Nederlands
Menu

Wat is Zero trust?

Een beveiligingsbenadering die geen impliciet vertrouwen verleent op basis van de plaats in het netwerk (binnen of buiten het bedrijf) en bij elk verzoek om toegang tot een resource de authenticatie van de gebruiker, de toestand van het apparaat en de inhoud van het verzoek controleert voordat alleen de minimaal nodige toegang wordt toegestaan. Ze wordt samengevat als „never trust, always verify” (nooit vertrouwen, altijd controleren). Het Amerikaanse NIST legde de principes en de bouwstenen, zoals het policy decision point en het policy enforcement point, vast in SP 800-207, gepubliceerd in 2020. Met de opkomst van clouddiensten en thuiswerk is ze overgenomen als denkwijze die perimeterbeveiliging aanvult.

Japanse benaming: ゼロトラスト

“Zero trust” komt voor in 3 oefenvragen uit 2 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk, Basis en toepassingen van cryptografie.

Vakgebied: Cyberaanvallen en verdediging in de praktijk

Het verschil met perimeterbeveiliging

Traditionele perimeterbeveiliging behandelt het interne netwerk als een vertrouwde binnenkant en houdt indringers met firewalls buiten. Komt een aanvaller eenmaal binnen, bijvoorbeeld via phishing, dan kan hij zich daar vrij bewegen. Zero trust bepaalt vertrouwen niet op basis van binnen of buiten en past dezelfde controles toe op toegang vanuit het bedrijf zelf, wat beperkt hoe ver schade zich na een inbraak uitbreidt.

Bouwstenen

SP 800-207 scheidt het policy decision point (PDP), dat beslist of toegang wordt toegestaan, van het policy enforcement point (PEP), dat de beslissing tussen de gebruiker en de resource uitvoert. De beslissing gebruikt informatie zoals identiteitsbeheer en multifactorauthenticatie, de beheertoestand van het apparaat, dreigingsinformatie en loganalyse. Implementaties combineren ZTNA (zero trust network access), microsegmentatie en toegangscontrole die om de identiteit draait.

Hoe het in te voeren

Zero trust bereik je niet door één product te kopen; het is een traject waarin wordt vastgesteld wat beschermd moet worden (gegevens, applicaties en bedrijfsmiddelen), de verkeersstromen in kaart worden gebracht en het beleid geleidelijk wordt aangescherpt. Meestal wordt het stap voor stap ingevoerd, te beginnen met consequente multifactorauthenticatie en apparaatbeheer, waarna belangrijke applicaties naar ZTNA worden overgezet.

Nu oefenen: vragen over Zero trust

Welke beschrijving van toegangscontrole op basis van het idee van zero trust is juist?

  1. ANiemand wordt vertrouwd alleen omdat hij zich in het interne netwerk bevindt; bij elk verzoek worden de gebruiker en de toestand van het apparaat gecontroleerd en wordt alleen de minimaal nodige toegang toegestaan
  2. BHet interne netwerk wordt als veilig beschouwd en verkeer mag daar vrij stromen; de firewall aan de grens en de VPN dienen alleen om indringers van buiten tegen te houden
  3. CZodra een gebruiker en een apparaat met succes zijn ingelogd, worden ze vertrouwd en hebben ze daarna zonder verdere controle vrij toegang tot alle systemen
Antwoord en toelichting tonen

Antwoord: A. Niemand wordt vertrouwd alleen omdat hij zich in het interne netwerk bevindt; bij elk verzoek worden de gebruiker en de toestand van het apparaat gecontroleerd en wordt alleen de minimaal nodige toegang toegestaan

De traditionele perimeterbeveiliging beschouwde het interne netwerk als een vertrouwde binnenkant en hield indringers aan de grens tegen. Doordat clouddiensten en thuiswerk wat beschermd moet worden tot buiten het bedrijf uitbreiden, en omdat een aanvaller die binnen de grens komt zich vrij kan bewegen, heeft het idee van zero trust, dat geen vertrouwen verleent op basis van de plaats in het netwerk, zich verspreid. In SP 800-207, gepubliceerd in 2020, heeft het Amerikaanse NIST principes vastgelegd zoals niet impliciet vertrouwen op basis van de plaats in het netwerk, toegang tot resources per verzoek verlenen en beslissen met dynamische beleidsregels op basis van onder meer de toestand van gebruikers en apparaten. Het wordt samengevat als „never trust, always verify” (nooit vertrouwen, altijd controleren).

