Testando continuamente a eficácia de seus controles Zero Trust

When we hear security practitioners, vendors and their customers talk about the Zero Trust framework, we see a lot of love given to five of the core pillars: Devices, Data, Workloads, Network and People – all very tangible ‘assets’ that need protecting, and for which a wide variety of capabilities exist to help achieve this protection.

O 'cinto e suspensórios' da Zero Trust

Uma estratégia holística de Zero Trust deve considerar e fornecer cobertura para cada um desses cinco pilares. Mas sua estratégia não está completa e talvez nem saia do papel, se você não tiver uma história sobre Automation & Orchestration and Visibility & Analytics — elas são figurativas (e literalmente, se você observar o diagrama acima!) o “cinto e braçadeiras” que unem os 5 pilares do Zero Trust. Infelizmente, eles geralmente tendem a ser os mais negligenciados nas viagens do Zero Trust no mundo real.

Por quê? A automação e a visibilidade podem ser as áreas mais caras e complexas para os fornecedores fornecerem suas ofertas de segurança, e os clientes geralmente não têm a experiência necessária para automatizar ou analisar adequadamente.

Você não pode segmentar o que não pode ver

At Illumio, we think of these two areas (Automation and Visibility) as core pillars in their own right rather than an afterthought. The journey we’re privileged enough to help our customers take as they set out to achieve their micro-segmentation outcomes starts with “Visibility and Analytics." We build a detailed application dependency map, leveraging telemetry from workloads and metadata from a CMDB, to provide actionable traffic reports from which customers can start building their segmentation policies to establish microperimeters around their applications. In this case, Visibility isn’t the icing. It’s the cake.

Nenhum fornecedor pode “Zero Trust "” para você

Through an appreciation of the fact that all enterprises, even the seemingly simplest, are complex organisms with an equally complex and diverse technology stack, “Automation and Orchestration” has been a ‘must have’, core part of our product from the outset. Our product is designed to be integrated into other systems and accessed programmatically via our open and documented APIs. In fact, the product UI is a skin on top of our REST APIs. We would go so far as to argue that there is no Zero Trust without Automation and Orchestration.

Como posso saber se essas coisas funcionam?

Nossa jornada típica do cliente segue estas etapas:

1. Obtenha telemetria e metadados para criar um mapa
2. Use o mapa para criar uma política de microssegmentação
3. Teste a política antes de aplicar
4. Imponha a política

E com o monitoramento em vigor por toda parte, sabemos quando há uma violação de uma política definida e os usuários podem tomar as medidas corretivas necessárias.

Então, qual é o objetivo de tudo isso? Ser capaz de entender como um controle específico de Zero Trust funciona é extremamente valioso (por exemplo, correspondências/violações de políticas de microssegmentação), mas e quanto à eficácia do controle no contexto mais amplo da estratégia geral de Zero Trust de uma organização?

In this era of "assume breach," should there be a security incident, how quickly can your organisation answer the what, when, who, how and why questions? And most importantly which systems in your current arsenal can work in unison to help you get to the answers of these questions automatically and accurately?

MITRE Eu paro um momento para divagar?

Let’s take a quick aside and talk about the MITRE ATT&CK framework for a second.

A estrutura MITRE ATT & CK mapeia táticas, técnicas e procedimentos adversários (TTPs) que os malfeitores usam para montar um ataque - por exemplo, um ataque baseado em ameaça persistente avançada (APT) a um alvo.

Usando essas informações e o conhecimento comum compartilhado sobre o comportamento de um invasor ao aproveitar esses TTPs, uma organização pode desenvolver estratégias defensivas para limitar (e, idealmente, evitar) o impacto negativo dessas atividades maliciosas. Além disso, a estrutura começa com uma posição de Assume Breach e, portanto, gira inteiramente em torno da defesa pós-compromisso — “suponha que você será violado, então concentre-se em tornar realmente difícil ser invadido”.

From a Blue Team’s perspective, the ATT&CK framework, with its emphasis on having access to as much event data from relevant sources as possible, informs the process by which this data can be aggregated and correlated to properly identify malicious behaviours and, in turn, drive the necessary responses. MITRE’s own ATT&CK 101 blog post is an excellent starting point for all things ATT&CK.

Medindo a eficácia da microssegmentação

During the recent work on Testing the Efficacy of Micro-Segmentation, red team specialists Bishop Fox began by mapping the relevant parts of the MITRE ATT&CK framework to the techniques they would look to be leveraging in their attempt to ‘capture the flags.’

This identification of adversarial techniques then allowed them to determine how effective the Illumio Adaptive Security Platform was in helping to detect and defeat these attacks. MITRE has a great write up on how the ATT&CK framework can be used to effectively find cyber threats.

Portanto, com um conjunto de ferramentas de segurança que fornece visibilidade de alta fidelidade, acesso total por meio de sua API e oferece uma estrutura de modelagem como o MITRE ATT & CK, as organizações podem criar ferramentas que podem monitorar os controles Zero Trust, analisar a telemetria e responder automaticamente para tomar as medidas apropriadas. Mas como você monitora a eficácia dessas ferramentas?

Tornando os testes contínuos parte do seu DNA Zero Trust

Uma opção é, obviamente, contratar um especialista independente da equipe vermelha para desempenhar o papel de um atacante, enquanto a equipe azul da organização aproveita seus controles analíticos e de segurança cuidadosamente construídos para monitorar e responder. Isso é extremamente valioso e recomendado periodicamente. E se houvesse uma maneira de automatizar tanto a atividade da equipe vermelha quanto a resposta da equipe azul?

Organisations could continuously test the effectiveness of their modelling and controls and take an approach of constant improvement. And this is exactly what vendors like AttackIQ are now making possible. Through their technology, customers can both validate the effectiveness of a specific security control and, perhaps more interestingly, can determine how their defenses line up against sophisticated adversaries.

At Illumio, we are excited to partner with AttackIQ in the launch of their Preactive Security Exchange program because we understand that customers need to be able to measure and see value in their Zero Trust investments. The highly configurable, automated, repeatable testing platform that AttackIQ provides makes measuring the efficacy of Zero Trust controls an achievable goal for organisations. And as we know, once you can measure something you can start improving it.

Check out our Zero Trust security page to learn more about how Illumio can help you on your Zero Trust journey.