Xác thực dựa trên rủi ro để áp dụng bảo mật Zero-Trust trong tổ chức của bạn

• Xác thực dựa trên rủi ro (Risk-based authentication) vừa nâng cao bảo mật và trải nghiệm người dùng bằng cách cho phép bạn xếp hạng các tài nguyên bạn muốn bảo vệ dựa trên mức độ rủi ro và kiểu người dùng. Điều này cho phép bạn tạo ra các quy tắc dành riêng cho cấu trúc bảo mật trong tổ chức của bạn, do đó cho phép linh hoạt hơn hoặc bảo vệ cao hơn khi cần thiết.
• Trong nội dung bài viết, chúng ta sẽ thảo luận về mối liên hệ mạnh mẽ giữa các chính sách rủi ro và áp dụng zero-trust cũng như cách xác thực đa yếu tố nằm ở lõi (core) của các phương pháp tiếp cận này bằng cách đưa công nghệ để bảo vệ danh tính người dùng và các ứng dụng Đám mây (cloud application).

1. Zero-Trust: Chiến lược bảo mật "mới"

Khái niệm Zero-Trust không phải là quá mới mẻ nữa, nó đã xuất hiện khoảng một thập kỷ. Nhưng sự phức tạp của cấu trúc kinh doanh ngày nay và sự gia tăng của chuyển đổi kỹ thuật số đang truyền cảm hứng cho các tổ chức thực hiện một cách tiếp cận bảo mật khác: Tạo ra các biện pháp kiểm soát dựa trên chính sách (policy-based) để cho phép truy cập an toàn bất kể bối cảnh hiện tại thay đổi như thế nào hay có nhiều đột phá hay không.

2. Zero-Trust là gì?

• Forrester Research Inc. lần đầu tiên phổ biến thuật ngữ “zero-trust” vào khoảng năm 2009. Tiền đề của nó tập trung vào một cách tiếp cận toàn diện hơn đối với bảo mật CNTT, nơi các tổ chức áp dụng các hạn chế mạnh hơn và định nghĩa lại kiểm soát truy cập. Mô hình bảo mật này giả định rằng Doanh nghiệp không nên có tùy chọn tin cậy mặc định cho bất kỳ thứ gì bên ngoài hoặc bên trong hệ thống mạng, hay nói cách khác là không có gì đáng tin cậy mặc dù có mối quan hệ kết nối với hệ thống mạng Doanh nghiệp.
• Theo đó, các Doanh nghiệp nên chặn kết nối hay chặn tất cả quyền truy cập cho đến khi mạng đã xác minh được danh người dùng/thiết bị và biết rằng họ được ủy quyền. Nghĩa là không có thiết bị nào và không ai có quyền truy cập cho đến khi chúng được xác thực và cần truy cập vào mạng vì một lý do hợp lệ. Để đạt được điều này, cần có một chiến lược chính sách bảo mật thích ứng, rõ ràng.

3. Nguyên tắc: “Never Trust, Always Verify”

• Xác định người dùng và thiết bị: Khi các công ty vật lộn với việc lực lượng lao động của họ chiếm ưu thế làm việc từ xa, việc đảm bảo quyền truy cập vào các công cụ nội bộ là một thách thức lớn. Điều cần thiết là bạn phải luôn biết ai và cái gì đang kết nối với mạng lưới kinh doanh.
• Cung cấp quyền truy cập an toàn: Trong khuôn khổ zero-trust, mục tiêu của quản lý truy cập là cung cấp phương tiện để quản lý tập trung quyền truy cập trên tất cả các hệ thống CNTT, đồng thời giới hạn quyền truy cập đó chỉ ở những người dùng, thiết bị và ứng dụng cụ thể. Các quyết định truy cập phải được thực hiện trong thời gian thực dựa trên các chính sách do doanh nghiệp định nghĩa và bối cảnh của yêu cầu truy cập.
• Giám sát liên tục: Luôn cập nhật các mối đe dọa yêu cầu bảo mật nâng cao, bền bỉ vượt xa phần mềm chống vi-rút truyền thống. Giám sát tình trạng an ninh và tình trạng của mạng cũng như tất cả các điểm cuối được quản lý bằng máy học và phát hiện dựa trên hành vi.

