Zero Trust: почему «внутри сети» перестало означать «безопасно»

Традиционная схема защиты предполагала периметр: внутри корпоративной сети своим доверяют, снаружи всё под подозрением. Граница защищена межсетевым экраном, а после входа человек и устройство получают широкий доступ. Эта модель хорошо работала, пока сотрудники сидели в одном здании, а серверы стояли в одной серверной.

Zero Trust, нулевое доверие, исходит из другого предположения: нахождение в сети само по себе ничего не доказывает. Каждый запрос на доступ к данным или сервису проверяется заново, независимо от того, откуда он пришёл. Короткая формула модели звучит как «никогда не доверяй, всегда проверяй».

Опорные принципы такие. Явная проверка: личность пользователя, состояние устройства, время и контекст запроса оцениваются перед каждым обращением. Минимально необходимые права: человек получает доступ только к тем ресурсам, которые нужны ему для работы, и только на нужный срок. Допущение взлома: систему проектируют так, будто злоумышленник уже внутри, поэтому важно не дать ему свободно перемещаться.

Технически это реализуется сегментацией сети на мелкие зоны, многофакторной аутентификацией, проверкой соответствия устройства требованиям, постоянным журналированием и анализом аномалий. Общий эталон описан в публикациях национальных организаций по стандартизации, например в документе NIST по архитектуре нулевого доверия.

Периметр размылся. Сотрудники работают из дома и кафе, приложения переехали в облака, устройства принадлежат самим людям. Внутренний адрес перестал быть гарантией доброжелательности. Кроме того, многие серьёзные инциденты развиваются одинаково: злоумышленник получает доступ к одной учётной записи или машине, а затем спокойно движется по плоской внутренней сети к ценным данным.

Нулевое доверие ограничивает этот сценарий: даже украденный доступ открывает только узкий участок и требует повторных проверок. Ценой становится сложность внедрения: нужно описать, кто и к чему должен иметь доступ, и поддерживать это описание актуальным.

Zero Trust не продукт, который можно просто включить. Это подход к архитектуре, и производители предлагают отдельные компоненты для разных его частей. Не следует считать его синонимом VPN: удалённый доступ через шифрованный туннель может быть частью схемы, но сам по себе предоставляет доступ ко всей сети, что противоречит принципу минимальных прав.

Ещё одна ошибка это ожидание, что модель исключает доверие вообще. Речь о том, что доверие выдаётся не по расположению, а по проверенным признакам и всегда ограничено конкретной задачей.

Идеи нулевого доверия легко переносятся на домашнюю сеть. Отдельная гостевая сеть для гостей и умных устройств не даёт им свободно доставать компьютеры. Двухфакторная защита на важных аккаунтах означает, что один пароль ничего не решает. Разные учётные записи для повседневной работы и для администрирования ограничивают ущерб от заражения.

Проверить у себя можно с простого вопроса: что получит человек, оказавшийся в вашей сети Wi-Fi? Если он видит сетевое хранилище, принтер, камеры и панель роутера с заводским паролем, доверие внутри сети избыточно. Сегментация и пароли на панелях управления это первые практические шаги.

Термин «нулевое доверие» предложил аналитик Форрестер Джон Киндервег в начале 2010-х годов. Заметное развитие идея получила после того, как компании начали переносить нагрузки в облака и разрешили удалённую работу, а периметр перестал совпадать с границами офиса. Вслед за этим подход описали в государственных стандартах, включая руководство NIST по архитектуре нулевого доверия.

Полезно знать, что внедрение идёт поэтапно. Организации начинают с самого ценного: включают обязательную многофакторную проверку, инвентаризируют доступы, затем разбивают сеть на сегменты и добавляют проверку состояния устройств. Полностью «нулевая» схема остаётся ориентиром, а практическая польза появляется уже с первыми шагами, поэтому не нужно ждать завершённого проекта.

Для самопроверки составьте таблицу: какие у вас сервисы, кто и откуда к ним обращается, какие права у каждой учётной записи. Уже первое заполнение показывает, где доступ избыточен и что следует ограничить в первую очередь.