapewnia najważniejszą część zamysłu: nic nie jest osiągalne tylko dlatego, że akurat znajduje się w sieci.
06Myśl na koniec
Zero trust to mocna idea, która nie przenosi się gładko do OT. Wzięte dosłownie, z tożsamością per urządzenie i ciągłą weryfikacją wszędzie, zderza się ze starszymi protokołami, ograniczeniami czasu rzeczywistego i urządzeniami, które nie mogą w tym uczestniczyć.
Wzięte jako zamysł, nigdy nie ufaj sieci, zawsze uzasadniaj dostęp, dobrze pasuje do OT. Dąż do niego tam, gdzie OT na to pozwala, opieraj się na segmentacji i minimalnym dostępie oraz wykorzystuj ograniczanie osiągalności, aby odmawiać z zasady. Zero trust w OT to mniej kwestia nowych agentów na starych urządzeniach, a bardziej odmowa zakładania, że jakakolwiek ścieżka jest bezpieczna.
FAQNajczęściej zadawane pytania
Czym jest zero trust?
Zero trust to model bezpieczeństwa, który usuwa domyślne zaufanie z sieci i weryfikuje każdy dostęp na podstawie jego własnych przesłanek. Zamiast ufać wszystkiemu, co znajduje się wewnątrz perymetru, wymaga, aby każde żądanie było uwierzytelnione, autoryzowane i sprawdzone względem polityki.
Dlaczego zero trust jest trudne do wdrożenia w OT?
Wiele urządzeń OT nie ma tożsamości użytkownika, protokoły przemysłowe często pozbawione są uwierzytelniania, ograniczenia czasu rzeczywistego nie pozostawiają miejsca na narzut weryfikacji każdego żądania, starsze systemy nie mogą uruchamiać agentów, a rygorystyczne wymagania dotyczące dostępności sprawiają, że agresywne blokowanie jest ryzykowne.
Które elementy zero trust sprawdzają się w OT?
Najmniejsze uprawnienia, mikrosegmentacja, usuwanie domyślnego zaufania między strefami oraz weryfikacja dostępu na kontrolowanych granicach przekładają się dobrze. Tożsamość per urządzenie na starszych sterownikach, egzekwowanie oparte na agentach oraz ciągłe uwierzytelnianie każdego żądania często się nie sprawdzają.
Jak ograniczanie osiągalności wiąże się z zero trust?
Jeśli urządzenie nie potrafi zweryfikować, kto się z nim komunikuje, najlepszą alternatywą jest ścisłe ograniczenie tego, co może do niego dotrzeć i kiedy. Usunięcie stałego dostępu oraz uczynienie łączności jawną i ograniczoną czasowo ucieleśnia domyślną zasadę zero trust, jaką jest odmawianie z zasady.
Czy w OT można osiągnąć pełne zero trust?
Rzadko w dosłownym sensie znanym z IT, ponieważ wiele urządzeń nie może w tym uczestniczyć. Ale zamysł, nigdy nie ufaj sieci i zawsze uzasadniaj dostęp, jest osiągalny dzięki segmentacji, minimalnemu dostępowi i ograniczaniu osiągalności na poziomie sieci i granic.
SRCŹródła referencyjne
Nigdy nie ufaj ścieżce
Odmawiaj z zasady tam, gdzie urządzenia nie potrafią samodzielnie weryfikować.
Wyraź ideę zero trust w OT, usuwając stały dostęp: utrzymuj segmenty domyślnie odłączone i otwieraj ścieżkę wyłącznie w jawnym, ograniczonym czasowo, zatwierdzonym celu.