İşletmeler uç nokta ve Nesnelerin İnterneti (IoT) altyapısını benimserken, BT organizasyonlarını zaten zorlayan güvenlik riskleri her zamankinden daha zor hale geliyor. Uç cihazların dağıtılmış doğası, IoT’nin ölçeği ve uçtaki cihazların sınırlı bilgi işlem kapasitesi, geçmişin giderek sallantıda olan geleneksel güvenlik uygulamalarına ek zorluklar getiriyor. Uç çağda, uygulayıcıların muhtemelen on yıldır eskisinden çok daha uzun bir süredir sürdürdüğü kale ve hendek güvenlik taktiklerine bağlı kalmak artık mümkün olmayacak.
Sıfır güven ilkeleri, bugünün ve yarının güvenlik zorluklarını karşılamanın anahtarı olacak ve bunun temeli, uç mimarinin temelini oluşturan güvenli sunucu donanımı tasarlamak olacak.
Sıfır Güveni Gerektiren Zorluklar
Edge ve IoT’ye rağmen, güvenlik tehditleri büyümeye devam ediyor. Son istatistikler, küresel saldırı oranlarının şu kadar arttığını gösteriyor: Geçen yıl %28. Kimlik bilgisi hırsızlığı, hesap ele geçirmeleri, yanal saldırılar ve DDoS saldırıları, her büyüklükteki kuruluşun başına bela olur. Ve siber suçların maliyetleri artmaya devam ediyor. FBI’ın İnternet Suçları Şikayet Merkezi’nin (IC3) yakın tarihli rakamları, ABD’deki siber suç maliyetlerinin 2017’de 1,4 milyar dolardan önemli ölçüde artarak 6,9 milyar doları aştığını ortaya koydu.
Dönüştürücü teknoloji mimarilerini bu karışıma dahil etmek, yalnızca güvenlik tasarıma dahil edilmemişse sorunları daha da kötüleştirir. Düzgün bir planlama olmadan, hızla çoğalan kurumsal cihaz havuzu nedeniyle uçta varlıkların ve süreçlerin güvenliğini sağlamak daha zor hale gelir.
Pazar istatistikleri 2025 yılına kadar rakamın 27 milyara çıkacağı beklentileriyle dünya çapında halihazırda 12,2 milyardan fazla aktif IoT ve uç uç noktası olduğunu gösteriyor. Bu cihazlar geleneksel şirket içi BT cihazlarından farklı olduğu için kuruluşlar daha fazla risk taşır. Uçtaki cihazlar – özellikle IoT cihazları – sıklıkla:
- Daha fazla özel bilgi içeren verilerle, kritik verileri veri merkezlerinden uzakta işleyin
- Pek çok cihaz üreticisi tarafından bu kadar güçlü bir şekilde desteklenmiyor veya güvence altına alınmıyor
- Parolaları ve kimlik doğrulamayı geleneksel uç noktalar kadar güçlü bir şekilde kontrol etmeyin
- Güvenlik kontrollerini veya güncellemelerini uygulamak için sınırlı bilgi işlem kapasitesine sahip olmak
- Dikenli tel, kamera veya onları koruyan bariyerlerin bulunmadığı, güvenli olmayan fiziksel konumlarda coğrafi olarak dağıtılır
Bütün bunlar, dışarıdaki cihazların çok büyük ölçeği nedeniyle yönetilmesi son derece zor olan genişletilmiş bir saldırı yüzeyi oluşturur. Politikaların ve protokollerin uçta uygulanması ve yönetilmesi daha zordur. Yazılım güncellemeleri yapmak kadar “basit” bir şey bile çok büyük bir görev olabilir. Örneğin, IoT üretici yazılımı güncellemeleri genellikle manuel ve hatta fiziksel müdahale gerektirir. Bir kuruluş tarafından çalıştırılan bu cihazlardan binlerce hatta on binlerce varsa, bu durum bir BT ekibi için hızla bir bataklığa dönüşür. Kuruluşların bu güncellemeleri yayınlamak, uzaktan yeniden başlatma yapmak ve kötü amaçlı yazılımları düzeltmek için daha iyi yöntemlere ihtiyacı var, bu cihazların tümünün güvenlik durumunu izlemek ve izlemekten bahsetmeye bile gerek yok.
Kimlik Doğrulamadan Daha Fazlası: Sıfır Güven Sözü
Sıfır güven, yukarıda özetlenen uç güvenlik zorluklarından bazılarını ele almaya başlamak için çok uygun olan bir dizi yol gösterici ilke ve güvenliğe yönelik mimari bir yaklaşımdır. Sıfır güven yaklaşımının kalbi koşullu erişimdir. Buradaki fikir, doğru varlıklara, hesaplara ve kullanıcılara yalnızca ihtiyaç duydukları varlıklara – yetkilendirildiklerinde ve durum kuruluşun risk alma iştahıyla güvenli bir şekilde uyumlu olduğunda – erişim izni verilmesidir. Mimari, izinleri vermeden önce ve ayrıca kullanım sırasında periyodik olarak BT ortamındaki tüm cihazları ve davranışları sürekli olarak değerlendirmek ve doğrulamak için tasarlanmıştır. Bir cihazın fiziksel konumuna, ağ konumuna veya varlık sahipliğine bağlı olmadığı için uç noktanın akıcılığı açısından harikadır.
Kapsamlı bir yaklaşımdır ve doğru yapıldığında kenardaki risk yüzeyini azaltmaya yardımcı olabilir. Ne yazık ki, birçok kuruluş, sıfır güveni yalnızca bir kimlik doğrulama ve yetkilendirme oyunu olarak eşitleyerek, miyop bir bakış açısı benimsemiştir. Ancak mimaride işletmelerin uygulamaya koyması gereken pek çok başka önemli unsur vardır.
Muhtemelen sıfır güvenin en kritik unsuru, erişim verilmeden önce varlıkların doğrulanmasıdır.. Güvenli kimlik doğrulama ve yetkilendirme çok önemli olsa da kuruluşların, uç trafiği yöneten sunucular dahil olmak üzere hassas varlıklara ve ağlara bağlanan cihazın güvenliğini sağlayacak mekanizmalara da ihtiyacı vardır. Bu, yerinde sabit yazılımın durumunun doğrulanmasını, donanımın bütünlüğünün izlenmesini, tehlikeye atılmış donanımın kanıtlarının aranmasını ve daha fazlasını içerir.
Doğru Donanımla Sıfır Güveni Etkinleştirme
Sıfır güven cihazları diye bir şey olmasa da kuruluşlar, siber ortamda daha dayanıklı olan ve güçlü bir sıfır güven yaklaşımının zorluklarına dayanmak için varlıkların daha kolay doğrulanmasını sağlayan uç donanım arayarak kendilerini sıfır güven başarısına hazırlayabilirler. güvenliğe.
Bu, satıcıların donanımlarını tasarlama biçimlerine çok dikkat edilmesi anlamına gelir. Sıfır güven idealine sözde bağlılık göstermekten daha fazlasını ödediklerinden emin olmak için sorular sorun. ABD Savunma Bakanlığı’nın yedi sütunlu sıfır güven standartları gibi bir çerçeveyi mi izliyorlar? Cihaz güveni, kullanıcı güveni, veri güveni ve yazılım güveni için kuruluşların uç mimarilerini oluşturmak için seçtikleri ürünlere yönelik önemli kontroller aramak, karşılığında kendi mimarilerinde sıfır güven oluşturmalarına yardımcı olacaktır.