موضوع چارچوب های امنیت سایبری به نوعی شبیه سقوط هواپیما است. با توجه به اینکه پس از یک حادثه هوایی، کارشناسان با دقت تمام حادثه را تحلیل کرده و تلاش می کنند از بروز حوادث مشابه در آینده جلوگیری کنند بنابراین امنیت هواپیماها افزایش می‌یابد. صنعت امنیت سایبری نیز مشابه صنعت هواپیمایی است. ما همواره در حال تلاش هستیم تا با ابداع چارچوب‌های دفاعی جدید، به رخنه‌های امنیتی یا فنون جدید واکنش نشان دهیم.
اعتماد صفر یا اصل کمترین میزان دسترسی، یکی از چارچوب هایی است که بسیاری از کارشناسان امنیت سایبری اشتیاق و هیجان زیادی نسبت به آن دارند. در این مدل امنیتی به صورت پیش فرض به هیچ ماشین، سرویس یا شخصی اعتماد نمی‌شود و در تمام مراحل و از هر جایی (داخل شبکه سازمانی، DMZ و بیرون شبکه) کاربران و دستگاه‌ها باید احراز هویت شده و دسترسی آنها به صورت «حداقل سطح دسترسی» به منابع مورد نیاز تعریف می شود.
همچنین حفاظت از داده‌های موسوم به داده‌های غیرساخت یافته مانند ویدیو، عکس یا متن که باید پردازش‌های بیشتری بر روی آنها انجام شود و به زمان بیشتری نیاز دارند تا برای رایانه قابل فهم باشند، کار بسیار سختی است. در ادامه این مطلب از فراست، نگاهی به اصول کلی این چارچوب و کاربردهای آن خواهیم داشت.
اعتماد صفر (Zero Trust)
از آنجا که ما خانه‌ها و منازل خود را با استفاده از قفل های مختلف حفاظت می کنیم، پس جای تعجب نیست که اولین سرنخ‌ها برای راهکارهای دفاع سایبری، از دنیای فیزیکی حاصل شده باشد و محافظت از شبکه توسط فایروال کار عقلانی به شمار رود. با این حال همواره باید توجه داشت مهاجمان سایبری در کمترین زمان ممکن و با گذشتن از فایروال می‌توانند به اهداف حفاظت نشده سازمان دسترسی پیدا کنند.
یکی از راهکارهای مقابله با این مشکل، پیاده‌سازی مدل امنیتی اعتماد صفر است. بر اساس اصل مدل اعتماد صفر، هیچ شبکه‌ای امن نیست. در این روش دیگر نه تنها نمی‌توان بر اساس آدرس آی‌پی، موقعیت جغرافیایی یا وسیله مورد نظر به کاربران امکان دسترسی داد بلکه انجام چنین کاری بر اساس ماهیت و مجوزهای دسترسی کاربر انجام می‌شود.
برای مثال اگر قرار باشد یک سالن کنسرت با روش اعتماد صفر حفاظت شود، به جای اینکه یک نگهبان جلوی درب ورودی قرار بگیرد، مجموعه‌ای از کارمندان مسئول بررسی شناسه‌ها هستند که هر یک از آنها نیز از یک دارایی مثل صحنه اجرای کنسرت، صندلی‌ها و غیره که هر کدام الزامات دسترسی خاصی دارند، حفاظت می کنند. مثلاً فردی می‌تواند به پشت صحنه دسترسی داشته باشد که عضو گروه موزیک باشد.
در شبکه‌ها برای پیاده‌سازی اعتماد صفر باید آنها را به بخش‌های کوچکتری که هر کدام از آنها هم منابع و کنترل‌های دسترسی ویژه‌ای دارند، تقسیم کرد. همچنین می توان از ابزارهای مدیریت دسترسی و شناسایی قوی (که ترکیبی از احراز هویت، نقش کاربر و شرایط لازم برای دسترسی به یک منبع خاص را ارزیابی می‌کنند) استفاده نمود. با این حال برای داده‌های غیرساخت یافته به رویکرد دیگری نیاز است.
