5 ข้อหลัก Zero Trust ต้องไม่เชื่อและตรวจสอบก่อนเสมอ

วิโรจน์ จ้อยประเสริฐ

วิโรจน์ จ้อยประเสริฐ ทีมงานที่ดูแลด้านอุปกรณ์ Network Security

ความปลอดภัยแบบ Zero-Trust เป็นแนวคิดที่ว่า Never trust, Always verify อย่าเชื่ออะไรโดยที่ยังไม่มีการตรวจสอบ นั่นก็คือ ทุกสิ่งทุกอย่าง ไม่ว่าจะเป็นบุคคล ระบบ หรืออุปกรณ์ใด ๆ ทั้งที่มาจากภายในหรือภายนอกองค์กร ควรจะมีการตรวจสอบอยู่เสมอ

หากย้อนไปในยุคไอทีปี 2010, John Kindervag แห่ง Forrester ในช่วงปี 2010 เป็นผู้ริเริ่มแนวคิดนี้แล้วนำมาประยุกต์กับการทำงาน โดยการจัดเก็บข้อมูลบนอินเทอร์เน็ตขององค์กรต้องยืนยันตัวตนก่อนเข้าถึงข้อมูลได้ ซึ่ง John ใช้คำว่า Zero-Trust ที่พิจารณา Network Topology เป็นการพิสูจน์ตัวตนของผู้ใช้งานและอุปกรณ์ในเน็ตเวิร์ค โดยแนวคิดการรักษาความปลอดภัยตามยุคไอที 2010 มีทั้งหมด 3 กลุ่ม คือ

  1. ผู้ใช้งาน
  2. อุปกรณ์
  3. แอปพลิเคชัน

เป้าหมายคือ เพิ่มความแข็งแกร่งให้กับระบบเครือข่ายและให้สิทธิ์การเข้าถึงข้อมูลขององค์กรได้อย่างสมบูรณ์ เช่น การใช้งาน VPN และ การควบคุมการเข้าถึงเครือข่ายด้วย Network Access Control (NAC) ฯลฯ

ต่อมาในภายหลัง Google ได้ประยุกต์แนวคิดนี้ใหม่ เพื่อให้สอดคล้องกับโลกไอทีในปัจจุบัน เพราะการพัฒนาของระบบไอที ทำให้องค์กรไม่จำเป็นต้องเก็บข้อมูลไว้ที่เดียวอีกต่อไป แต่ปรับเปลี่ยนมาจัดเก็บในรูปแบบ Cloud หรือ SaaS แทน ทำให้การป้องกันแบบเดิมอาจจะไม่ได้ผล

ภาพจาก : https://threatpost.com/practical-guide-zero-trust-security/

รวมถึงองค์กรเองก็ไม่สามารถควบคุมการเข้าถึงอุปกรณ์ได้ทุกอย่างได้ เพราะพนักงาน หรือผู้ใช้งานทั่วไปสามารถเข้าถึงแอปพลิเคชัน/ระบบ ได้ทุกประเภท เช่น software-as-a-service, on-premise , native, virtual และยังนำไปใช้งานบนอุปกรณ์ทุกประเภท (มือถือ, เดสก์ท็อป, IoT) จึงทำให้ Google คิดวิธีเพิ่มการรักษาความปลอดภัยในปัจจุบันมาทั้งหมด 5 รูปแบบ ดังนี้

1. ความน่าเชื่อถือของอุปกรณ์

ผู้ดูแลระบบไอทีองค์กรนั้น จะต้องมีข้อมูลอุปกรณ์ทั้งหมดของบริษัท เช่น ข้อมูลผู้ใช้งาน ฮาร์ดแวร์ ซอฟต์แวร์ แพทซ์ ระบบปฏิบัติการ รวมถึงมีโซลูชันที่ตรวจสอบจัดการและควบคุมอุปกรณ์เหล่านี้ได้ โดยสามารถตรวจสอบว่าอุปกรณ์มีความน่าเชื่อถือหรือไม่ และเป็นไปตามข้อกำหนดนโยบายความปลอดภัยที่กำหนดไว้ล่วงหน้าหรือไม่

