President Biden’s cybersecurity executive order is clear as day … Zero Trust Architecture and modernized infrastructure is the key to protecting the nation’s data against the rampant threat landscape. We’ve seen the devastating effects firsthand with a ransomware attack disrupting gasoline distribution, causing outages and increased prices across the United States. It’s a global problem and statistically growing month on month from last year.https://www.blackfog.com/the-state-of-ransomware-in-2021/
In this blog post, I’ll explain why Zero Trust is important, what it is and how to harden your infrastructure by adopting Zero Trust principles using Commvault and Metallic.
Che cos’è lo “Zero Trust”?
Zero Trust is not a singular technology or feature. Zero Trust is a collection of design principles for IT infrastructure that enforces a “trust no one; always validate trust” approach to data access.
A great way to visualize Zero Trust Architecture is to think of home security. Around the perimeter of your house, you have cameras, locks, window sensors, and a fence. Essentially all your belongings are safe inside the perimeter of the house. However, if you have friends and acquaintances over for coffee, you have authorized entry into your home – at that point, your personal belongings are accessible and at risk of theft.
The above example perfectly illustrates a traditional approach to security – wherein firewalls provide perimeter security (keep the bad guys out) and user permissions control access. Once a bad actor gets in and gains access to privileged credentials (which they do) – they often go unchallenged while laterally moving through the environment doing damage.
Con un approccio Zero Trust, l’accesso privilegiato viene continuamente messo alla prova, limitando la capacità degli attori malintenzionati di muoversi e operare efficacemente. Tornando all’esempio della casa, anche se sono autorizzato ad accedere all’interno, le casseforti a combinazione, le serrature delle porte interne e le telecamere interne forniscono molteplici livelli di controllo e verifica. Quindi, pur essendo autorizzato ad accedere alla casa, devo continuare a dimostrare la mia identità fornendo la combinazione della cassaforte o le chiavi delle porte delle camere da letto se volessi spostarmi all’interno della casa.
Principi fondamentali dello Zero Trust
Istituto Nazionale di Standard e Tecnologia (NIST SP 800-207is the definitive reference guide for Zero Trust Architecture (ZTA). Many of the principles outlined within the NIST publication have been implemented as features and best practices allowing the Commvault platform to be fully deployed in a Zero Trust architecture. Additionally, Metallic™ Data Management as a Service (DMaaS) is completely architected in the cloud using Zero Trust principles from the ground up. A few key principles outlined by NIST are Least privilege access, multi-factor authentication, and Micro-segmentation. Let’s explore this further.
Accesso con privilegi minimi â NIST SP 800-207, sezione 2.1
The concept of least privilege access provides users and/or accounts with the bare minimum capabilities to do their job and nothing more. This minimizes exposure if the account is compromised, as well as limits data access leaks. Commvault can lock down backup data using role based access controls and special data privacy locks. It is easy to limit users to specialized capabilities such as restore only or view only. You can additionally restrict browse/restore access to data owners, only superseding any global level admin capabilities. Additional integration with Privilege Access Management (PAM) platforms likeCyberArkmigliora ulteriormente il livello di sicurezza attraverso la gestione degli account basata su policy, la rotazione delle credenziali e la gestione delle sessioni con privilegi.
Autenticazione a più fattori – NIST SP 800-207, sezione 2.1
L’autenticazione a più fattori (MFA) è un altro concetto fondamentale del modello Zero Trust. Poiché la fiducia deve essere continuamente convalidata, l’MFA fornisce un ulteriore livello di verifica per ogni richiesta di autenticazione, rendendo difficile per un attore malintenzionato ottenere l’accesso ai dati. Commvault e Metallic BaaS supportano implementazioni moderne dell’MFA attraverso il proprio framework di autenticazione basato su SAML. Utilizzando Azure AD, ADFS, Okta o altri IDP, Commvault consente ai clienti di implementare strumenti MFA basati su PIN e dispositivi di autenticazione hardware per controllare l’accesso ai dati nei backup.
Le implementazioni on-premises che utilizzano account AD o account locali dispongono di autenticazione a due fattori (2FA) integrata, consentendo alle organizzazioni di utilizzare qualsiasi applicazione per la generazione di PIN basata sull’algoritmo Time-based One-Time Password (TOTP) specificato nella RFC 6238, come Google Authenticator, Microsoft Authentication e molte altre.
