Модель Zero Trust: что это и с чего начать внедрение
Продвинутое3 минРедакция Innovialabs
Коротко
Zero Trust — подход, при котором ни пользователь, ни устройство не получают доверия только за то, что находятся во внутренней сети: каждый запрос к ресурсу проверяется по личности, состоянию устройства и контексту. Начинают с инвентаризации, единого входа с MFA и закрытия самых ценных систем, а не с покупки «коробки».
Суть за одну минуту
Классическая модель безопасности похожа на замок со рвом: снаружи — враги, внутри — свои. Кто попал во внутреннюю сеть через VPN или офисный Wi-Fi, тот видит почти всё. Проблема в том, что один украденный пароль или заражённый ноутбук превращает злоумышленника в «своего».
Zero Trust отказывается от этого допущения. Принцип — never trust, always verify: каждый запрос к каждому ресурсу проверяется заново, независимо от того, откуда он пришёл. Решение о доступе принимается на основе:
- кто запрашивает (личность и роль);
- с какого устройства (его состояние и принадлежность компании);
- к чему и в каком контексте (время, место, чувствительность данных).
Zero Trust — это не продукт, а архитектурный подход. Его концепция подробно описана в NIST SP 800-207.
Основные принципы
Доступ на основе личности
Центр системы — провайдер идентификации (IdP) с единым входом (SSO). Все сотрудники входят в корпоративные сервисы через него, и везде обязательна многофакторная аутентификация. Предпочтительны устойчивые к фишингу методы — ключи безопасности и passkeys, а не коды из SMS.
Права выдаются по принципу минимальных привилегий: ровно то, что нужно для работы, и, по возможности, на ограниченное время.
Состояние устройства
Правильный логин с заражённого личного ноутбука — всё ещё риск. Поэтому проверяется device posture: устройство зарегистрировано в компании, ОС обновлена, включено шифрование диска, работает защита. Если условие не выполнено, доступ ограничивается или запрещается.
Микросегментация
Внутренняя сеть делится на маленькие зоны, и трафик между ними разрешён только явно. Сервер бухгалтерии не должен быть доступен с сервера тестовой среды. Если злоумышленник захватит одну систему, ему будет сложно перемещаться по сети дальше.
Постоянная проверка и журналирование
Доверие не выдаётся «на весь день». Сессии ограничены по времени, подозрительное поведение вызывает повторную проверку, а все решения о доступе записываются в логи.
Zero Trust и VPN
| Классический VPN | Zero Trust-доступ (ZTNA) | |
|---|---|---|
| Что получает пользователь | Доступ в сеть целиком | Доступ к конкретному приложению |
| Проверка | Один раз при подключении | При каждом запросе, с учётом устройства |
| Последствия кражи учётной записи | Широкий доступ к внутренним системам | Ограничены правами на отдельные ресурсы |
| Удобство | Нужно подключаться и отключаться | Работает прозрачно через браузер или агента |
VPN не обязательно выключать в первый же день. Обычно приложения переводят на новую схему доступа постепенно, а VPN остаётся для тех систем, которые пока не готовы.
Реалистичная дорожная карта
Не пытайтесь внедрить всё сразу. Последовательность, которая работает для большинства компаний:
- Инвентаризация. Список пользователей, устройств, приложений и данных. Что самое ценное, кто к нему ходит и откуда.
- Единый вход и MFA. Подключите ключевые сервисы (почта, CRM, облако, репозитории) к одному IdP. Отключите общие учётные записи.
- Пересмотр прав. Уберите лишних администраторов, неактивные аккаунты, доступы уволенных и подрядчиков.
- Управление устройствами. Регистрация корпоративных устройств, обязательные обновления и шифрование, базовые условия доступа.
- Защита самых ценных систем. Переведите одно-два приложения — например, админку и CRM — на доступ через прокси с проверкой личности и устройства.
- Сегментация. Разделите продакшен, тестовые среды и офисную сеть; закройте прямой доступ к базам данных.
- Мониторинг. Централизованные логи входов и оповещения о необычных событиях.
Частые ошибки
- Считать Zero Trust покупкой одного продукта.
- Внедрять жёсткие правила без коммуникации с сотрудниками — люди начнут искать обходные пути.
- Забыть про сервисные аккаунты и API-ключи: машины тоже должны проходить проверку.
- Оставить «временные» исключения навсегда.