Непрерывная проверка и мониторинг

Нулевое доверие не заканчивается аутентификацией. Решения о доступе необходимо постоянно пересматривать на протяжении сеансов на основе сигналов риска в реальном времени. Доверенный сеанс в 9:00 может стать недоверенным уже в 9:05, если устройство скомпрометировано.

Сигналы, используемые для постоянной проверки:

• Изменение статуса соответствия устройства (оповещение EDR, сбой обновления)
• Аномалии поведения пользователя (необычное время доступа, объём)
• Изменение местоположения (невозможное перемещение)
• Аналитика сетевых угроз (обнаружена связь с C2)
• Аномалии доступа к приложениям

Адаптивная аутентификация динамически изменяет требования к аутентификации в зависимости от риска. Доступ с низким риском (известное устройство, обычные часы) → дополнительные меры не требуются. Сигналы высокого риска → потребовать повторную аутентификацию или дополнительный этап MFA. IdPs с учётом контекста (Okta, Azure AD) реализуют этот подход.

При срабатывании сигнала риска сеансы необходимо отзывать немедленно. Реализация:

• Короткий срок действия токенов (15 минут) + токены обновления
• Списки отозванных токенов
• Инвалидация сеанса SSO на стороне IdP
• Принудительная повторная аутентификация через выход из системы по обратному каналу OIDC

SIEM объединяет журналы из всех источников (IdP, конечные устройства, сеть, приложения) и сопоставляет события для обнаружения атак. SIEM нулевого доверия отслеживает:

• События аутентификации и аномалии
• Повышение привилегий
• Необычный доступ к данным или их извлечение
• Нарушения политик

UEBA формирует базовые модели поведения пользователей и сущностей, а затем выявляет отклонения:

• Пользователь X всегда получает доступ из NYC — оповещение при доступе из Москвы
• Учётная запись сервиса никогда не устанавливает внешние соединения — оповещение при их появлении
• Аномалия объёма загрузки данных — оповещение при загрузке, в 100 раз превышающей обычную

Поиск угроз — это проактивный поиск угроз, не обнаруженных автоматизированными инструментами. Специалисты по поиску угроз формулируют гипотезы на основе данных об угрозах и тактик, техник и процедур ATT&CK, а затем ищут свидетельства в журналах. Задача не в ожидании оповещений — специалисты активно ищут атакующих, скрывающихся в среде.

Комплексный стек наблюдаемости для мониторинга нулевого доверия:

• Журналы: Elasticsearch + Kibana (ELK), Splunk
• Метрики: Prometheus + Grafana
• Трассировки: Jaeger, Zipkin (распределённая трассировка)
• Сеть: Zeek, Suricata, журналы потоков VPC

Нулевое доверие распространяется и на непрерывный контроль соответствия требованиям:

• Инструменты CSPM постоянно сканируют конфигурации облака, а не делают это периодически
• Политика как код (OPA/Rego) автоматически обеспечивает соответствие требованиям
• Обнаружение дрейфа оповещает, когда конфигурации отклоняются от базовой

Непрерывный мониторинг передаёт данные в систему автоматизированного реагирования (SOAR):

• Изолировать скомпрометированное устройство от IdP → немедленно заблокировать весь доступ
• Одновременно заблокировать вредоносный IP на межсетевом экране и в CDN
• Создать заявку об инциденте, уведомить дежурного специалиста, поместить систему в карантин

Скорость важна — автоматическое реагирование выполняется за секунды, а ручное занимает минуты.

Измерение прогресса внедрения нулевого доверия:

• % пользователей с MFA, устойчивой к фишингу
• % устройств, зарегистрированных в MDM и соответствующих требованиям
• % приложений, к которым получают доступ через ZTNA, а не VPN
• Среднее время обнаружения аномального доступа
• % трафика восток—запад с взаимным TLS

Какая система формирует базовые модели поведения пользователей и сущностей, чтобы обнаруживать такие аномалии, как невозможное перемещение или необычная загрузка данных?

Нулевое доверие требует постоянной проверки после первоначальной аутентификации. Сигналы риска в реальном времени (состояние устройства, аномалии поведения, данные об угрозах) запускают адаптивную аутентификацию или отзыв сеанса. SIEM и UEBA обнаруживают атаки, а поиск угроз выявляет то, что упускает автоматизация. SOAR автоматизирует реагирование за секунды. Отслеживайте зрелость нулевого доверия по охвату MFA, регистрации в MDM и доле трафика восток—запад с mTLS.