4. Tại sao Zero-Trust nên được triển khai cho tổ chức, doanh nghiệp?

• Lợi ích của việc áp dụng zero-trust bao gồm:
  • Hỗ trợ việc sử dụng Đám mây nhanh chóng và bảo mật người dùng, điều quan trọng trong bối cảnh ngày nay khi chúng ta thấy nhu cầu truy cập từ xa ngày càng tăng
  • Cải thiện khả năng hiển thị mạng, giúp chống lại zero day malware nâng cap
  • Giảm chi phí quản lý với bảo mật tập trung, ai lại không quan tâm đến bảo mật tốt hơn với chi phí thấp hơn?

5. Zero-Trust đối với doanh nghiệp của bạn có thể trông như thế nào

6. Tại sao phải xác thực dựa trên rủi ro (Risk-Based Authentication)?

• Xác thực người dùng là một cách tĩnh để xác minh danh tính của người dùng khi cố gắng truy cập tài nguyên được bảo vệ. Bạn có thể xác thực bằng xác thực đơn yếu tố (single factor - xác thực yếu) hoặc đa yếu tố (multiple factor - xác thực mạnh, được khuyến nghị).
• Trong một thế giới năng động, nơi mà tính di động của người dùng ảnh hưởng đến bảo mật gần như 100%, xác thực đa yếu tố đã trở thành điều bắt buộc và là chìa khóa để triển khai zero-trust network.

• Tại sao lại như vậy?

  • Người dùng đang kết nối với các tài nguyên của công ty từ các mạng khác nhau và không được bảo vệ
  • Giờ làm việc trở nên linh hoạt hơn, vì vậy họ có thể làm việc từ đầu giờ đến tối muộn
  • Các thiết bị có thể đã được chia sẻ với các thành viên khác trong gia đình
  • Điều này có nghĩa là những kẻ tấn công sẽ cố gắng khai thác thế giới mới này

• Các yếu tố rủi ro:

  • Bạn đang kết nối với mạng nào?
  • Máy tính của bạn có an toàn không?
  • Các thiết bị di động của bạn có an toàn không?
  • Vị trí hiện tại của bạn là gì?
  • Thiết bị và máy tính của bạn có được đặt ở cùng một nơi không?

Xác thực dựa trên rủi ro sẽ tính đến các yếu tố rủi ro khi thực hiện quyết định xác thực. Nó vượt ra ngoài xác thực tĩnh, cho phép quản trị viên tạo ra các quy tắc có thể sửa đổi hành vi xác thực, đôi khi làm cho nó dễ dàng hơn nếu rủi ro thấp; hoặc yêu cầu các bước bổ sung để đảm bảo đây là người dùng phù hợp và chặn quyền truy cập nếu rủi ro quá cao, ngay cả khi người dùng đã cung cấp đúng mật khẩu dùng một lần (one-time password-OTP).

7. Multi-Factor Authentication và Risk Intelligence: Quản lý người dùng được tối ưu hóa

• Các yếu tố rủi ro phổ biến có thể được thêm vào chính sách xác thực:

