Zero Trust, Windows Application Security og GO-Global

Udtrykket "Zero Trust" blev opfundet i 2010 af Forrester™ Research-analytiker John Kindervag for at beskrive en ny, betydeligt strengere tilgang til brugeradgangskontrol og cybersikkerhed, end hvad der dengang var almindelig praksis. Udtrykket stammer fra et russisk ordsprog "trust, but verify", som blev vedtaget og ofte gentaget af Ronald Reagan under hans præsidentperiode.

Sikkerhedsmodellen zero trust er en tilgang til strategi, design og implementering af IT-systemer. Ligesom ordsproget er grundlaget for nultillid, at brugere og enheder ikke bør have tillid som standard, uanset placering eller tidligere tillidsforhold.

Udtrykket blev brugt første gang i 2010, men det tog et årti, før zero trust-arkitekturer vandt over traditionel cybersikkerhed og brugeradgangspraksis. Når en bruger eller enhed får adgang til et netværk, får de som regel stor tillid og brede adgangsrettigheder.

Men med fremkomsten af cloud computing, spredningen af mobile enheder, stigningen i netværkstyper og de work-from-anywhere-brugerscenarier, der blev allestedsnærværende under pandemien, viste den traditionelle tilgang sig desværre at være utilstrækkelig mod nutidens avancerede trusler.

Windows® ISV'er, der leverer deres applikationer fra skyen til kunder, der befinder sig hvor som helst, har arbejdet med dette scenarie i årevis. Men efterhånden som angrebene er blevet mere sofistikerede og udbredte, er det blevet superkritisk for Windows ISV'er at sikre deres applikationer, kundedata og infrastruktur til applikationslevering. Her hos GO-Global har vi set en betydelig stigning i antallet af Windows-ISV'er, der inkluderer GO-Global® som en del af et nultillidsinitiativ for Windows-applikationssikkerhed.

Hvad indgår i et nultillidsinitiativ, og hvordan kan GO-Global hjælpe?

Principper for nul tillid

Perimetersikkerhed var engang fokus for en omfattende it-sikkerhedsplan. Men zero trust identificerer 5 principper, som IT skal indføre som en del af sin strategi.

Beskyt overfladen:

Består af alle brugere, enheder, applikationer, data, tjenester og det netværk, som følsomme virksomhedsdata transporteres på. På grund af pandemien er brugerne nu langt mere spredte, så en organisations beskyttelsesoverflade strækker sig langt ud over virksomhedens LAN.

Cybersikkerhedsværktøjer i denne kategori omfatter dem, der går ud over netværkskanten for at komme så tæt på apps, data og enheder som muligt, så sikkerhedsteams kan identificere og prioritere de apps, data, enheder og brugere, der skal sikres. Derudover skal sikkerhedsarkitekter forstå placeringen af kritiske ressourcer, og hvem der skal have adgang til dem for at kunne implementere den mest hensigtsmæssige løsning.

Nuværende cybersikkerhedskontroller:

Når beskyttelsesoverfladen er kortlagt, skal sikkerheds- og IT-teams identificere de kontroller, der allerede er på plads. Er de implementeret på det mest hensigtsmæssige sted? Bør de omplaceres, genbruges eller udskiftes?

Moderniser arkitekturen og udnyt nye cybersikkerhedsværktøjer:

Når man har identificeret den opdaterede beskyttelsesflade og det nuværende sæt af cybersikkerhedsværktøjer, hvad skal en organisation så anvende for at udfylde hullerne eller erstatte forældede værktøjer?

Eksempler på værktøjer, der bruges som en del af en zero trust-modernisering, er mikrosegmentering af netværk og sikker adgangskontrol til apps og data ved hjælp af single sign-on og multifaktor-godkendelse. For at identificere nye trusler kan nye avancerede trusselsbeskyttelsesværktøjer, hvoraf mange understøttes af AI, skubbe sikkerhedspolitikker derhen, hvor der er brug for dem på tværs af beskyttelsestjenesten.

Anvend en detaljeret nultillidspolitik:

Når de nødvendige teknologier er på plads, skal sikkerhedsadministratorer skabe et strengt sæt standarder baseret på "least privilege", der kun giver adgang, når det er absolut nødvendigt. Disse "least privilege"-politikker beskriver præcist, hvilke brugere og enheder der skal have adgang til hvilke programmer og tjenester, hvilke programmer der skal have adgang til hvilke data, og hvornår denne adgang er tilladt.

