NCSC adviseert Zero Trust in plaats van traditionele kasteelmodel
Het Nationaal Cyber Security Centrum (NCSC) adviseert organisaties om voor een Zero Trust-model te kiezen, in plaats van het traditionele kasteelmodel. Zero Trust gaat ervan uit dat de binnenkant van het netwerk van een organisatie niet is te vertrouwen, zoals bij het traditionele kasteelmodel wel het geval is. In plaats daarvan wordt er gewerkt met fijnmazige netwerksegmentatie.
Zo wordt toegang tot informatie alleen via beveiligde verbindingen verschaft, ongeacht de locatie. Toegangscontrole vindt op een need-to-know-basis plaats en toegangsrechten worden op basis van mate van vertrouwen bepaald, die afgeleid wordt uit verschillende eigenschappen van de toegangsaanvraag (account, apparaat, ip-adres en locatie). Verder moet uitgebreide monitoring en logging worden toegepast.
Deze aanpak moet beter beschermen tegen aanvallen en datalekken dan bij oude modellen het geval is. "Het traditionele beveiligingsmodel, ook wel het kasteel- of kokosnoot-model, heeft structurele zwakheden en is onhoudbaar geworden door moderne malware- en ransomware-aanvallen. Het model schiet tekort wanneer het aankomt op de veranderde technologie en dreigingen van binnenuit", aldus het NCSC.
Zodra een aanvaller toegang tot het netwerk heeft gekregen, heeft hij bij deze oude modellen vaak vrij spel, aangezien de binnenkant van het netwerk als een veilige en vertrouwde zone wordt beschouwd. Bij Zero Trust wordt het netwerk in zijn geheel als onvertrouwd beschouwd. Zo wordt horizontale verplaatsing, het tussen systemen verplaatsen op zoek naar data om te exfiltreren, binnen het netwerk bemoeilijkt.
Het NCSC adviseert organisaties om een actieplan op te stellen om te zorgen dat Zero Trust kan worden toegepast bij toekomstige vervangings- of uitbreidingsinvesteringen. "Als u Zero Trust goed implementeert, dan leidt dit tot een minimale blootstelling aan aanvallen, een hogere continuïteit van kritieke processen, een verhoogde en kosteneffectievere compliance en een toekomstvaste architectuur", zo stelt de overheidsinstantie in een nieuwe factsheet over Zero Trust.
zero trust network architecture ZTA ZTNA
https://en.wikipedia.org/wiki/Zero_trust_security_model
Ik zie het niet gebeuren.
Net als andere grote IT-spelers - https://www.microsoft.com/en-us/security/business/zero-trust.
Is inderdaad weinig nieuws aan, maar het is wel mooi om te zien dat de technologie ZT steeds beter ondersteunt (Conditional Access, etc).
Ik zie het niet gebeuren.
Zero Trust is (net als beveiliging in algemene zin) een weg, geen doel of stap.
Ja, het zal tijd vragen, maar is doenlijk hoor, ook in bestaande omgevingen, ook in ziekenhuizen.
Daar zou men om te beginnen eens kunnen starten met toewerken naar "least privilege" (een van de ZT principes), sterke authenticatie en het met segmenteren/isoleren van apparatuur, etc.
Dat kan allemaal echt, als de business, de medici, etc, hun verantwoordelijkheid nemen en inzien dat security geen "IT-probleem" is, maar een probleem van de organisatie als geheel.
Dat heeft dan wel bijna 20 jaar geduurd
Dat heeft dan wel bijna 20 jaar geduurd
Even de laag stof van de boeken in de kast blazen...
https://en.wikipedia.org/wiki/Jericho_Forum
Ik zie het niet gebeuren.
Dat gaat niet vanzelf. Maar zoals als doel gaan stellen, en actieplannen maken - en budgetten reserveren- is wat een CIO/CISO moet doen. En bij nieuwe dingen als eis gaan stellen dat geschikt is om in een zero trust concept te werken.
Ook dus in een ziekenhuis of productieomgeving .
En het is uitstekend dat zo'n aanbeveling ook van het NCSC komt , voor extra gewicht .
+10 exact!
CM is essentieel hierbij om alle end points correct geconfigureerd te hebben en houden.
Dit omdat NIST ZTA een uitbreiding is op defense in dept.
Met alleen met NIST ZTA beveiligen mis je te veel aanvalsvektoren.
CM is essentieel hierbij om alle end points correct geconfigureerd te hebben en houden.
Wel verbazend dat een big broter insteek ineens als de goede security wordt gezien. Alles van iedereen weten en tot in detail willen voorschijven daar gaat heel veel mankracht (budget) in zitten.
...
Identificeer daarbij welke kritieke Data, Assests, Applicaties en/of Services (DAAS) u in het te beschermen compartiment wil plaatsen.
Maar er is altijd iemand die altijd bij alle informatie moet kunnen komen, zeker in een normaal bedrijf waar functies meerdere lagen omvat.
Dit factsheet document is papier om het papier. Het gaat om beheers kwaliteiten en integriteit van personen, maar dat concept blijken helaas weinigen te begrijpen bij J&V. Daar kunnen sommigen gewoon nooit bij, daar is discipline voor nodig.
Vandaar altijd de kleuren: rood wit blauw.
CM is essentieel hierbij om alle end points correct geconfigureerd te hebben en houden.
Wel verbazend dat een big broter insteek ineens als de goede security wordt gezien. Alles van iedereen weten en tot in detail willen voorschijven daar gaat heel veel mankracht (budget) in zitten.
onzin!
op RHEL staat SELinux std aan en heb je std de beschikking over ansible of andere meer traditionele CM tools (git/svn/ananconda-kickstart/bash/python etc. etc. etc.) als je geen zin in dat geyammel heb.
je kunt je RHC(S)A/E niet behalen als je niet op RHEL met SELinux overweg kunt!
Explainer: What is the Zero Trust Model?
https://phoenixnap.com/blog/zero-trust-security
Van welke Defensie dan precies?
Bij onze Defensie verzanden ze snel in een papierwinkel.
Explainer: What is the Zero Trust Model?
https://phoenixnap.com/blog/zero-trust-security
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207-draft2.pdf
CM is essentieel hierbij om alle end points correct geconfigureerd te hebben en houden.
Wel verbazend dat een big broter insteek ineens als de goede security wordt gezien. Alles van iedereen weten en tot in detail willen voorschijven daar gaat heel veel mankracht (budget) in zitten.
Het is dat ransomware ook gratis is , het deblokeren doen zij wanneer je het vriendelijk vraagt?
Het kost gewoon ook al hoeft het geen big broter te zijn.Op een gegeven momment heb je zoveel data dat je de bomen door het bos niet ziet.En de technologie reuzen weten dit ... Waarom zouden zij uw connectie vervuilen met veel data
microsoft met zijn tegels facebook met zijn duimpjes en ander squarezever en dan kwetter en dan amazon enz enz
Zij willen alle beveiligers zeer moeilijk maken (ik heb ooit hun volledige ipranges geblockeert ) het was echt rustig op het netwerk.De spy van technoreuzen facebook en google zorgen voor afpersings mails éénmaal je de reclame van hen kan weghalen heb je ineens geen afpersingsmails meer.één om over na te denken voor je een website laat maken
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