  • Vị trí kết nối (network location): Mạng công ty có thể có tất cả các biện pháp bảo mật vùng biên như: Firewall, secure Wi-Fi, phát hiện mối đe dọa... Do đó, ai đó được kết nối vật lý với mạng đó sẽ ít gây rủi ro hơn so với người ở văn phòng từ xa có ít biện pháp bảo mật hơn hoặc ai đó được kết nối thông qua văn phòng gia đình.
  • Rủi ro tù thiết bị di động: Thiết bị của người dùng đã bị xâm phạm sẽ gây ra rủi ro bảo mật cho công ty. Một cách mà thiết bị có thể dễ dàng bị xâm nhập là khi người dùng bẻ khóa thiết bị iOS hoặc root hệ điều hành Android, phá vỡ các biện pháp bảo mật của hệ điều hành. Một thiết bị dễ bị tấn công sẽ làm tăng rủi ro tổng thể và sẽ bị block hầu hết thời gian.
  • Rủi ro tù Endpoint/Máy tính: Giống như rủi ro thiết bị di động, rủi ro điểm cuối (endpoint) hoặc máy tính cũng có thể được sử dụng để đánh giá các biện pháp cần được thực hiện. Một người dùng với máy tính xách tay của riêng họ, với tất cả các biện pháp bảo vệ, sẽ có nguy cơ thấp. Cùng một người dùng cố gắng kết nối sau đó trong ngày, với một máy tính không xác định - có thể là một máy Linux có trình duyệt Tor - và rủi ro sẽ tăng lên rất nhiều.
  • Các chính sách về thời gian: Ngày và giờ có thể được sử dụng cho các mục đích khác nhau. Giả sử một ứng dụng công ty thường tiến hành sao lưu và bảo trì hàng ngày, từ 1 giờ sáng đến 3 giờ sáng. Chính sách thời gian có thể được sử dụng để chặn quyền truy cập vào ứng dụng đó trong khoảng thời gian này. Về mặt rủi ro, nếu người dùng đang cố gắng truy cập một ứng dụng vào cuối tuần hoặc có thể vào lúc nửa đêm, điều này có thể làm tăng nguy cơ đáng kể, vì đây có thể là một tin tặc thực hiện một cuộc tấn công trong khi nhóm IT đang nghỉ ngơi, vì vậy các biện pháp bổ sung có thể được thực hiện.
  • Vị trí địa lý: Vị trí thực có thể được sử dụng để ngăn chặn truy cập từ các quốc gia hoặc vị trí địa lý cụ thể, do đó giảm thiểu khả năng bị tấn công. Một công ty chỉ có văn phòng và hoạt động ở Hoa Kỳ có thể chặn đáng kể mọi truy cập bên ngoài đất nước. Quyền truy cập vào một ứng dụng cụ thể cũng có thể bị giới hạn trong một khu vực xung quanh văn phòng công ty….

8. Chính sách Rủi ro Ngăn ngừa Vi phạm

• Nếu không có chính sách rủi ro, công ty của bạn sẽ cần phải bật phương pháp xác thực an toàn nhất mọi lúc, cho tất cả người dùng, có khả năng gây ra xích mích cho người dùng đối với một số phân khúc. Xác thực rủi ro là một cách để hiện đại hóa chiến lược của bạn bằng cách sử dụng lượng bảo mật chính xác với tính năng bảo vệ rủi ro được tùy chỉnh để cải thiện khả năng phát hiện và phản ứng với các mối đe dọa.
• Các tình huống sau đây cho thấy các trường hợp vi phạm dữ liệu tiềm ẩn có thể được ngăn chặn nếu các chính sách rủi ro được kích hoạt.

8.1 Sử dụng Stolen Credentials:

Người dùng xác thực thường xuyên bằng tên người dùng, mật khẩu và OTP. Kẻ tấn công có thể lấy thông tin đăng nhập của người dùng thông qua dark web hoặc cuộc tấn công lừa đảo, nhưng token không thể bị tấn công hoặc nhân bản.

• Tấn công: Sử dụng kỹ thuật xã hội, kẻ tấn công gọi người dùng và thuyết phục người dùng cung cấp OTP. Kẻ tấn công nhập thông tin đăng nhập và nhập OTP theo thời gian để có quyền truy cập vào tài nguyên được bảo vệ.
• Chính sách phòng ngừa rủi ro:
  • Chính sách rủi ro máy tính có thể cho thấy máy tính đang được sử dụng không phải là máy tính cá nhân của người dùng.
  • Chính sách động học địa lý (Geo kinetics) có thể cho thấy người dùng đang cố gắng xác thực từ một vị trí không thể chuyển đổi giữa hai lần xác thực.

8.2 iOS Jailbreaking:

• Người dùng xác thực bằng tên người dùng, mật khẩu. IPhone đã bị bẻ khóa bởi người dùng và phần mềm độc hại đã được cài đặt bởi kẻ tấn công, cho họ toàn quyền kiểm soát. Không được bảo vệ bằng mã PIN hoặc sinh trắc học.
• Tấn công: Kẻ tấn công, đến từ một quốc gia khác, sẽ sử dụng thông tin đăng nhập bị đánh cắp để xác thực, đồng thời giám sát điện thoại của người dùng. Khi lệnh push đến trên điện thoại người dùng, kẻ tấn công sẽ sử dụng Công cụ truy cập từ xa (Remote Access Tool- RAT) để phê duyệt lệnh push và có quyền truy cập vào tài nguyên..

• Chính sách phòng ngừa rủi ro:

  • Chính sách Rủi ro thiết bị sẽ phát hiện thiết bị di động của người dùng không đáng tin cậy và từ chối xác thực từ thiết bị đó.
  • Chính sách tương quan địa lý (Geo-correlation) sẽ kiểm tra xem máy tính được đặt ở vị trí khác với thiết bị di động, đồng thời chặn kết nối.