کمترین سطح دسترسی
حساب‌های کاربری با سطح دسترسی بالا از جمله عواملی هستند که در صورت نفوذ مهاجمان یا سواستفاده افراد داخلی، دردسرهای زیادی را به وجود می آورند؛ مثل حادثه اخیر توئیتر که پس از هک یکی از حساب‌های داخلی این شرکت، امکان اصلاح حساب کاربران بدون عبور از بررسی‌های خاص برای مهاجمان فراهم شد.
بر اساس اصل کمترین سطح دسترسی، حساب‌های کاربری فقط باید به آنچه نیاز دارند دسترسی داشته باشند و نه بیشتر. البته ممکن است به حساب‌های کاربری مدیریتی با دسترسی‌های بالا هم نیاز باشد. بنابراین هدف اصلی باید ایجاد محدودیت در دایره خطر در صورت بروز مشکل باشد. اعتماد صفر و اصل حداقل میزان دسترسی، به همراه هم یک مدل قدرتمند را برای دارایی‌هایی ویژه طراحی می‌کنند که دسترسی‌های آنها مبتنی بر مجوزهایی است که به شکل کارشناسانه و با دقت کامل انتخاب شده‌اند.
اعمال اعتماد صفر و اصل کمترین میزان دسترسی به داده‌های غیرساخت یافته
بدون شک پیاده‌سازی این اصول به طرز چشم‌گیری باعث افزایش امنیت داده‌های غیرساخت یافته می شود اما باید به سایر جزییات نیز توجه خاصی داشت. هدف اصلی از پیاده سازی مدل امنیتی اعتماد صفر، حفاظت از فایل ها است. نکته‌ای که وجود دارد این است که از هر فایل باید متناسب با میزان حساسیت آن حفاظت کرد و همچنین مشخص نمود که چه فایل‌هایی حساس محسوب می شوند.
مدل اعتمال صفر سنتی، متکی بر دارایی‌هایی مثل پایگاه داده یا رابط های کاربری برنامه‌های کاربردی شبکه است که نسبتاً ایستا هستند و به راحتی می توان به آنها دسترسی پیدا کرد. از طرف دیگر، داده‌های غیرساخت یافته کاملاً متفاوت هستند. کاربرانی که چنین داده‌هایی را ایجاد کرده و از آنها استفاده می‌کنند، لزوماً همیشه به محل ذخیره و نحوه امن سازی فایل‌های خود توجه لازم را ندارند. در این حالت فایل‌ها کپی شده، تغییر کرده، برای دیگران ایمیل شده یا لینک آنها در اختیار دیگران قرار می‌گیرد. بنابراین داده‌های غیرساخت یافته بسیار متنوع و پراکنده هستند و از آنها نمی توان برای ایجاد دقیق زیربخش‌های شبکه استفاده کرد.
اصلاح و تغییر مجوزهای دسترسی برای منابع ایستایی که به راحتی پیدا می‌شوند، مشکل آفرین نیست اما بحث کمترین سطح دسترسی برای مواقعی که منبع مورد نظر یک فایل خاص است، بسیار پیچیده‌تر می‌شود. برای مثال از یک کارمند فناوری اطلاعات نمی توان درخواست کرد کنترل دسترسی برای یک قرارداد قانونی یا یک فهرست قیمت خاص را مشخص کند. در واقع یکی از اهداف ارزشمند، حفاظت از داده‌های غیرساخت یافته بوده و ابزارهایی نیز در حال ظهور هستند که به ما برای ملحق شدن به جنبش کمترین سطح دسترسی/اعتماد صفر که در پی برطرف سازی مشکلات مرتبط با داده های غیرساخت یافته هستند، کمک می‌کنند.
مشخص کردن دارایی‌های موجود
همانطور که قبلاً اشاره شد، دسترسی صفر سنتی متمرکز بر منابعی است که کار با آنها راحت است اما داده‌های غیرساخت یافته بسیار پیچیده و متنوع هستند.
