Proč Zero Trust v éře hybridních sítí
Tradiční perimetrická bezpečnost vychází z předpokladu, že vnitřní síť je „důvěryhodná“ a internet je „nedůvěryhodný“. S nástupem cloudových služeb, mobilní práce, IoT a partnerských integrací se však perimetr rozpadl. Zero Trust proto přináší paradigma „nikdy nevěř, vždy ověřuj“ a posouvá řízení rizik z hranice sítě ke každému uživateli, zařízení, aplikaci i datům. V oblasti Firewall a VPN to znamená přechod od plošné konektivity k jemnozrnné autorizaci a segmentované, dynamicky vyhodnocované komunikaci.
Definice a principy Zero Trust
- Žádná implicitní důvěra: Nepředpokládá se, že vnitřní síť je bezpečná. Každý požadavek se ověřuje.
- Kontinuální verifikace: Identita, stav zařízení, kontext a riziko se validují při každém přístupu a průběžně během relace.
- Nejmenší možná privilegia (PoLP): Přidělují se pouze nezbytná oprávnění pro konkrétní úlohy a na omezený čas.
- Mikrosegmentace: Síť je rozdělena na malé, izolované zóny s granularitou na úrovni aplikací a služeb.
- Viditelnost a telemetrie: Rozhodování je řízeno daty (identity signály, posture, chování, anomálie).
Referenční rámce a standardy
Zero Trust není produkt, ale architektonický model. Opírá se o rámce jako NIST SP 800-207 (Zero Trust Architecture), CSA, ISO/IEC 27001/27002 a MITRE ATT&CK pro mapování hrozeb. Tyto referenční body pomáhají definovat policy decision points (PDP) a policy enforcement points (PEP), governance i metriky zralosti.
Architektonické stavebnice Zero Trust
- Identita a přístup (IAM/IdP): Silná identita (MFA, phishing-resistant metody), životní cyklus účtů, správa rolí a atributů.
- Správa oprávnění (PAM/JIT/JEA): Privilegovaný přístup na dobu nezbytnou, se schvalováním a auditní stopou.
- Stav a důvěryhodnost zařízení (EMM/MDM/EDR): Posture assessment (šifrování, aktualizace, EDR), atestace a neustálá kontrola souladu.
- Policy Engine a Kontext: PDP vyhodnocuje pravidla na základě identity, zařízení, lokace, času, citlivosti dat a rizika.
- Policy Enforcement: PEP na úrovni aplikace, proxy/agentů, síťových prvků a koncových bodů vynucuje rozhodnutí PDP.
- Telemetrie a analytika (SIEM/XDR/UEBA): Sběr, korelace a detekce anomálií, které napájí risk-engine a adaptivní politiky.
Zero Trust Network Access (ZTNA) vs. tradiční VPN
VPN poskytuje síťové tunelování do privátního segmentu, často s plnou boční konektivitou po autentizaci. ZTNA zveřejňuje pouze konkrétní aplikace a kontextově je propouští po ověření identity a stavu zařízení. Klíčové rozdíly:
- Granularita: VPN = síťový přístup; ZTNA = aplikační přístup (L7).
- Bezpečnostní postoj: VPN implicitně důvěřuje interní síti; ZTNA aplikuje PoLP a kontinuální ověřování.
- Viditelnost: ZTNA poskytuje detailní audit na úrovni žádostí, zatímco VPN obvykle loguje relace a objem dat.
- Rizikově řízené přístupy: ZTNA adaptivně upravuje politiky podle risk score (například vyžádá silnější MFA či zablokuje přístup).
Role moderního firewallu v Zero Trust
Firewall již není pouze hranicí sítě, ale jedním z PEP v rámci Zero Trust. Evoluce zahrnuje:
- L7 NGFW s kontrolou aplikací, IPS, filtrací DNS/URL a TLS dešifrováním (selektivním, s respektem k regulacím a ochraně soukromí).
- Distribuované vynucování: Host-based firewally a micro-policy agenti přenášejí enforcement ke zdrojům a uživatelům.
- Segmentace: NGFW/SDN síťové politiky a mikrosegmentace (např. na úrovni VM, kontejnerů, služeb).
