Null tillit, Windows-applikasjonssikkerhet og GO-Global

Begrepet «Zero Trust» ble laget i 2010 av Forrester™ Research-analytiker John Kindervag for å beskrive en ny, betydelig strengere tilnærming til brukertilgangskontroller og nettsikkerhetspolitikk enn det som den gang var vanlig praksis. Begrepet stammer fra et russisk ordtak «stol på, men verifiser», som ble tatt i bruk og ofte gjentatt av Ronald Reagan under hans presidentskap.

Nulltillitsmodellen er en tilnærming til strategi, design og implementering av IT-systemer. Som ordtaket sier, er grunnlaget for nulltillit at brukere og enheter ikke skal være klarerte som standard, uavhengig av plassering eller tidligere tillitsforhold.

Selv om begrepet først ble brukt i 2010, tok det et tiår før nulltillitsarkitekturer for databehandling fikk overtaket over tradisjonelle praksiser for nettsikkerhet og brukertilgang. Tradisjonelt sett, når en bruker eller enhet får tilgang til et nettverk, gis de vanligvis betydelig tillit og brede tilgangsrettigheter.

Men med fremveksten av skytjenester, spredningen av mobile enheter, økningen i nettverkstyper og brukerscenarioene «arbeid hvor som helst» som ble allestedsnærværende under pandemien, viste den tradisjonelle tilnærmingen seg dessverre utilstrekkelig mot dagens avanserte trusler.

Windows®-ISV-er som leverer applikasjonene sine fra skyen til kunder hvor som helst har operert med dette scenariet i årevis. Men etter hvert som angrep har blitt mer sofistikerte og utbredte, har det blitt superkritisk for Windows-ISV-er å sikre applikasjonene, kundedataene og infrastrukturen for applikasjonslevering. Her hos GO-Global har vi sett en betydelig økning i Windows-ISV-er, inkludert GO-Global®, som en del av et nulltillitsinitiativ for Windows-applikasjonssikkerhet.

Hva er inkludert i et nulltillitsinitiativ, og hvordan kan GO-Global hjelpe?

Prinsipper for nulltillit

Perimetersikkerhet var en gang fokuset i en omfattende IT-sikkerhetsplan. Nulltillit identifiserer imidlertid fem prinsipper som IT må ta i bruk som en del av strategien sin.

Beskytt overflaten :

Består av alle brukere, enheter, applikasjoner, data, tjenester og nettverket som sensitive bedriftsdata transporteres på. På grunn av pandemien er brukerne nå langt mer spredt, slik at en organisasjons beskyttelsesflate strekker seg langt utover bedriftens lokale nettverk.

Nettsikkerhetsverktøy i denne kategorien inkluderer de som går utover nettverksgrensen for å komme så nær apper, data og enheter som mulig, slik at sikkerhetsteam kan identifisere og prioritere appene, dataene, enhetene og brukerne som må sikres. I tillegg må sikkerhetsarkitekter forstå plasseringen av kritiske ressurser og hvem som bør ha tilgang til dem for å implementere den mest passende løsningen.

Nåværende kontroller for nettsikkerhet:

Etter å ha kartlagt beskyttelsesflaten, må sikkerhets- og IT-teamene identifisere kontroller som allerede er på plass. Er de distribuert på det mest passende stedet? Bør de omdistribueres, få et nytt formål eller erstattes?

Moderniser arkitekturen og utnytt nye verktøy for nettsikkerhet:

Etter å ha identifisert den oppdaterte beskyttelsesflaten og det nåværende settet med verktøy for nettsikkerhet, hva må en organisasjon bruke for å fylle hullene eller erstatte utdaterte verktøy?

Eksempler på verktøy som brukes som en del av en modernisering av nulltillit inkluderer nettverksmikrosegmentering og sikre tilgangskontroller for apper og data ved hjelp av enkel pålogging og flerfaktorautentisering. For å identifisere nye trusler kan nye avanserte trusselbeskyttelsesverktøy, mange støttet av AI, presse sikkerhetspolicyer dit de trengs på tvers av beskyttelsestjenesten.

Bruk detaljert nulltillitspolicy:

Etter å ha satt de nødvendige teknologiene på plass, må sikkerhetsadministratorer lage et strengt sett med standarder basert på «minst mulig privilegier» som bare tillater tilgang når det er absolutt nødvendig. Disse retningslinjene for minste privilegier beskriver nøyaktig hvilke brukere og enheter som skal ha tilgang til hvilke applikasjoner og tjenester, hvilke applikasjoner som skal ha tilgang til hvilke data, og når den tilgangen er tillatt.

