Zero Trust, Windows Application Security och GO-Global

Termen "Zero Trust" myntades 2010 av Forrester™ Research-analytikern John Kindervag för att beskriva en ny, betydligt striktare strategi för kontroll av användaråtkomst och cybersäkerhet än vad som då var allmän praxis. Termen härstammar från ett ryskt ordspråk "lita på, men verifiera", som Ronald Reagan använde och ofta upprepade under sin tid som president.

Säkerhetsmodellen "zero trust" är ett tillvägagångssätt för strategi, design och implementering av IT-system. Precis som i ordspråket är grunden för nollförtroende att användare och enheter inte ska vara betrodda som standard, oavsett plats eller tidigare betrodda relationer.

Termen användes för första gången 2010, men det tog ett decennium innan Zero Trust Computing-arkitekturer fick företräde framför traditionella metoder för cybersäkerhet och användaråtkomst. När en användare eller enhet väl får tillgång till ett nätverk får de vanligtvis ett stort förtroende och breda åtkomsträttigheter.

Men i och med framväxten av molntjänster, spridningen av mobila enheter, ökningen av nätverkstyper och användarscenarierna "arbeta från var som helst" som blev allestädes närvarande under pandemin, visade sig det traditionella tillvägagångssättet tyvärr vara otillräckligt mot dagens avancerade hot.

Windows® ISV:er som levererar sina applikationer från molnet till kunder som befinner sig var som helst har arbetat med detta scenario i flera år. Men i takt med att attackerna har blivit mer sofistikerade och utbredda har det blivit superviktigt för Windows ISV:er att säkra sina applikationer, kunddata och infrastruktur för applikationsleverans. Här på GO-Global har vi sett en betydande ökning av Windows ISV: er som inkluderar GO-Global® som en del av ett nollförtroendeinitiativ för Windows applikationssäkerhet.

Vad ingår i ett initiativ för nolltolerans och hur kan GO-Global hjälpa till?

Principer för nollförtroende

Perimetersäkerhet var en gång i tiden fokus för en heltäckande IT-säkerhetsplan. Zero Trust identifierar dock 5 principer som IT måste anta som en del av sin strategi.

Skydda ytan:

Består av alla användare, enheter, applikationer, data, tjänster och det nätverk där känsliga företagsdata transporteras. På grund av pandemin är användarna nu mycket mer utspridda, så en organisations skyddsyta sträcker sig långt bortom företagets LAN.

Cybersäkerhetsverktyg i den här kategorin inkluderar de som går bortom nätverksgränsen för att komma så nära appar, data och enheter som möjligt, så att säkerhetsteamen kan identifiera och prioritera de appar, data, enheter och användare som behöver skyddas. Dessutom måste säkerhetsarkitekterna förstå var de kritiska resurserna finns och vem som ska ha tillgång till dem för att kunna implementera den lämpligaste lösningen.

Aktuella kontroller av cybersäkerhet:

Efter att ha kartlagt skyddsytan måste säkerhets- och IT-teamen identifiera de kontroller som redan finns på plats. Är de utplacerade på den mest lämpliga platsen? Bör de omfördelas, återanvändas eller ersättas?

Modernisera arkitekturen och utnyttja nya cybersäkerhetsverktyg:

Efter att ha identifierat den uppdaterade skyddsytan och den nuvarande uppsättningen cybersäkerhetsverktyg, vad behöver en organisation tillämpa för att fylla i luckorna eller ersätta föråldrade verktyg?

Exempel på verktyg som används som en del av en modernisering av zero trust är mikrosegmentering av nätverk och säker åtkomstkontroll för appar och data med hjälp av single sign-on och multifaktorautentisering. För att identifiera nya hot kan nya verktyg för avancerat hotskydd, många med stöd av AI, flytta säkerhetspolicyer dit de behövs i hela skyddstjänsten.

Tillämpa detaljerad policy för nollförtroende:

Efter att ha infört nödvändig teknik måste säkerhetsadministratörerna skapa en strikt uppsättning standarder baserade på "minsta möjliga privilegier" som endast ger åtkomst när det är absolut nödvändigt. Dessa "least privilege"-policyer beskriver exakt vilka användare och enheter som ska ha tillgång till vilka applikationer och tjänster, vilka applikationer som ska ha tillgång till vilka data och när denna tillgång ska tillåtas.