Når disse politikker er opbygget, kan administratorer konfigurere enheder og værktøjer til at overholde de foreskrevne politikker.

Kontinuerlig overvågning og advarsler:

Selv med en zero trust-ramme på plads er intet helt sikkert. IT-sikkerhedsteams skal bruge overvågnings- og advarselsværktøjer for at finde ud af, om politikkerne fungerer, og om den eksisterende sikkerhedsramme har udviklet sprækker, som risikerer at blive udnyttet.

Når der sker ondsindet aktivitet, skal teamet straks stoppe aktiviteten og foretage en årsagsanalyse for at identificere årsagen og rette de fejl, der skabte sårbarheden. Moderne sikkerhedsværktøjer som netværksdetektering og -respons kan automatisere en stor del af denne aktivitet, hvilket reducerer den nødvendige tid og personaleinvestering.

Udfordringer med at opnå nul tillid

Selv om en sikkerhedsmodel med nul tillid kan give en betydelig ROI, er den vanskelig at implementere fuldt ud. Ifølge Gartner® har mange organisationer implementeret en zero trust-sikkerhedsmodel som en del af deres cybersikkerhedsstrategi, men "kun 1 % af organisationerne har i øjeblikket et modent program, der opfylder definitionen af zero trust."

De kritiske udfordringer for at opnå fuld implementering af en nultillidsarkitektur som defineret af Gartner inkluderer:

• Selv en lille fejl i systemarkitekturen kan gøre nultillidsmodellen ugyldig.
• Der findes ikke et produkt, der passer til alle, og som gør det muligt at opnå nul tillid; hver organisation skal snarere finde frem til den kombination af løsninger og praksisser, der fungerer sammen med dens it-infrastruktur og -arkitektur for at opnå nul tillid.
• Organisationer, der er afhængige af ældre virksomhedssystemer og teknologi, kan ikke tilpasse en nultillidsmodel på grund af forældet infrastruktur.
• At indføre zero trust kræver en øjeblikkelig stigning i antallet af applikationer, brugere og enheder, der skal overvåges, omhyggelig overholdelse af software- og hardwareopdateringer og -vedligeholdelse samt regelmæssige revisioner; mange organisationer har ikke det personale, den ekspertise eller det budget, der er nødvendigt for en fuld implementering.
• Som nævnt ovenfor kan en organisation ikke bare implementere nul tillid og "kalde det godt". For at implementere zero trust skal IT følge en kontinuerlig procesmodel, der cykler gennem de principper, der er nævnt ovenfor, og derefter starter forfra - hvilket kræver et ubarmhjertigt fokus, der er svært at opretholde over tid.
• Zero Trust-modellen skal løbende udvikles for at tage højde for, hvordan trusler, teknologi og forretningsmæssige mål og praksisser ændrer sig over tid. Som et eksempel på, hvor hurtigt modellen kan ændre sig, kan man se, at det amerikanske agentur for cybersikkerhed og infrastruktursikkerhed (CISA) udgav deres første referencedokument for Zero Trust Maturity Model i august 2021, udgav en revision i marts 2022 og udgav en anden revision i april 2023.

For mange organisationer er fuld implementering af zero trust-arkitektur som defineret af Gartner på grænsen til det umulige på grund af de omkostninger, den indsats og de omvæltninger, der kræves for at opnå det. For eksempel kan en virksomhed være afhængig af en eller flere forretningskritiske ældre applikationer, systemer eller teknologier til at drive forretningen og være ude af stand til at fortsætte med at fungere uden denne ældre investering. En Windows ISV har måske ikke tid, båndbredde eller personale til at sikre Windows-applikationens sikkerhed ved at omskrive den til en webbaseret applikation for at muliggøre SSO, eller er tilbageholdende med potentielt at fremmedgøre kunder, der elsker og er afhængige af applikationen, som den er, ved at erstatte den med en webapp.

Men det er absolut muligt at opnå en betydelig procentdel af overensstemmelse med zero trust-modellen. Go-Global kan hjælpe.