Secondo le linee guida del NIST sull’identità digitale (NIST 800-63) cross referenced in their ZTA publication; hardware authentication technologies offers one of the highest standards for MFA providing Authenticator Assurance Level 3. This includes MFA technologies using modern specifications such as FIDO/FIDO2. Commvault is fully integrated with FIDO/FIDO2 MFA devices, such as offered throughdi YubicoYubiKey as well as PKI based Common Access Cards. This completely maximizes the level of protection from illegitimate authentication attempts and future proofs your data protection environment.
Una volta effettuato l’accesso all’interfaccia di gestione, il sistema di autorizzazione dei comandi verifica la validità delle azioni eseguite all’interno dell’interfaccia stessa. Indipendentemente dal ruolo dell’utente, qualsiasi richiesta di cancellazione, ripristino o configurazione richiede l’autorizzazione da parte di un responsabile dell’approvazione. Ciò garantisce protezione dalle minacce interne, sia dolose che accidentali, e tutela i dati da azioni distruttive.
Microsegmentazione – NIST SP 800-207, sezione 3.1.2
La microsegmentazione è un altro principio fondamentale dello Zero Trust. La microsegmentazione è la tecnica che consiste nel separare le risorse sia a livello logico che fisico, al fine di rendere l’accesso estremamente restrittivo e controllato.
Le configurazioni on-premises possono utilizzare tecniche di segmentazione della rete per isolare e separare fisicamente (air gap) le destinazioni di archiviazione all’interno della rete. Una volta segmentata l’architettura di rete, applicare le topologie di rete Commvault per bloccare le connessioni in entrata verso la destinazione di archiviazione e automatizzare le politiche di accesso basate su whitelist, consentendo solo connessioni autenticate in uscita per trasferire i dati nel data vault sicuro. Molti dei nostri clienti scelgono inoltre di segmentare i dati nel cloud, sfruttando i controlli di archiviazione WORM offerti dal fornitore di servizi cloud.
Metallic Cloud Storage Service (MCSS) provides an even simpler air gap approach requiring no infrastructure change. MCSS is a cloud storage target managed through Metallic, offering offsite, secure air gapped data protection capabilities for the Commvault platform. Data protected in MCSS is unchangeable and cannot be accessed or exposed on the backend cloud account. The data is protected in Metallic’s zero trust architected environment. This provides an easy method to segment and separate data from an on-premises environment.
In addition to physical segmentation, data management can also be logically segmented. Using multi-tenancy controls; access to data is segmented and compartmentalized, reducing potential data exposure.
Encryption key management can also be segmented across several KMS systems such as AWS Key Management Service, Azure KeyVault, as well as with one of many certifiedFornitori KMIPproviding greater levels of protection against data access.
Architettura DMaaS metallica
Per una piattaforma gestita interamente basata sul modello Zero Trust, Metallic è la scelta ideale. Metallic è una piattaforma SaaS multi-tenant con segregazione integrata tra i tenant. I dati dei clienti sono completamente isolati e archiviati in sedi separate, creando un “air-gap” virtuale tra gli ambienti di origine e le copie di backup dei dati. La sicurezza rafforzata e i controlli di accesso Zero Trust, tra cui l’autenticazione a più fattori, l’accesso basato sui ruoli, la crittografia avanzata dei dati e i blocchi di privacy, impediscono l’accesso non autorizzato ai dati e la loro diffusione laterale. Metallic soddisfa inoltre i più rigorosi standard di sicurezza del settore e garantisce la conformità alle normative HIPAA, ISO 27001, GDPR e SOC 2, oltre ad essere l’unica soluzione SaaS per la protezione dei dati ad aver ottenuto la certificazione FedRAMP High In Process – In PMO Review.
Conclusione
Come potete vedere, sia che si tratti di una soluzione Commvault on-premise, dell’utilizzo di Metallic DMaaS o di qualsiasi combinazione delle opzioni sopra citate, la piattaforma Commvault è protetta secondo i principi dell’architettura Zero Trust.
Per saperne di più, partecipa al prossimo webinar di Commvault “Goingbeyond Zero Trust”, in programma il 23 marzo.