ซึ่งการใช้ โซลูชันการจัดการปลายทาง unified endpoint management (UEM) แบบครบวงจรช่วยให้ผู้ดูแลระบบสามารถจัดการตรวจสอบและควบคุมอุปกรณ์ทั้งหมด เช่น มือถือ เดสก์ท็อป แล็ปท็อป และ อุปกรณ์ IoT ต่าง ๆ ได้ในทุกแพลตฟอร์มจากอุปกรณ์ควบคุมของ ผู้ดูแลระบบเพียงเครื่องเดียว อีกทั้งการบูรณาการเทคโนโลยีการตรวจจับปลายทางและการตอบสนอง (EDR) ต้องมีความสามารถปรับปรุงการรักษาความปลอดภัย การตรวจหาการกระทำต่อระบบต่าง ๆ ที่มีจุดประสงค์ที่เป็นอันตรายได้

2. ความน่าเชื่อถือของผู้ใช้

การพิสูจน์ตัวตนโดยใช้รหัสผ่านเพียงอย่างเดียว ได้รับการพิสูจน์แล้วว่าไม่มีประสิทธิภาพเพียงพอ ดังนั้น องค์กรต้องใช้วิธีการตรวจสอบผู้ใช้งานให้มีความปลอดภัยมากยิ่งขึ้น เช่น การใช้ Biometric หรือการใช้ Certificate หรือ การการยืนยันตนแบบหลายปัจจัย (MFA) นโยบายการเข้าถึงตามเงื่อนไข (conditional-access policies) และ การให้คะแนนความเสี่ยงแบบไดนามิก (dynamic risk scoring) เป็นต้น

3. Transport / Session Trust

องค์ประกอบที่สำคัญอีกอย่างหนึ่งของ Zero trust คือการเข้าถึงให้น้อยที่สุด แนวคิดคือผู้ใช้งานหรือระบบควรมีสิทธิ์เข้าถึงทรัพยากรที่จำเป็นสำหรับการทำงานโดยเฉพาะเท่านั้น ต้องไม่มากหรือไม่น้อยเกินไป

โดยใช้หลักการเข้าถึงทรัพยากรอย่างจำกัด การเข้าถึงผู้ใช้และให้สิทธิ์ขั้นต่ำที่จำเป็นในการทำงาน ใช้เทคโนโลยีในการสร้างบล็อคเพื่อจำกัดสิทธิการใช้งานให้น้อยที่สุด ตัวอย่างเช่น ช่องสัญญาณในการเชื่อมต่อแอป ช่วยให้แอปพลิเคชันบางตัวสามารถเข้าถึงทรัพยากรภายในได้แบบแอปต่อแอป ไม่เกินขอบเขตนั้นไป

4. ความน่าเชื่อถือของแอปพลิเคชัน

ช่วยให้พนักงานสามารถเข้าถึงแอปพลิเคชันต่าง ๆ รวมถึงแอปพลิเคชัน Windows แบบดั้งเดิมได้อย่างปลอดภัยจากอุปกรณ์ใด ๆ เป็นกุญแจสำคัญในการสร้างพื้นที่ทำงานดิจิทัล ด้วยความทันสมัยของการตรวจสอบผู้ใช้งาน ที่ช่วยให้การลงชื่อเพียงครั้งเดียว หรือที่เรียกกันอย่างคุ้นปากว่า Single Sign On (SSO) กับแอปพลิเคชันทำให้เราได้รับความปลอดภัยและประสบการณ์ผู้ใช้ที่ดีขึ้น