När dessa policyer har skapats kan administratörer konfigurera enheter och verktyg så att de följer de föreskrivna policyerna.

Kontinuerlig övervakning och varningar:

Även med ett ramverk för nollförtroende på plats är ingenting helt säkert. IT-säkerhetsteamen måste använda övervaknings- och varningsverktyg för att fastställa om policyerna fungerar och om det befintliga säkerhetsramverket har utvecklat sprickor som riskerar att utnyttjas.

När skadlig aktivitet inträffar måste teamet omedelbart stoppa aktiviteten och genomföra en grundorsaksanalys för att identifiera orsaken och åtgärda de brister som skapade sårbarheten. Moderna säkerhetsverktyg som Network Detection and Response kan automatisera en stor del av denna aktivitet, vilket minskar den tid och de personalinvesteringar som krävs.

Utmaningar för att uppnå noll förtroende

Även om en säkerhetsmodell med nollförtroende kan ge betydande avkastning på investeringen är den svår att implementera fullt ut. Enligt Gartner® har många organisationer implementerat en säkerhetsmodell med nollförtroende som en del av sin cybersäkerhetsstrategi, men "endast 1 % av organisationerna har för närvarande ett moget program som uppfyller definitionen av nollförtroende".

De kritiska utmaningarna för att uppnå en fullständig implementering av en arkitektur med nollförtroende enligt Gartners definition är bland annat

• Även ett litet fel i systemarkitekturen kan göra nollförtroendemodellen ogiltig.
• Det finns ingen produkt som passar alla och som möjliggör nolltolerans, utan varje organisation måste fastställa vilken kombination av lösningar och metoder som fungerar med dess IT-infrastruktur och arkitektur för att uppnå nolltolerans.
• Organisationer som förlitar sig på äldre företagssystem och teknik kan inte anpassa sig till en nolltillitsmodell på grund av föråldrad infrastruktur.
• För att införa "zero trust" krävs en omedelbar ökning av antalet applikationer, användare och enheter som måste övervakas, noggrann efterlevnad av uppdateringar och underhåll av programvara och maskinvara samt regelbundna revisioner. Många organisationer har inte den personal, expertis eller budget som krävs för en fullständig implementering.
• Som nämnts ovan kan en organisation inte bara implementera nollförtroende och "kalla det bra". För att implementera nollförtroende måste IT-avdelningen följa en kontinuerlig processmodell som går igenom de principer som anges ovan och sedan börjar om igen - vilket kräver ett obevekligt fokus som är svårt att upprätthålla över tid.
• Zero Trust-modellen måste kontinuerligt utvecklas för att tillgodose hur hot, teknik och affärsmål och -metoder förändras över tid. Som ett exempel på hur snabbt modellen kan förändras kan nämnas att U.S. Cybersecurity and Infrastructure Security Agency (CISA) släppte sitt första referensdokument för Zero Trust Maturity Model i augusti 2021, publicerade en revidering i mars 2022 och publicerade en andra revidering i april 2023.

För många organisationer är det nästan omöjligt att fullt ut implementera en arkitektur med nollförtroende enligt Gartners definition på grund av de kostnader, ansträngningar och omvälvningar som krävs för att uppnå detta. En företagsorganisation kan till exempel vara beroende av en eller flera affärskritiska äldre applikationer, system eller tekniker för att driva verksamheten och kan inte fortsätta att fungera utan denna äldre investering. En Windows ISV kanske inte har tid, bandbredd eller personal för att säkerställa Windows-applikationens säkerhet genom att skriva om den applikationen som en webbaserad applikation för att möjliggöra SSO, eller är ovillig att potentiellt alienera kunder som älskar och är beroende av applikationen som den är genom att ersätta den med en webbapp.

Men det är absolut möjligt att uppnå en betydande andel efterlevnad med zero trust-modellen. Go-Global kan hjälpa till.