9. Không thể có Zero-Trust nếu không có MFA

• MFA là nền tảng cho triển khai zero-trust trong đó nó cung cấp cấu trúc bảo mật để quản lý người dùng và danh tính cũng như xác thực liên tục cho bất kỳ người dùng nào đối với bất kỳ tài nguyên nào.
• Quản lý danh tính và quyền truy cập không còn có thể được coi là tùy chọn. Các doanh nghiệp cần tập trung vào chiến lược quản lý và bảo vệ người dùng mạnh mẽ, đây là những lĩnh vực cốt lõi mà MFA và xác thực rủi ro chi phối. Điều này sẽ mang đến cho bạn cơ hội thực sự áp dụng phương pháp “không tin tưởng ai - trust no one” cho mạng công ty, thiết bị đầu cuối và các ứng dụng Đám mây mà không ảnh hưởng đến trải nghiệm người dùng.
• Trong khi một mạng truyền thống được xây dựng dựa trên ý tưởng về sự tin cậy vốn có, thì framework zero-trust giả định rằng mọi thiết bị và người dùng, trên mạng hoặc ngoài mạng, đều có rủi ro bảo mật. Phương pháp “không bao giờ tin tưởng, luôn xác minh - never trust, always verify” sử dụng nhiều cấp độ bảo vệ để ngăn chặn các mối đe dọa, chặn chuyển động và thực thi các kiểm soát truy cập chi tiết của người dùng.

• Phương pháp tiếp cận zero-trust tập trung vào 3 nguyên tắc sau:

  • Xác định người dùng và thiết bị: Luôn biết ai và thiết bị nào đang kết nối với mạng lưới kinh doanh. Khi các công ty vật lộn với việc lực lượng lao động của họ làm việc từ xa chiếm ưu thế, việc đảm bảo quyền truy cập vào các công cụ nội bộ là một thách thức lớn. Các dịch vụ xác thực đa yếu tố (MFA) dựa trên đám mây giúp giảm thiểu các cuộc tấn công đánh cắp thông tin xác thực, gian lận và lừa đảo.
  • Cung cấp quyền truy cập an toàn: Chỉ giới hạn quyền truy cập vào các hệ thống và ứng dụng quan trọng đối với doanh nghiệp đối với những thiết bị có quyền truy cập rõ ràng. Trong zero-trust framework,, mục tiêu của quản lý truy cập là cung cấp một phương tiện để quản lý tập trung quyền truy cập trên tất cả các hệ thống CNTT chung, đồng thời giới hạn quyền truy cập đó chỉ ở những người dùng, thiết bị hoặc ứng dụng cụ thể. Công nghệ đăng nhập một lần (Single sign-on- SSO), kết hợp với MFA, có thể cải thiện bảo mật truy cập và giảm thiểu gánh nặng mật khẩu cho người dùng.
  • Giám sát liên tục: Giám sát tình trạng an ninh và tình trạng của mạng và tất cả các thiết bị đầu cuối được quản lý. Các mối đe dọa phần mềm độc hại và ransomware chỉ tăng tốc do coronavirus. Việc giữ an toàn cho người dùng khi họ điều hướng trên Internet sẽ khó hơn khi họ kết nối từ bên ngoài mạng của bạn. Hãy luôn cập nhật các mối đe dọa yêu cầu bảo mật nâng cao, bền bỉ vượt xa trình chống vi-rút điểm cuối.
• Ví dụ về các chính sách xác thực dựa trên rủi ro được kích hoạt đáp ứng phương pháp tiếp cận zero-trust:

1/ Tên chính sách sẽ đại diện cho một phân đoạn vi mô zero-trust và có thể được sắp xếp theo thứ tự ưu tiên hoặc mức độ quan trọng.

2/ Các nhóm người dùng, được đồng bộ hóa hoặc không với Active Directory, đại diện cho những người được phép và chỉ họ - vào tài nguyên được bảo vệ.

3/ Các ứng dụng phân đoạn vi mô. Có thể là một ứng dụng duy nhất, có thể là nhiều ứng dụng, trong trường hợp các ứng dụng có chính sách hoàn toàn giống nhau.