Etter at disse retningslinjene er bygget, kan administratorer konfigurere enheter og verktøy slik at de overholder de foreskrevne retningslinjene.

Kontinuerlig overvåking og varsler:

Selv med et rammeverk med null tillit på plass, er ingenting helt sikkert. IT-sikkerhetsteam må bruke overvåkings- og varslingsverktøy for å fastslå om retningslinjene fungerer, og om det finnes sprekker i det eksisterende sikkerhetsrammeverket som risikerer å bli utnyttet.

Når ondsinnet aktivitet oppstår, må teamet umiddelbart stoppe aktiviteten og utføre rotårsaksanalyse for å identifisere årsaken og fikse feilene som skapte sårbarheten. Moderne sikkerhetsverktøy som nettverksdeteksjon og -respons kan automatisere mye av denne aktiviteten, noe som reduserer tids- og personellinvesteringen som trengs.

Utfordringer med å oppnå nulltillit

Selv om en nulltillitssikkerhetsmodell kan gi betydelig avkastning, er den vanskelig å implementere fullt ut. Ifølge Gartner® har mange organisasjoner implementert en nulltillitssikkerhetsmodell som en del av sin cybersikkerhetsstrategi, men «bare 1 % av organisasjonene har for øyeblikket et modent program som oppfyller definisjonen av nulltillit».

De kritiske utfordringene for å oppnå full implementering av en nulltillitsarkitektur slik den er definert av Gartner inkluderer:

• Selv en liten feil i systemarkitekturen kan ugyldiggjøre nulltillitsmodellen.
• Det finnes ikke et universelt produkt som muliggjør nulltillit; snarere må hver organisasjon bestemme kombinasjonen av løsninger og praksiser som fungerer sammen med IT-infrastrukturen og arkitekturen for å oppnå nulltillit.
• Organisasjoner som er avhengige av eldre bedriftssystemer og -teknologi kan ikke tilpasse seg en nulltillitsmodell på grunn av utdatert infrastruktur.
• Å innføre nulltillit krever en umiddelbar økning i antall applikasjoner, brukere og enheter som må overvåkes, nøye overholdelse av programvare- og maskinvareoppdateringer og vedlikehold, og regelmessige revisjoner. Mange organisasjoner har ikke de ansatte, ekspertisen eller budsjettet som kreves for full implementering.
• Som nevnt ovenfor, kan ikke en organisasjon bare implementere nulltillit og «kalle at det er bra». For å implementere nulltillit må IT følge en kontinuerlig prosessmodell som går gjennom prinsippene ovenfor, og deretter starte på nytt – noe som krever ustanselig fokus som er vanskelig å opprettholde over tid.
• Nulltillitsmodellen må kontinuerlig utvikles for å imøtekomme hvordan trusler, teknologi og forretningsmål og praksis endrer seg over tid. Som et eksempel på hvor raskt modellen kan endre seg, kan man merke seg at det amerikanske byrået for cybersikkerhet og infrastruktursikkerhet (CISA) ga ut sitt første referansedokument for nulltillitsmodenhetsmodellen i august 2021, publiserte en revisjon i mars 2022 og publiserte en andre revisjon i april 2023.

For mange organisasjoner grenser full implementering av nulltillitsarkitektur slik den er definert av Gartner til umulig på grunn av kostnadene, innsatsen og omveltningen som kreves for å oppnå det. For eksempel kan en bedriftsorganisasjon være avhengig av en eller flere forretningskritiske eldre applikasjoner, systemer eller teknologier for å drive virksomheten, og ikke være i stand til å fortsette å fungere uten den eldre investeringen. En Windows-ISV har kanskje ikke tid, båndbredde eller personell til å sikre Windows-applikasjonssikkerhet ved å omskrive applikasjonen til en nettbasert applikasjon for å aktivere SSO, eller være motvillig til potensielt å fremmedgjøre kunder som elsker og er avhengige av applikasjonen slik den er ved å erstatte den med en nettapp.

Det er imidlertid absolutt mulig å oppnå en betydelig prosentandel av samsvar med nulltillitsmodellen. Go-Global kan hjelpe.