Hur GO-Global stödjer Zero Trust-modellen

Windows ISV:er kan utnyttja GO-Global för att anpassa sig till nollförtroendemodellen på flera områden:

Skydda yta/nätverk

GO-Global Session Protocol:

Grunden för GO-Global är ett egenutvecklat protokoll med låg bandbredd för anslutning via seriella linjer som kallas RapidX Protocol (RXP). RXP är adaptivt, använder flera lager av komprimering och är optimerat för att säkerställa lägsta möjliga bandbreddsutnyttjande. Eftersom RXP är en sluten källkod erbjuder det ytterligare skydd mot angripare, jämfört med protokoll med öppen källkod som Microsoft® RDP, där säkerhetsbrister har upptäckts och utnyttjats.

Kryptering av klientsession:

Som standard krypterar GO-Global sessioner med DES (DataEncryption Standard) med 56-bitars nyckelstyrka för alla klientsessionsanslutningar för att skydda mot grundläggande paketsniffare och klienter som snappar upp rådatakommunikation. Det är snabbt, tillförlitligt och ger en omedelbar säkerhetsnivå för LAN-baserade anslutningar via GO-Global.

För internetkommunikation erbjuder GO-Global TLS-baserad transport med följande krypteringsalgoritmer: 128-bitars RC4, 168-bitars 3DES och 256-bitars AES. Dessa högre krypteringsalgoritmer kräver att administratören tillämpar ett signerat TLS-certifikat på värden, vilket kan genereras med hjälp av en standardcertifikatutfärdare. Administratörer kan också generera betrodda TLS-certifikat för GO-Global-värdar via fliken Säkerhet i dialogrutan Värdalternativ i Admin Console, där GO-Global-värden har en offentligt registrerad DNS-adress. Detta gör att administratörer kan aktivera stark kryptering och TLS-säkerhet utan att köpa ett certifikat från en certifikatutfärdare från tredje part.

Proxyserver-tunnling:

GO-Global stöder Proxy Server Tunneling, även känd som HTTP Connect. Detta gör att en användare som kommer åt internet via en webbproxyserver kan ansluta till GO-Global-värdar på internet. När du använder en proxyserver ska du komma ihåg att all trafik som standard nekas på alla värdportar, så GO-Global-värden bör konfigureras så att den endast accepterar anslutningar på port 443.

Integrerad Windows-autentisering:

Administratörer kan förbättra GO-Global-slutanvändarnas nätverkssäkerhet genom att inaktivera Standardautentisering (fråga efter användarnamn och lösenord) och aktivera Integrerad Windows-autentisering på fliken Autentisering i dialogrutan Värdalternativ i adminkonsolen. Med den här konfigurationen nekas alla icke-Windows-klienter åtkomst till GO-Global-värdar, så GO-Global-slutanvändare måste logga in på sina Windows-klientoperativsystem med ett Active Directory-konto som GO-Global-värden litar på. Dessutom tillåts inte användarkonton som är lokala för GO-Global Host åtkomst. Användaren autentiseras som medlem i gruppen NETWORK och åtkomsten till nätverksresurser från GO-Global Host begränsas.

Skydda åtkomst till ytor/användare och enheter

Som nämnts ovan förutsätter nollförtroende att interna och externa nätverk kan vara komprometterade och att ingen användare eller enhet automatiskt ska vara betrodd. Nolltolerans innebär att verifiering, autentisering och auktorisering av användare och deras enheter måste tillämpas för att användare ska kunna logga in och använda IT-system, applikationer och data.

Så här definieras varje begrepp i en arkitektur som bygger på nollförtroende.

Verifiering är en process där man bekräftar att ett påstående är korrekt, t.ex. en användares identitet. När en användare anger ett namn och ett lösenord verifierar systemet att användarnamnet och lösenordet är kopplade till ett visst konto.

Autentisering är att styrka sin identitet vid åtkomst till ett system. Före nollförtroende var autentisering vanligtvis så grundläggande som ett användarnamn och lösenord. Med nollförtroende går autentiseringen utöver användarnamn och lösenord och omfattar multifaktorautentisering (MFA), engångslösenord, PIN-koder, smarta kort och biometri.

Auktorisering fastställer en användares åtkomsträttigheter, dvs. vad en användare eller enhet har rätt att komma åt eller göra i systemet, t.ex. vilka applikationer en användare har rätt att öppna och använda.