4/ Chính sách cho đối tượng, hoặc chính sách rủi ro, có thể xác định các hạn chế cụ thể, dựa trên mạng, thời gian, vị trí địa lý...

5/ Tham khảo đến các phương pháp xác thực được cho phép, nếu có chỉ xác thực bị từ chối, dựa trên một yếu tố rủi ro.

10. Sử dụng MFA và Chính sách rủi ro để triển khai Zero-Trust

• Như chúng ta đã biết, việc triển khai zero-trust bắt đầu với giả định rằng không có gì có thể đáng tin cậy. Bằng cách xác định các phân đoạn vi mô (micro-segments) và áp dụng các chính sách phù hợp với nhu cầu bảo mật của tổ chức, bạn đang tạo ra một môi trường đáng tin cậy. Điều này bắt đầu bằng cách xác định người dùng sẽ truy cập các ứng dụng và dịch vụ đó.
• Một phân khúc vi mô có thể là ứng dụng quản lý Quan hệ khách hàng (CRM) dựa trên Đám mây. Ví dụ: nhóm bán hàng và hỗ trợ kỹ thuật có thể cần quyền truy cập vào CRM đó. Kỹ thuật? Có thể là không, vì vậy chúng sẽ không được đưa vào. Trong trường hợp của nhóm hỗ trợ kỹ thuật, tất cả nhân viên đều ở cùng một thành phố và họ chỉ làm việc trong giờ làm việc, có nghĩa là có thể quyền truy cập cho nhóm này sẽ bị giới hạn về mặt địa lý và thời gian. Và do tính nhạy cảm của dữ liệu trong CRM, nên luôn sử dụng MFA.
• Nếu chúng ta đặt điều đó vào bối cảnh xác thực và các yếu tố rủi ro, có hai quy tắc sẽ xác định chính sách rủi ro liên quan đến phân đoạn vi mô này:

  • Quy tắc 1:

    • CRM cho đội ngũ bán hàng:
    • Ai có thể truy cập: Sale
    • Ứng dụng: Cloud CRM
    • Hạn chế rủi ro: Low Mobile Device Risk, Low Geo-Correlation Risk
    • Xác thực: Password + Push-Based Authentication

  • Quy tắc 2:

    • CRM cho nhóm hỗ trợ kỹ thuật:
    • Ai có thể truy cập: Hỗ trợ kỹ thuật
    • Ứng dụng: Cloud CRM
    • Hạn chế rủi ro: Low Mobile Device Risk, giờ làm việc, chỉ ở Hoa Kỳ, Low Geo-Correlation Risk
    • Xác thực: Password + Push- Based Authentication

11. Nền tảng bảo mật hợp nhất của WatchGuard:

Nền tảng bảo mật hợp nhất (Unified Security Platform) của WatchGuard gồm các thành phần sau:

• Thông tin thêm:

  • WatchGuard® Technologies, Inc. là công ty hàng đầu toàn cầu về bảo mật mạng, bảo mật điểm cuối, Wi-Fi an toàn, xác thực đa yếu tố và mạng thông minh.
  • Các sản phẩm và dịch vụ từng đoạt giải thưởng của công ty được hơn 18.000 đại lý và nhà cung cấp dịch vụ bảo mật trên khắp thế giới tin cậy để bảo vệ hơn 250.000 khách hàng.
  • Sứ mệnh của WatchGuard là giúp cho các công ty thuộc mọi loại hình và quy mô có thể tiếp cận bảo mật cấp doanh nghiệp thông qua sự đơn giản, làm cho WatchGuard trở thành giải pháp lý tưởng cho các doanh nghiệp hạng trung và các doanh nghiệp phân tán.
  • Công ty có trụ sở chính tại Seattle, Washington, với các văn phòng trên khắp Bắc Mỹ, Châu Âu, Châu Á Thái Bình Dương và Châu Mỹ Latinh.

Để biết thêm chi tiết vui lòng liên hệ với chúng tôi theo các thông tin dưới đây.

EmeraldETL là Công Ty chuyên về Công Nghệ, là Đại lý của rất nhiều dòng sản phẩm bảo mật cao tại Việt Nam. Cung cấp từ những dòng bảo mật doanh nghiệp đến bảo mật đa quốc gia.

• Trụ sở: Tầng 2, 27A Hoàng Việt, Phường 4, Quận Tân Bình, TP.HCM
• Hotline: 0358.22.3136