Hvordan GO-Global støtter nulltillitsmodellen

Windows-ISV-er kan bruke GO-Global til å tilpasse seg nulltillitsmodellen på flere områder:

Beskytt overflaten/nettverket

GO-Global sesjonsprotokoll:

Grunnlaget for GO-Global er en proprietær protokoll med lav båndbredde for tilkobling over serielle linjer kalt RapidX Protocol (RXP). RXP er adaptiv, bruker flere lag med komprimering og er optimalisert for å sikre lavest mulig båndbreddeutnyttelse. Fordi RXP er lukket kildekode, tilbyr den ekstra forsvar mot angripere, sammenlignet med protokoller med åpen kildekode som Microsoft® RDP, hvor sikkerhetssvakheter har blitt funnet og utnyttet.

Kryptering av klientøkt:

Som standard krypterer GO-Global økter ved hjelp av DES (DataEncryption Standard) med 56-bits nøkkelstyrke for alle klientøkttilkoblinger for å beskytte mot grunnleggende pakkesniffere og klienter som avlytter rådatakommunikasjon. Det er raskt, pålitelig og tilbyr et umiddelbart sikkerhetsnivå for LAN-baserte tilkoblinger via GO-Global.

For internettkommunikasjon tilbyr GO-Global TLS-basert transport med følgende krypteringsalgoritmer: 128-bit RC4, 168-bit 3DES og 256-bit AES. Disse høyere krypteringsalgoritmene krever at administratoren bruker et signert TLS-sertifikat på verten, som kan genereres ved hjelp av en hvilken som helst standard sertifiseringsinstans. Administratorer kan også generere klarerte TLS-sertifikater for GO-Global-verter via fanen Sikkerhet i dialogboksen Vertsalternativer i administrasjonskonsollen, der GO-Global-verten har en offentlig registrert DNS-adresse. Dette lar administratorer aktivere sterk kryptering og TLS-sikkerhet uten å kjøpe et sertifikat fra en tredjeparts sertifiseringsinstans.

Proxy-servertunneling:

GO-Global støtter Proxy Server Tunneling, også kjent som HTTP Connect. Dette lar en bruker som har tilgang til internett via en web-proxyserver koble seg til GO-Global Hosts på internett. Når du bruker en proxy-server, må du huske at all trafikk som standard nektes på alle vertsporter, så GO-Global Host bør konfigureres til å bare godta tilkoblinger på port 443.

Integrert Windows-autentisering:

Administratorer kan forbedre nettverkssikkerheten til GO-Global-sluttbrukere ved å deaktivere standardautentisering (spør om brukernavn og passord) og aktivere integrert Windows-autentisering i fanen Autentisering i dialogboksen Vertsalternativer i administrasjonskonsollen. Med denne konfigurasjonen nektes alle ikke-Windows-klienter tilgang til GO-Global Hosts, så GO-Global-sluttbrukere må logge på sine Windows-klientoperativsystemer med en Active Directory-konto som GO-Global Host stoler på. I tillegg har ikke brukerkontoer som er lokale for GO-Global Host tilgang. Brukeren autentiseres som medlem av NETTVERKSgruppen, og tilgangen til nettverksressurser fra GO-Global Host er begrenset.

Beskytt Surface/bruker- og enhetstilgang

Som nevnt ovenfor, forutsetter nulltillit at interne og eksterne nettverk potensielt er kompromittert, og at ingen bruker eller enhet automatisk skal være klarert. Nulltillit dikterer at verifisering , autentisering og autorisasjon av brukere og deres enheter må brukes for at brukere skal kunne logge inn og samhandle med IT-systemet, applikasjoner og data.

Slik er hvert konsept definert i en nulltillitsarkitektur.

Verifisering er prosessen med å bekrefte nøyaktigheten av en påstand – for eksempel en brukers identitet. Når en bruker oppgir et navn og passord, bekrefter systemet at brukernavnet og passordet er knyttet til en bestemt konto.

Autentisering er å gi bevis på identitet når man får tilgang til et system. Før nulltillit var autentisering vanligvis så grunnleggende som brukernavn og passord. Med nulltillit går autentisering utover brukernavn og passord og inkluderer flerfaktorautentisering (MFA), engangspassord, PIN-koder, smartkort og biometri.

Autorisasjon bestemmer en brukers tilgangsrettigheter, dvs. hva en bruker eller enhet har tilgang til eller kan gjøre i systemet; for eksempel hvilke applikasjoner en bruker har tillatelse til å åpne og bruke.

