ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), sıfır güvene geçişin bir parçası olarak federal kurumların eski internet ağ geçitlerini Güvenli Erişim Hizmeti Uç Noktası (SASE) teknolojisiyle değiştirmelerine yardımcı olacak yeni kılavuz yayınladı.
24 Haziran'da yayınlanan kılavuz, kurumların çevre tabanlı Güvenilir İnternet Bağlantıları (TIC) 2.0 modelinden CISA'nın sıfır güven ilkeleri etrafında oluşturduğu daha esnek TIC 3.0'a geçmek için SASE'yi nasıl kullanabileceğini açıklıyor.
CISA, SASE'nin kurumların uzun süredir güvendiği Yönetilen Güvenilir İnternet Protokolü Hizmetlerinin (MTIPS) yerini alabileceğini söyledi.
Sistem Güvenliği
Çevreyi SASE ile Değiştirmek
Sonuç ve Değerlendirme
Eski TIC 2.0 modelinde ajanslar tüm internet trafiklerini az sayıda merkezi erişim noktası üzerinden yönlendiriyordu.
Önemli Gelişmeler
CISA, bu yaklaşımın uzak ve şube kullanıcılarını yavaşlatan darboğazlar yarattığını ve yeni teknolojilerin benimsenmesini engellediğini söyledi. TIC 3.0 ise tam tersine, trafiklerinde CISA görünürlüğü sağladıkları sürece kurumların daha dağıtılmış mimariler oluşturmasına olanak tanıyor.
SASE, ağ oluşturma ve güvenlik işlevlerini çoğunlukla bulut tabanlı tek bir hizmette birleştirir. CISA'nın tanımı, yazılım tanımlı geniş alan ağı (SD-WAN) gibi araçları, güvenli web ağ geçitleri, bulut erişimi güvenlik aracıları, yeni nesil güvenlik duvarları ve sıfır güven ağ erişimi (ZTNA) dahil olmak üzere güvenlik kontrolleriyle birleştirir.
Gelecekte Ne Bekleniyor?
Kılavuz, satıcıdan bağımsızdır ve belirli ürünlerden ziyade mimariye odaklanır.
CISA'nın sıfır güven yol haritası hakkında daha fazlasını okuyun: CISA ve Ortakları OT Güvenliği İçin Sıfır Güven Kılavuzunu Yayınladı
CISA'yı Döngüde Tutmak
Ancak MTIPS'ten çıkmak bir sorunla birlikte gelir. Ajans trafiği, CISA'nın EINSTEIN sensörlerinin bulunduğu merkezi ağ geçitlerinden akmayı durdurduğunda, ajans federal ağları izlemek için kullandığı telemetriyi kaybettiğini söyledi.
Detaylar ve Etkileri
Bu görünürlüğü korumak için ajansların, ajans tarafından sağlanan telemetriyi toplayan bir bulut hizmeti olan CISA'nın Kapsamlı Günlük Toplama Deposuna (CLAW) eşdeğer verileri beslemesi gerekir.
Kılavuz aynı zamanda uzun süredir devam eden bir uygulamadaki değişime de işaret ediyor. CISA, karmaşıklığı ve eklediği gecikmeyi gerekçe göstererek, şifrelenmiş TLS trafiğini kırmanın ve incelemenin artık evrensel olarak önerilen bir yaklaşım olmadığını söyledi. Bunun yerine, makine öğrenimini kullanmak da dahil olmak üzere şifrelenmiş trafiği, tamamen şifresini çözmeden, şüpheli kalıplar açısından analiz etmeye işaret etti.
Nasıl Önlem Alınmalı?
CISA, rehberliğin federal sivil yürütme organı (FCEB) kurumlarına yönelik olmasını amaçladı ancak eyalet ve yerel yönetimlerin, kritik altyapı operatörlerinin ve diğer kuruluşların da bunu faydalı bulabileceğini söyledi. CISA'nın geçen yıl başlattığı sıfır güven serisine mikrosegmentasyon rehberiyle birlikte katılıyor.
CISA'nın siber güvenlikten sorumlu başkan yardımcısı Chris Butera, kılavuzun "kurumların sıfır güven mimarilerinin faydalarını fark etmelerine yardımcı olduğunu" söyledi. Ajans, sıfır güvene ulaşmanın tek bir ürünün kullanıma sunulmasından ziyade sürdürülebilir bir dönüşüm olduğunu vurguladı.
