Elämää palomuurien jälkeen
Palomuurit, nuo bittiteiden tukkeet, ovat ilahduttaneet tietoturvakauppiaiden budjetteja jo hyvän aikaa kolmatta vuosikymmentä. Mutta mikä on firewallin rooli vuonna 2021? Reititin hoitaa NAT-osoitemuunnoksen, isoveli nimeltä pilvi kyttää tietoturvaa rajattomin resurssein ja käyttäjätkin ovat kotosalla, kaukana palomuuriparasta.
Palomuurikeskeinen tietoturva-arkkitehtuuri pohjaa mitä vahvimmin luottamukseen. Luotamme siihen, että verkko palomuurin takana on hyvä ja turvattu. Iso, vahva palomuuri suojaa meidät pahalta maailmalta. Mutta entäpä sitten Zero Trust? Nollaluottamukseen uskoi jo Stalin aikoinaan, murjaistessaan ”luottamus hyvä, kontrolli parempi”.
”Luottamus hyvä, kontrolli parempi”
Ajatus palomuureista tietoturvan varmistajana vanheni jo reilun vuosikymmenen sitten. Google kun korkattiin vihamielisen, valtiollisen toimijan operaatiossa vuonna 2009, he uusivat tietoturva-ajatteluaan. Syntyi ”Beyond Corp”-julkaisu. Tämän saman Zero Trust -nimityksen alle lokeroituvan uuden tietoturva-ajattelun ovat sittemmin omaksuneet Microsoftista lähtien kaikki kentän suuret pelurit.
Lisää pöhinää ja hypeä heitti Gartner tähän soppaan lanseeraamalla SASE-terminsä (Secure Access Service Edge), jonka filosofia ponnisti vahvasti beyondcorp-tyyppisestä ajattelusta. Toki SASE laajensi aihetta tietoturvasta kattamaan myös yritysverkkoyhteydet (WAN). Tuo ei sinänsä aivan uusi ajatus edes ollut. Esimerkiksi Microsoft oli jo aiemmin julistanut, että ”internet is a new corporate network”. Niin tai näin, vanha pizza oli lämmitetty ja todensi osaltaan asian tärkeyden.
Miksi palomuurit ovat vanhentunutta tietoturva-ajattelua?
Googlen ajatushan ei varsinaisesti ollut se, ettäkö muurit olisivat vanhentunutta teknologiaa vaan se, että jaottelu suojattuun ja suojaamattomaan maailmaan ei oikeasti koskaan toimi. ”What if walls never worked?” noin sanatarkasti lainattuna. Eli mitäpä jos ne muurit eivät koskaan ole olleetkaan riittävä vastine uhille – mutta ajattelu pääsi jämähtämään siihen internetin nopean voittokulun äimistyttämänä.
”What if walls never worked?”
Beyond Corp -periaatteet ovat selkeät ja kiistämättömät:
1. Se, missä verkossa laite sattuu sijaitsemaan, ei saa määrittää, mitä palveluita saa käyttää.
2. Pääsy palveluihin myönnetään sen pohjalta, mitä käyttäjästä ja laitteesta tiedetään.
3. Kaikkien palveluiden käyttöoikeuksien on oltava todennettuja, valtuutettuja ja salattuja.
Mikäli organisaatiosi tietoturva-ajattelu pohjautuu vielä ajatukseen, että toimistoverkkosi on ”turvallinen” eli siis luotettu, et Zero Trust -arkkitehtuuria ole saavuttanut. Ja suojauksesi on puutteellinen. Eli odota vain sitä, että teidätkin korkataan. Kyllä se sieltä vielä tulee. Toisaalta, odottaessasi väistämättömän tapahtumista, ehdit vielä vaikuttaa tulevaisuuteen – muuttaen sitä.
Moderni tietoturva nojaa vahvasti kahteen tärkeään seikkaan. Ensinnäkin jokaisen organisaation tulee tuntea käyttäjänsä. Kyllä, IAM on keskiössä Zero Trustissa ja 2000-luvun tietoturva-arkkitehtuurissa. Pelkkä teknologiahan ei tietenkään yksin ole ratkaisu käyttäjien tuntemisessa. Ja toiseksi pitäisi tuntea ja tietää laitteet, joilla käyttäjät töitään tekevät. Tämähän tuo samalla valokeilaan myös omien laitteiden käytön (BYOD). Mahdollisesti vielä seuraatte Microsoftia ja luovutte joko salasanoista tai ainakin lakkaatte kiusaamasta turhaan käyttäjiä salasanojen vaihtohässäköillä.
Miten toteuttaa aidosti tietoturvallinen arkkitehtuuri?
Zero Trust lähtee ajatuksesta, ettei tietoturvamielessä uskota tai luoteta mihinkään vaan kaikki varmistetaan. Oikein implementoituna se tuo tietoturvan muurien jälkeiseen aikaan ja mahdollistaa aidosti turvallisen arkkitehtuurin. Olipa käyttäjä koneineen yrityksen verkossa pääkonttorilla tai tehtaan tiloissa, kahvilassa, lentoaseman loungessa tai kotosalla, tietoturva on aina samalla tasolla. Tämä paitsi tuo tasalaatuisen tietoturvan kaikille käyttäjille riippumatta työskentelypaikasta, myös estää tehokkaasti jostain reiästä sinne ”sisäverkkoon” tunkeutuneen hyökkääjän toimia. Kas kun hyökkääjäparan kannalta sinisilmäisen luottamuksen poistuminen johtaa tilanteeseen, jossa edes sillanpää lähiverkossa (tai OT-verkossa) ei juuri edistä hyökkäystä.
Tietoturva-arkkitehtuurinsa modernisoineen yrityksen palvelut ja järjestelmät tarkistavat ja varmistavat kaikki aivan yhtä pedantisti, tulivatpa pyynnöt sitten ”omasta lähiverkosta” tai internetistä tai vaikka OT-verkosta. Siinä missä ennen riitti palomuurin kiertäminen tai ohittaminen jotenkin antamaan vapaat kädet vakoilla ja ottaa sivuttaisaskelia, nykyään se ei krakkeriressulle oikeastaan tuo mitään etua.
Luotetut laitteet ovat kovennettuja ja EDR-teknologioiden suojaamia, olivat ne missä verkossa hyvänsä. Ja BYOD-laitteiden pääsy resursseihin on rajattu ja aina vahvennetun autentifikaation suojaamaa. Tekoälyyn pohjautuvat teknologiat (esim. UEBA) hälyttävät jopa täysin varmennetun ja kovennetun laitteen käyttäjän vaihtuessa – jos esimerkiksi kollegat testaavat vaihtaa koneitaan päittäin hetkeksi.
Vanha viisaus siitä, että hyökkääjän täytyisi onnistua vain kerran ja puolustautujan kyetä torjumaan jokainen hyökkäysyritys kääntyy päälaelleen: puolustautujan sipulin kuorimiseksi hyökkääjän pitäisi kyetä kymmenien tai satojen onnistumisten sarjaan liki reaaliaikaisesti. Ja välttää AI:n kaikennäkevä silmä. Kyllä siinä pahiksella kyyneleet alkavat virrata.
Haluatko kuulla lisää? Tutustu myös aihetta käsittelevään webinaaritallenteeseen!