Hvordan GO-Global støtter Zero Trust-modellen

Windows ISV'er kan udnytte GO-Global til at tilpasse sig nultillidsmodellen på flere områder:

Beskyt overflade/netværk

GO-Global Session Protocol:

Grundlaget for GO-Global er en proprietær protokol med lav båndbredde til forbindelse over serielle linjer kaldet RapidX Protocol (RXP). RXP er adaptiv, bruger flere komprimeringslag og er optimeret til at sikre den lavest mulige udnyttelse af båndbredden. Fordi RXP er closed source, giver den et ekstra forsvar mod angribere sammenlignet med open source-protokoller som Microsoft® RDP, hvor der er fundet og udnyttet svagheder i sikkerheden.

Kryptering af klientsessioner:

Som standard krypterer GO-Global sessioner ved hjælp af DES (DataEncryption Standard) med 56-bit nøglestyrke for alle klientsessionsforbindelser for at beskytte mod basale pakkesniffere og klienter, der opsnapper rå datakommunikation. Det er hurtigt, pålideligt og giver et øjeblikkeligt sikkerhedsniveau for LAN-baserede forbindelser via GO-Global.

Til internetkommunikation tilbyder GO-Global TLS-baseret transport med følgende krypteringsalgoritmer: 128-bit RC4, 168-bit 3DES og 256-bit AES. Disse højere krypteringsalgoritmer kræver, at administratoren anvender et signeret TLS-certifikat på værten, som kan genereres ved hjælp af en standard certifikatmyndighed. Administratorer kan også generere pålidelige TLS-certifikater til GO-Global-værter via fanen Sikkerhed i dialogboksen Værtsindstillinger i administratorpanelet, hvor GO-Global-værten har en offentligt registreret DNS-adresse. Dette giver administratorer mulighed for at aktivere stærk kryptering og TLS-sikkerhed uden at købe et certifikat fra en tredjepartscertifikatudsteder.

Proxyserver-tunnelering:

GO-Global understøtter Proxy Server Tunneling, også kendt som HTTP Connect. Dette gør det muligt for en bruger, der har adgang til internettet via en webproxyserver, at oprette forbindelse til GO-Global-værter på internettet. Når du bruger en proxyserver, skal du huske, at al trafik som standard afvises på alle værtsporte, så GO-Global-værten skal konfigureres til kun at acceptere forbindelser på port 443.

Integreret Windows-godkendelse:

Administratorer kan forbedre GO-Global-slutbrugernes netværkssikkerhed ved at deaktivere standardgodkendelse (bede om brugernavn og adgangskode) og aktivere integreret Windows-godkendelse på fanen Godkendelse i dialogboksen Værtsindstillinger i administratorpanelet. Med denne konfiguration nægtes alle ikke-Windows-klienter adgang til GO-Global-værter, så GO-Global-slutbrugere skal logge på deres Windows-klientoperativsystemer med en Active Directory-konto, som GO-Global-værten har tillid til. Derudover har lokale brugerkonti på GO-Global-værten ikke adgang. Brugeren godkendes som medlem af NETWORK-gruppen, og adgangen til netværksressourcer fra GO-Global Host er begrænset.

Beskyt adgang til overflade/bruger og enhed

Som nævnt ovenfor antager zero trust, at interne og eksterne netværk potentielt er kompromitterede, og at ingen brugere eller enheder automatisk bør have tillid. Nul tillid dikterer, at verifikation, autentificering og autorisation af brugere og deres enheder skal anvendes, for at brugerne kan logge ind og engagere sig i it-systemet, applikationer og data.

Her kan du se, hvordan hvert koncept defineres i en zero trust-arkitektur.

Verifikation er den proces, hvor man bekræfter nøjagtigheden af en påstand - f.eks. en brugers identitet. Når en bruger indtaster et navn og en adgangskode, verificerer systemet, at det pågældende brugernavn og den pågældende adgangskode er knyttet til en bestemt konto.

Autentificering er at bevise sin identitet, når man får adgang til et system. Før zero trust var autentificering normalt så grundlæggende som et brugernavn og en adgangskode. Med zero trust går autentificering ud over brugernavne og adgangskoder og omfatter multifaktorautentificering (MFA), engangskodeord, pinkoder, smartkort og biometri.

Autorisation bestemmer en brugers adgangsrettigheder, dvs. hvad en bruger eller enhed har lov til at få adgang til eller gøre i systemet, f.eks. hvilke programmer en bruger har tilladelse til at åbne og bruge.