De zero-trustarchitectuur van NIST SP 800-207 scheidt het „policy decision point (PDP)”, dat beslist of toegang wordt toegestaan, van het „policy enforcement point (PEP)”, dat de beslissing uitvoert. Welke beschrijving van de werking van beide wanneer een medewerker een bedrijfsapplicatie gebruikt, is juist?

  1. AHet PEP beslist op basis van de authenticatie van de gebruiker en de toestand van het apparaat of toegang wordt toegestaan, en het PDP draait op de pc van de gebruiker en versleutelt het verkeer naar de applicatie
  2. BHet PDP beslist door het authenticatieresultaat en de toestand van het apparaat aan het beleid te toetsen, en het PEP tussen de gebruiker en de applicatie laat verbindingen volgens die beslissing door of verbreekt ze
  3. CHet PDP en het PEP zijn twee namen voor hetzelfde apparaat, en zodra een verbinding is toegestaan, wordt de beslissing in principe tot het einde van de sessie niet herzien
Antwoord en toelichting tonen

Antwoord: B. Het PDP beslist door het authenticatieresultaat en de toestand van het apparaat aan het beleid te toetsen, en het PEP tussen de gebruiker en de applicatie laat verbindingen volgens die beslissing door of verbreekt ze

In SP 800-207 beslist het PDP, dat bestaat uit de policy engine en de policy administrator, of toegang wordt toegestaan door het authenticatieresultaat van de gebruiker, de toestand van het apparaat, het belang van de resource die wordt benaderd, dreigingsinformatie enzovoort aan het beleid te toetsen. Het PEP staat op de route tussen de gebruiker en de resource en zet verbindingen op, bewaakt ze en verbreekt ze volgens de beslissing van het PDP. Door beslissen en uitvoeren te scheiden, kan het beleid op één plek worden beheerd en toch op dezelfde manier worden toegepast bij de ingangen van veel applicaties. Bovendien kan de beslissing, als de toestand van het apparaat of iets anders verandert, ook tijdens een verbinding worden herzien en de toegang worden gestopt.

Veelgestelde vragen

Maakt de invoering van zero trust firewalls en VPN's overbodig?

Niet meteen. Zero trust is het idee om niet alleen op grond van de plaats in het netwerk te vertrouwen, en verdediging aan de grens blijft nuttig als een laag die aanvallen vermindert. Voor toegang op afstand is er echter een trend om van VPN's over te stappen op ZTNA, dat toegang per applicatie verleent.

Als „niemand wordt vertrouwd”, wordt het werk voor medewerkers dan niet lastiger?

Wat niet wordt vertrouwd, is de plaats in het netwerk; toegang die nodig is, wordt na controle toegestaan. Single sign-on en passkeys houden de controles onopvallend, en extra verificatie wordt alleen gevraagd in ongebruikelijke situaties, zoals een nieuw apparaat of een onbekende locatie, zodat veiligheid en gebruiksgemak samengaan.

“Zero trust” in de toelichting

Vragen met “Zero trust” (3)

  1. Welke beschrijving van toegangscontrole op basis van het idee van zero trust is juist?
  2. De zero-trustarchitectuur van NIST SP 800-207 scheidt het „policy decision point (PDP)”, dat beslist of toegang wordt toegestaan, van het „policy enforcement point (PEP)”, dat de beslissing uitvoert. Welke beschrijving van de werking van beide wanneer een medewerker een bedrijfsapplicatie gebruikt, is juist?
  3. Welke uitspraak over mutual TLS (mTLS) is juist?

Verwante termen

TLS (Transport Layer Security) Aanval op de toeleveringsketen (supply-chainaanval) Cyber Kill Chain Digitaal forensisch onderzoek EDR (endpoint detection and response) Inbraakdetectiesysteem (IDS) Incidentrespons Indicator of compromise (IoC) Laterale beweging (lateral movement) MITRE ATT&CK

Naar de woordenlijst