Single sign-on (SSO) och multifaktorautentisering (MFA) används oftast för att möjliggöra åtkomst för användare och enheter i en arkitektur med nollförtroende. GO-Global möjliggör både och.

GO-Global Two-Factor Authentication är en avancerad autentiseringsfunktion som ger ett extra säkerhetslager genom att användare måste ange en sexsiffrig kod från en app för autentisering av smarta telefoner (t.ex. Google Authenticator, Authy och Microsoft Authenticator), utöver användarnamn och lösenord. Detta säkerställer att även om en användares lösenord äventyras, kommer angriparen ändå inte att kunna komma åt värdsystemet utan tillgång till användarens olåsta telefon. Detta gör brute force- och ordbokslösenordssökningar värdelösa, vilket är särskilt kritiskt när fjärrarbete med sårbara fjärrskrivbordsklienter blir normen. 2FA minskar också bördan av att tvinga fram en komplex lösenordspolicy.

GO-Global+ SSO: GO-Globals stöd för OpenID Connect gör det möjligt för Windows ISV:er att använda moderna identitetsleverantörer som Okta™, OneLogin, Microsoft Active Directory Federated Services (ADFS) och Microsoft Azure® AD Seamless SSO för att möjliggöra enkel inloggning på GO-Global® Windows-värdar.

GO-Global gör det möjligt för IT-avdelningen att integrera alla identitetsleverantörer som stöder OpenID Connect direkt i sina värddatorer, så att de kan dela Windows-värddatorer med de användare som de redan autentiserar för webbapplikationer. GO-Globals stöd för OpenID Connect eliminerar behovet av domänkontrollanter i företagsnätverket, av anpassade legitimationsleverantörer för stark autentisering och av interaktiva inloggningar.

Utan GO-Global skulle Windows ISV:er som vill lägga till SSO behöva köpa dyra och komplexa lösningar som Citrix NetScaler® Unified Gateway integrerad med Citrix Hypervisor®.

Skydda ytan/Applikationssäkerhet

GO-Global installerar eller underhåller inte sin egen användar- eller applikationsdatabas. Istället ärvs alla aspekter av användar- och datasäkerhet från operativsystemet Windows Server®. Säkerhetsinställningar för användare och applikationer konfigureras på Windows® OS-nivå och överförs till GO-Global under inloggningsprocessen.

Dessutom respekteras Windows fil-, mapp-, delnings-, skrivar- och registerbehörigheter av GO-Global och är centrala för säkerheten i alla Windows-system. Om inte slutanvändare ges administratörsbehörighet eller utökade behörigheter kan de inte komma åt systemmappar, skada eller förstöra servern eller på annat sätt orsaka säkerhetshot.

GO-Global rekommenderar att du använder Windows Group Policies för alla säkerhetsinställningar på systemsidan, särskilt i en lastbalanserad serverpark, för att säkerställa enhetlighet mellan alla värdar.

Tillämpning av detaljerad policy för nollförtroende

Grundläggande installation och standardinställningar: GO-Global installeras enkelt med hjälp av en enda körbar installationsprogramvara på värden som antingen installerar eller uppgraderar GO-Global-programvaran. När installationen är klar måste värden startas om för att initiera registerinställningarna och för att aktivera GO-Global-programvaran och drivrutinerna.

Alla konfigurationsalternativ för GO-Global som möjliggör delning av server- eller klientresurser är inaktiverade. Dessutom publicerar GO-Global inga standardprogram. Konfigurations-, hanterings- och säkerhetsrelaterade funktioner för GO-Global Host nås via Admin Console under menyn Host Options. Administratörer kan publicera program, övervaka användar- och värdaktivitet och aktivera funktioner som klientutskrift, klientens urklipp, kryptering och autentisering med hjälp av den här menyn.

Om du är en Windows ISV som letar efter lösningar för att möjliggöra en nollförtroendearkitektur för att tillhandahålla dina applikationer till kunder, överväga GO-Global och dess säkerhetssystem med flera lager, inklusive SSO och MFA.

För att se GO-Globals prissättning för samtidiga användare med SSO och beräkna din uppskattade GO-Global-prissättning, klicka här.

För att begära en demo, klicka här; för en kostnadsfri 30-dagars GO-Global-testversion, klicka här.

‍