Single sign-on (SSO) og multifaktor-autentificering (MFA) er de teknologier, der oftest anvendes, når der skal gives adgang til brugere og enheder i en zero trust-arkitektur. GO-Global muliggør begge dele.

GO-Global Two-Factor Authentication er en avanceret godkendelsesfunktion, der giver et ekstra lag af sikkerhed ved at kræve, at brugerne indtaster en 6-cifret kode fra en smartphone-autentificeringsapp (f.eks. Google Authenticator, Authy og Microsoft Authenticator) ud over deres brugernavn og adgangskode. Dette sikrer, at selv hvis en brugers adgangskode kompromitteres, vil angriberen stadig ikke kunne få adgang til værtssystemet uden adgang til brugerens ulåste telefon. Det gør brute force- og ordbogsadgangskodesøgninger ubrugelige, hvilket er særligt kritisk, når fjernarbejde med sårbare fjernskrivebordsklienter bliver normen. 2FA reducerer også byrden ved at gennemtvinge en kompleks adgangskodepolitik.

GO-Global+ SSO: GO-Globals understøttelse af OpenID Connect gør det muligt for Windows ISV'er at bruge moderne identitetsudbydere som Okta™, OneLogin, Microsoft Active Directory Federated Services (ADFS) og Microsoft Azure® AD Seamless SSO til at aktivere single sign-on til GO-Global® Windows-værter.

GO-Global giver IT mulighed for at integrere enhver identitetsudbyder, der understøtter OpenID Connect, direkte i sine hosts, så de kan dele Windows hosts med de brugere, de allerede godkender til webapplikationer. GO-Globals understøttelse af OpenID Connect eliminerer behovet for domænecontrollere på virksomhedens netværk, for brugerdefinerede legitimationsudbydere til stærk godkendelse og for interaktive logins.

Uden GO-Global ville Windows ISV'er, der ønsker at tilføje SSO, være nødt til at købe dyre og komplekse løsninger som Citrix NetScaler® Unified Gateway integreret med Citrix Hypervisor®.

Beskyt overflade/applikationssikkerhed

GO-Global installerer eller vedligeholder ikke sin egen bruger- eller programdatabase. I stedet arver den alle aspekter af bruger- og datasikkerhed fra Windows Server®-operativsystemet. Sikkerhedsindstillingerne for brugeren og programmet konfigureres på Windows® OS-niveau og sendes til GO-Global under logon-processen.

Derudover respekterer GO-Global alle Windows-fil-, mappe-, share-, printer- og registreringsdatabasetilladelser, som er centrale for sikkerheden i ethvert Windows-system. Medmindre slutbrugere får administratorrettigheder eller udvidede rettigheder, kan de ikke få adgang til systemmapper, ødelægge eller ødelægge serveren eller på anden måde forårsage sikkerhedstrusler.

GO-Global anbefaler at bruge Windows-gruppepolitikker til alle sikkerhedsindstillinger på systemsiden, især i en serverfarm med balanceret belastning, for at sikre konsistens på tværs af alle værter.

Anvendelse af detaljeret nultillidspolitik

Grundlæggende installation og standardindstillinger: GO-Global installeres nemt ved hjælp af et enkelt installationsprogram på værten, som enten installerer eller opgraderer GO-Global-softwaren. Når installationen er færdig, skal værten genstartes for at initialisere indstillingerne i registreringsdatabasen og for at aktivere GO-Global-softwaren og -driverne.

Alle GO-Global-konfigurationsmuligheder, der muliggør deling af server- eller klientressourcer, er deaktiveret. Derudover udgiver GO-Global ingen standardprogrammer. Der er adgang til GO-Global Host-konfiguration, -administration og -sikkerhedsrelaterede funktioner via administratorpanelet under menuen Host Options. Administratorer kan udgive programmer, overvåge bruger- og værtsaktivitet og aktivere funktioner som klientudskrivning, klientudklipsholder, kryptering og godkendelse ved hjælp af denne menu.

Hvis du er en Windows-ISV, der leder efter løsninger til at muliggøre en arkitektur med nul tillid til at levere dine applikationer til kunderne, skal du overveje GO-Global og dets sikkerhedssystem med flere lag, herunder SSO og MFA.

Klik her for at se GO-Globals priser for samtidige brugere med SSO og for at beregne din anslåede GO-Global-pris.

Klik her for at anmode om en demo; klik her for at få en gratis 30-dages GO-Global-prøveperiode.

‍