Zerotrust vs ABAC-RBAC and PoLP

Geplaatst op 19-01-2021

Hoe staat Zerotrust in verhouding met PoLP, Least Privilege vs RBAC and ABAC?

Alles wat u moet weten voor de perfecte keuze!

 

Laten we beginnen door te zeggen dat de  concepten nauw met elkaar verbonden zijn , maar ze zijn niet compleet uitwisselbaar.
Het principe van de Least privilege (PoLP)en RBAC en ABAC, verwijst naar het concept en de praktijk van het beperken van toegangsrechten voor elke entiteit (d.w.z. gebruikers, accounts, computerprocessen…)

Als Zero Trust je griezelig bekend in de oren klinkt, komt dat omdat velen van ons deze handeling eerder hebben meegemaakt toen toegangscontrolelijsten (ACL's), op rollen gebaseerde toegangscontrole (RBAC) en toen de principes van de least privileges allemaal hot waren. Net als bij RBAC en least privilege, begint het Zero Trust-model met een onderwerp of identiteit, met toegewezen rollen en machtigingen die specifiek zijn voor de rol (en niets meer). Het probleem in RBAC, met het minste privilege, was echter dat het toestond dat proefpersonen meerdere rollen en machtigingen kregen, die uiteindelijk versoepelden tot een punt dat het doel en de bedoeling van de controle in de eerste plaats overschreef. Combineer dit met de zware taak om al uw systemen, netwerken en gegevens in kaart te brengen en te classificeren (in een poging om ze allemaal te beschermen), en de introductie van cloud- en diverse SaaS-aanbiedingen voor kerntoepassingen en -diensten, en het wordt erg moeilijk om effectief implementeren en beheren. Stel je voor dat je een implementatie hebt zoals op de foto hieronder, en dat maal 10.000 gebruikers, 10.000 processen, 10.000 maal computers.... U ziet het, overzicht en beheersbaarheid zijn weg.

 

picture from Broadcom Techdocs

 

Als u (1) de kernprincipes van RBAC neemt, inclusief sterke onderwerpen, roldefinities en governance met behulp van identiteits- en toegangsbeheer en producten voor privileged access management in combinatie met een enkele bron van waarheid voor alle onderwerpen of identiteiten en rollen (2) strenge toegangscontroles toe te passen op gevoelige gegevens, systemen en applicaties en alleen machtigingen te verlenen voor middelen die de werknemer nodig heeft om zijn werk te doen, (3) inclusief attribuut gebaseerde authenticatie (computervingerafdruk , vingerafdruk van mobiele apparaten, certificaten, sleutels, inlogtijd, locatie, geïnstalleerde beschermende en detective-apps en controles, enz.), en (4) gebruikers- en entiteitsgedragsanalyses (UEBA) implementeren als compenserende controle om te zoeken naar en te waarschuwen voor gedrag buiten de normale omstandigheden voor een specifieke gebruiker, systeem of apparaat, en vereisen verhoogde authenticatiemaatregelen en andere aanvullende veiligheidscontroles om door te gaan); u heeft een sterke Zero Trust-implementatie in handen.

 

Het totale Zerotrust model is niet voor watjes, het is een complexe materie als je dit allemaal handmatig gaat toepassen. Het dwingt je om legacy-infrastructuur, legacy-workflow en legacy-processen (transactionele processen) die in sommige gevallen al tientallen jaren bestaan, af te wikkelen. Hoe groter uw bedrijf is, hoe complexer uw infrastructuur is. De hoeveelheid legacy workflow, processen en systemen waarmee u rekening moet houden, en de flexibiliteit van uw organisatie om zich aan te passen aan veranderingen, zijn allemaal obstakels voor implementatie.

 

Hoe pak ik het dan aan met Zerotrust?

Zero-Trust is gebaseerd op het verlenen van toegang met de minste bevoegdheden, maar de toegang wordt alleen verleend na verificatie van meerdere contextuele omgevingsvariabelen bij elk verzoek:

Wie vraagt ​​er om toegang?

De context van het verzoek, wat wordt er verzocht en hoe?

Het risico van de toegangsomgeving, waar en hoe krijg je toegang?

Bij nul vertrouwen gaat het erom dat je niets of niemand op elk moment vertrouwt. Behandel verkeer dat afkomstig is van uw eigen netwerk, API's of gebruikers op dezelfde manier als verkeer dat van daarbuiten komt.
Dit stelt u in staat het aanvalsoppervlak te minimaliseren, de audit te verbeteren, de risico's en kosten van beveiligingsinbreuken te verminderen.
Zero-trust is dus een uitgebreidere manier om uw omgeving te beveiligen. In plaats van de traditionele benadering van "vertrouwen, maar verifiëren" te gebruiken, implementeert het Zero-Trust-model "nooit vertrouwen, altijd verifiëren" als leidend principe.

 

Safe-T heeft een totaaloplossing ontworpen, ZoneZero die veel van de hierboven genoemde zaken zeer gemakkelijk oplossen en snel te implementeren is.

 

 

Wil je meer weten? Laat hieronder je gegevens achter. We nemen dan snel contact met u op!

 

 

 

First Name
Last Name
Email
Company
City
Phone