- Integrace s identitou: Dynamické adresáře, skupiny a atributy v ACL (identity-aware firewally).
Software-Defined Perimeter (SDP) a aplikační publikace
SDP vytváří dynamické, individuální perimetry okolo aplikací. Princip „controller-gateway-client“ umožňuje autentizovat a autorizovat dříve, než je navázána jakákoli síťová komunikace. Výsledkem je skrytí aplikací (zero exposure) a minimalizace útokové plochy.
SASE a SSE: konvergence bezpečnosti a konektivity
SASE (Secure Access Service Edge) a SSE (Secure Service Edge) kombinují ZTNA, SWG, CASB/DLP, FWaaS a často SD-WAN. Přinášejí jednotnou politiku, inspekci a telemetrii napříč lokalitami, cloudem a uživateli. Zero Trust tak získává konzistenci a škálovatelnost.
Mikrosegmentace a řízení bočního pohybu
Zero Trust omezuje laterální pohyb útočníků pomocí mikrosegmentace a jemnozrnných politik. Klíčové přístupy:
- Identita a označování zdrojů: Tagy/labely pro služby, data a workloady (VM, kontejnery, serverless).
- Deklarativní politika: „Kdo může k čemu, jak, kdy a odkud“ na aplikační vrstvě.
- Just-in-time konektivita: Dynamické, časově omezené povolení toků.
- Traffic baselining: Povolení pouze známých, zdokumentovaných komunikací (allow-listing).
Ochrana dat v Zero Trust: DLP, šifrování a klasifikace
Data jsou chráněna od zdroje k uživateli: klasifikace a značení citlivosti, šifrování v klidu i za provozu, řízení sdílení (CASB), kontrola exfiltrace (DLP) a ochrana dokumentů (IRM) včetně vynucování politik i po opuštění perimetru.
Bezpečnost koncových bodů: EDR/XDR v roli senzorů i PEP
EDR/XDR agenti poskytují telemetrii o procesech, paměti, síťových spojeních a uživatelské aktivitě. V Zero Trustu mohou vynucovat politiky (blokovat rizikové akce), vyžadovat opětovné MFA nebo přepnout klienta do režimu „zvýšené kontroly“ při podezřelém chování.
Identity first: MFA a odolnost proti phishingu
Zero Trust vyžaduje silné ověření: FIDO2/WebAuthn, hardwarové klíče, platform autentikátory. Podmíněný přístup (CA) zohledňuje lokaci, zařízení, citlivost aplikace, známé kompromitace a signály útoků (risk-based policies).
Zero Trust a OT/IoT prostředí
V průmyslu a IoT jsou běžná heterogenní, často nezáplatovatelná zařízení. Zero Trust zde staví na segmentaci (např. podle typů zařízení a kritičnosti), protokolových proxyn, pasivní identifikaci aktiv, síťových TAP/SPAN senzorech a politikách, které minimalizují přístup pouze na nezbytné služby.
Integrace s existujícími VPN: cesta evoluce
Zero Trust neznamená okamžité vypnutí VPN. Praktický postup:
- Inventura aplikací a mapování datových toků.
- Prioritizace podle citlivosti a rizika (rychlé vítězství: administrátorská rozhraní, databáze, HR/finanční systémy).
- Souběžný provoz: ZTNA pro vybrané aplikace, VPN ponechána pro zbytek.
- Postupné omezování VPN: postupné omezování přístupů, zavádění aplikačních politik a JIT/JEA pro privilegované práce.
Provozní model: PDP, PEP a rozhodování v reálném čase
Rozhodovací logika může být centralizovaná (cloud PDP) nebo distribuovaná (edge). Důležitá je latence, spolehlivost a možnost „graceful degradation“ (např. cache posledního důvěryhodného stavu). PEP musí podporovat transactional enforcement – změna rizika během relace může vést k „step-up“ ověření či odpojení.
Metriky a KPI Zero Trust programu
- Pokrytí MFA a typy faktorů (odolné vs. neodolné).
- Mean Time to Detect/Respond (MTTD/MTTR) z pohledu XDR/SIEM.