داده‌های تخصصی مثل راهبردهای فروش یا قراردادها ممکن است هم از نظر استراتژیک ارزشمند باشند و هم درک آنها برای افراد بیرونی کمی سخت باشد. معمولاً برای انجام این کار، از فنون نشان گذاری فایل‌ها و تطبیق الگوهای مختلف برای پیدا کردن داده‌های کاری حساس استفاده می‌شود اما متأسفانه تاکنون هیچ کدام از آنها عملکرد خیلی خوبی نداشته‌اند.
مشخص کردن کارهای قابل انجام
اگرچه توسعه سیاست‌های لازم برای منابع شبکه کار ساده‌ای نیست ولی می‌توان تا حدود زیادی آن را مدیریت کرد. داده‌های غیرساخت یافته با توجه به اینکه متنوع و پویا هستند، با گذشت زمان و با توجه به نیازهای کاری تغییر می‌کنند. فناوری‌های جلوگیری از نشت داده (DLP[1]) تا حدی به مشکل تدوین سیاست داده‌های غیرساخت یافته کمک کرده اند ولی باید توجه داشت که پیاده‌سازی DLP، اغلب کار بسیار پیچیده ای بوده و غیرقابل مدیریت است. تعیین سیاست‌های لازم برای هر فایل نیز کار بسیار سختی می باشد.
اصل کمترین سطح دسترسی/اعتماد صفر، با کمک یادگیری عمیق
شاید حالا این سؤال برای شما ایجاد شده باشد که آیا امیدی به پیاده‌سازی اصل کمترین سطح دسترسی یا اعتماد صفر وجود دارد؟
خوشبختانه در چند سال اخیر فناوری‌های یادگیری عمیق به ویژه پردازش زبان‌های طبیعی بسیار پیشرفت کرده و قابلیت‌های جدید و جذابی به آنها اضافه شده است. دو مشکلی که تا اینجا مورد بررسی قرار دادیم یعنی شناسایی و طبقه بندی داده‌ها و تعریف سیاست‌های دسترسی مناسب، در حال حاضر با استفاده از راهکارهای یادگیری عمیق خودکار قابل حل هستند.
یادگیری عمیق قادر است مفهوم و زمینه اصلی اسناد را مشخص کرده تا دسته بندی‌های دقیق مورد نیاز بر اساس میزان حیاتی بودن اطلاعات برای کسب و کار را مشخص نماید. این دسته بندی‌ها برای راهکارهای امنیتی اعتماد صفر ضروری هستند. یادگیری عمیق بسیار دقیق‌تر از تطبیق الگو بوده و پیاده‌سازی آن نسبت به نرم‌افزارهای طبقه بندی مخصوص کاربران نهایی آسان‌تر است.
پس از طبقه بندی داده‌ها، یادگیری عمیق می‌تواند مبنای امنیتی برای هر دسته را مشخص کند. در این مبنا به دسترسی‌ها، امکان به اشتراک گذاشتن، ذخیره و مدیریت فایل‌ها بر اساس سیاست‌های دقیق توجه می‌شود. این سیاست‌ها توسط افرادی تدوین می شوند که با این فایل‌ها، مالکان و کاربران نهایی آنها آشنایی لازم را دارند. پس از این مرحله، پیدا کردن و اصلاح فایل‌های در حال مخاطره به صورت خودکار و دقیق به راحتی قابل انجام است.
بنابر آنچه که گفته شد، پیاده‌سازی امنیت اعتماد صفر و اصل کمترین سطح دسترسی برای داده‌های غیرساخت‌یافته امری امکان پذیر است. با طبقه بندی داده‌ها و مشخص کردن مناسب‌ترین سیاست‌های امنیتی برای هر فایل می توان موانع موجود برای تأمین امنیت متمرکز و کارآمد را در سطح فایل از بین برد. به این ترتیب امکان طراحی و اجرای یکی از قدرتمندترین چارچوب های امنیتی برای میلیون‌ها فایل و سندی که کاربران هر روز آنها را ایجاد و مدیریت می‌کنند، وجود دارد.
[1] Data loss prevention
منبع: securitytoday