สำหรับแอปพลิเคชันทั่วไปที่ไม่ได้รับการออกแบบมาสำหรับ Zero trust เราสามารถเพิ่มการป้องกันในรูปแบบของการแยก เพื่อที่จะแยกและทำให้แอปพลิเคชันแบบดั้งเดิมมีความทันสมัย สามารถใช้เดสก์ท็อปเสมือนหรือสภาพแวดล้อมของแอปพลิเคชันเพื่อสร้างสะพานเชื่อมระหว่างสถาปัตยกรรมแบบดั้งเดิมและอนาคตโดยยึดตาม Zero Trust

5. Data Trust

ข้อมูลเป็นสิ่งที่มีความสำคัญสูงสุด และเหตุผลทั้งหมดที่เราต้องการความปลอดภัยที่แข็งแกร่งมากพอก็เพราะเราต้องป้องกันการรั่วไหลของข้อมูลนั้นเอง และตรวจสอบให้แน่ใจว่าเป็นข้อมูลที่ถูกต้องและไม่ได้ถูกแก้ไขระหว่างผู้ใช้ของเรากำลังส่งข้อมูลโต้ตอบกัน และด้วยเทคโนโลยีต่าง ๆ เช่น การป้องกันการสูญหายของข้อมูล (DLP) จะช่วยให้มั่นใจในการคัดกรองข้อมูลที่ไม่ต้องการหรือการทำลายข้อมูลที่สำคัญ ที่จะทำการส่งออกไปภายนอกที่ระบบที่ไม่ได้รับอนุญาต แม้ว่าการจำแนกข้อมูลและความถูกต้องส่วนใหญ่จัดการโดยแอปพลิเคชันเอง แต่เราควรปรับปรุงระดับความเชื่อถือในทุกที่ที่เราสามารถทำได้ เมื่อต้องการสร้างสถาปัตยกรรมนี้

ภาพจาก : https://threatpost.com/practical-guide-zero-trust-security/

เมื่อมีการสร้างความน่าเชื่อถือในระบบต่าง ๆ แล้วการตัดสินใจที่จะอนุญาตหรือปฏิเสธการเข้าถึง ควรจะมีการตรวจสอบอย่างต่อเนื่องเสมอ หากมีการเปลี่ยนแปลงระดับความน่าเชื่อถือ ต้องสามารถทำได้ทันที นอกจากนี้นอกจากการสร้างความเชื่อมั่นใน 5 ข้อหลักข้างต้นแล้ว เราควรจะมีความสามารถในการตรวจสอบระบบเครือข่ายในเชิงลึก และการทำ Automation หรือ Orchestration ถือเป็นหัวใจที่สำคัญมากซึ่งจะมาช่วยลดภาระงานและความผิดพลาดที่จะเกิดขึ้นในการจัดการกับระบบ IT ที่จะต้องมีการเปลี่ยนแปลงอย่างรวดเร็วอยู่ตลอดเวลา

แปลและเรียบเรียงโดย วิโรจน์ จ้อยประเสริฐ
ที่มา :
https://threatpost.com/practical-guide-zero-trust-security/151912/
https://www.techtalkthai.com/zero-trust-concept-and-how-to-in-practical-by-cisco/

เขียนโดย : วิโรจน์ จ้อยประเสริฐ

วิโรจน์ จ้อยประเสริฐ ทีมงานที่ดูแลด้านอุปกรณ์ Network Security

Tagged on:


เนื้อหาที่เกี่ยวข้อง

1. Cloud Security ความปลอดภัยบน Cloud Computing

2. วิธีปิดการแสดงผล Follow info ของแอปพลิเคชัน LINE

3. New Normal กับ “ข้อมูลส่วนบุคคล” วิถีใหม่ที่ต้องให้ความสำคัญ

4. Next Generation Firewall กับ Web Application Firewall ต่างกันอย่างไร

5. เคล็ดลับ 10 ข้อ ในการเลือกและใช้เครื่องมือสื่อสารออนไลน์