- Podíl mikrosegmentovaných toků vs. plošných pravidel.
- Počet výjimek a jejich doba trvání (SLA pro výjimky).
- Drift politik (nesoulad mezi deklarovaným a efektivním stavem).
- Úspěšnost step-up MFA a míra zablokovaných rizikových přístupů.
Governance, risk a compliance (GRC)
Zero Trust vyžaduje jasnou správu politik: vlastníky aplikací, dat a přístupů, formalizované procesy pro schvalování, recertifikace přístupů (SoD), řízení výjimek a průběžné testování (red teaming, purple teaming). Soulad s regulacemi (např. GDPR) zahrnuje minimalizaci dat, zásadu nezbytnosti a auditovatelnost.
Nejčastější chyby při implementaci
- „Produkt = Zero Trust“: Pořízení nástroje bez architektonické změny nepřinese očekávaný efekt.
- Přílišná síťová orientace: Ignorování identity, dat a aplikací vede k polovičatému řešení.
- Trvalé výjimky: Dočasné obchvaty se stávají standardem a erodují princip PoLP.
- Nedostatek telemetrie: Rozhodování bez dat vede k falešným povolením nebo přehnaným blokacím.
- Zapomenuté služby: Shadow IT a „zombie“ účty/klíče mimo governance.
Postup implementace: praktická roadmapa
- Strategie a rozsah: Vymezit kritické aplikace a datové domény. Stanovit cílový stav a milníky.
- Identita na prvním místě: Zavést odolné MFA, sjednotit IdP a zlepšit hygienu účtů (JML procesy).
- Viditelnost: CMDB/inventura aktiv, mapování toků, zapnutí telemetrie (XDR/SIEM, flow, proxy logy).
- Rizikové politiky: Definovat podmíněný přístup a minimální privilegia; stanovit standardy segmentace.
- Pilot ZTNA/SDP: Aplikační publikace pro vybrané kritické systémy; měření dopadu a UX.
- Mikrosegmentace: Postupné zavádění podle clusterů služeb; automatizace politik (IaC).
- SASE/SSE konsolidace: Unifikace inspekce, DLP a politik pro pobočky, cloud a vzdálené uživatele.
- Automatizace a reakce: Orchestrace (SOAR), playbooky, JIT/PAM, kontinuální testování a recertifikace.
Zero Trust v multicloudu a Kubernetes
V prostředí IaaS/PaaS je nutné sjednotit identitu pracovních zátěží (service accounts, workload identity), používat policy as code (OPA/Rego), síťové politiky (např. Kubernetes NetworkPolicies/Service Mesh), tajemství v trezorech (KMS/HSM) a automatizovat posuzování souladu (CSPM/KSPM).
Role kryptografie a klíčové praktiky
- TLS všude s moderními sadami šifer, PFS a důsledným obměňováním klíčů/certifikátů (automatizace ACME).
- Šifrování dat v klidu (disky, databáze, objekty) s jasnou správou klíčů (rotace, přístupové politiky, audit).
- Ochrana integrity a podepisování artefaktů (supply chain security, SBOM, atestace buildů).
Bezpečnostní modely komplementární k Zero Trust
- Security by Design/Default: Bezpečnostní požadavky již v návrhu, defaultně uzavřené konfigurace.
- Defense in Depth: Více vrstev ochrany (identita, síť, endpoint, aplikace, data).
- Least Functionality: Redukce povrchů – vypínání nepotřebných služeb a portů.
- Continuous Compliance: Průběžná validace konfigurací a politik, nikoli jednorázové audity.
Model rozhodování: příklad politik podmíněného přístupu
Následující matrice ilustruje, jak může PDP rozhodovat podle rizika:
| Rizikový signál | Stav zařízení | Citlivost aplikace | Akce PEP |
|---|---|---|---|
| Nízký | Kompatibilní | Nízká/Střední | Povolit bez step-up; sledovat telemetrii |
| Střední | Kompatibilní | Střední/Vysoká | Vyžádat step-up MFA; omezit funkce (pouze čtení) |
| Vysoký | Nekompatibil
 PavelRelated Story |