Enkel pålogging (SSO) og flerfaktorautentisering (MFA) brukes oftest når man aktiverer bruker- og enhetstilgang i en nulltillitsarkitektur. GO-Global muliggjør begge deler.

GO-Global tofaktorautentisering er en avansert autentiseringsfunksjon som gir et ekstra lag med sikkerhet ved å kreve at brukere oppgir en 6-sifret kode fra en autentiseringsapp for smarttelefoner (for eksempel Google Authenticator, Authy og Microsoft Authenticator), i tillegg til brukernavn og passord. Dette sikrer at selv om en brukers passord er kompromittert, vil angriperen fortsatt ikke kunne få tilgang til vertssystemet uten tilgang til brukerens ulåste telefon. Dette gjør brute force og ordbokpassordsøk ubrukelige, noe som er spesielt kritisk. Fjernarbeid med sårbare eksterne skrivebordsklienter blir normen. 2FA reduserer også byrden ved å tvinge frem en kompleks passordpolicy.

GO-Global+ SSO: GO-Globals støtte for OpenID Connect lar Windows ISV-er bruke moderne identitetsleverandører som Okta™, OneLogin, Microsoft Active Directory Federated Services (ADFS) og Microsoft Azure® AD Seamless SSO for å muliggjøre enkel pålogging til GO-Global® Windows-verter.

GO-Global lar IT integrere enhver identitetsleverandør som støtter OpenID Connect direkte i vertene sine, slik at de kan dele Windows-verter blant brukerne de allerede autentiserer for webapplikasjoner. GO-Globals støtte for OpenID Connect eliminerer behovet for domenekontrollere på bedriftsnettverket, for tilpassede legitimasjonsleverandører for sterk autentisering og for interaktive pålogginger.

Uten GO-Global måtte Windows-ISV-er som ønsker å legge til SSO, kjøpe dyre og komplekse løsninger som Citrix NetScaler® Unified Gateway integrert med Citrix Hypervisor®.

Beskytt overflate-/applikasjonssikkerhet

GO-Global installerer eller vedlikeholder ikke sin egen bruker- eller applikasjonsdatabase. I stedet arver den alle aspekter av bruker- og datasikkerhet fra operativsystemet Windows Server®. Sikkerhetsinnstillinger for brukeren og applikasjonen konfigureres på Windows® OS-nivå og sendes til GO-Global under påloggingsprosessen.

I tillegg respekteres Windows-filer, mapper, delinger, skrivere og registertillatelser av GO-Global, og de er sentrale for sikkerheten til ethvert Windows-system. Med mindre sluttbrukere får administratorrettigheter eller forhøyede rettigheter, vil de ikke kunne få tilgang til systemmapper, ødelegge eller ødelegge serveren eller på annen måte forårsake sikkerhetstrusler.

GO-Global anbefaler å bruke Windows-gruppepolicyer for alle sikkerhetsinnstillinger på systemsiden, spesielt i en belastningsbalansert serverfarm, for å sikre konsistens på tvers av alle verter.

Anvendelse av detaljert nulltillitspolicy

Grunnleggende installasjon og standardinnstillinger: GO-Global installeres enkelt ved hjelp av en enkelt kjørbar installasjonsfil på verten som enten installerer eller oppgraderer GO-Global-programvaren. Når installasjonen er fullført, må verten startes på nytt for å initialisere registerinnstillingene og aktivere GO-Global-programvaren og driverne.

Alle GO-Global-konfigurasjonsalternativer som muliggjør deling av server- eller klientressurser er utformet slik at de er deaktivert. I tillegg publiserer ingen standardapplikasjoner i GO-Global. GO-Global Host-konfigurasjon, administrasjon og sikkerhetsrelaterte funksjoner er tilgjengelige via administrasjonskonsollen under menyen Vertsalternativer. Administratorer kan publisere applikasjoner, overvåke bruker- og vertsaktivitet og aktivere funksjoner som klientutskrift, klientutklippstavle, kryptering og autentisering ved hjelp av denne menyen.

Hvis du er en Windows-ISV som ser etter løsninger for å muliggjøre en nulltillitsarkitektur for å levere applikasjonene dine til kunder, bør du vurdere GO-Global og deres flerlags sikkerhetssystem, inkludert SSO og MFA.

For å se GO-Globals priser for samtidige brukere med SSO, og beregne din estimerte GO-Global-pris, klikk her .

For å be om en demo, klikk her ; for en gratis 30-dagers prøveversjon av GO-Global, klikk her .

‍