หลักการ Zero Trust และโมเดล BeyondCorp

ความเชื่อถือเป็นศูนย์ คือกรอบงานด้านความปลอดภัยที่ยึดหลักการว่า "อย่าเชื่อถือใครโดยอัตโนมัติ ให้ตรวจสอบเสมอ" แตกต่างจากการรักษาความปลอดภัยที่อาศัยขอบเขตเครือข่ายซึ่งเชื่อถือทุกสิ่งภายในเครือข่าย ความเชื่อถือเป็นศูนย์กำหนดให้ตรวจสอบผู้ใช้ อุปกรณ์ และแอปพลิเคชันทุกแห่งอย่างต่อเนื่อง โดยไม่ขึ้นกับตำแหน่งที่ตั้ง

การรักษาความปลอดภัยตามขอบเขตแบบดั้งเดิมถือว่าภายใน = เชื่อถือได้ แนวทางนี้ใช้ไม่ได้ผลเนื่องจาก:

• บริการคลาวด์อยู่นอกขอบเขตเครือข่าย
• การทำงานจากระยะไกลทำให้พนักงานอยู่ได้ทุกที่
• การเคลื่อนที่ด้านข้างภายในเครือข่ายที่เชื่อถือได้ทำได้ง่ายมาก
• การรั่วไหลของข้อมูลมากกว่า 70% เกี่ยวข้องกับภัยคุกคามจากบุคคลภายในหรือข้อมูลรับรองที่ถูกขโมย

Google เผยแพร่ BeyondCorp ในปี 2014 โดยอธิบายวิธีที่ Google ยกเลิก VPN และกำหนดสิทธิ์เข้าถึงโดยอาศัยการตรวจสอบอุปกรณ์และผู้ใช้แทนตำแหน่งเครือข่าย พนักงาน Google ทุกคนสามารถทำงานจากเครือข่ายใดก็ได้ — สิทธิ์เข้าถึงจะพิจารณาจากตัวตนและสถานะอุปกรณ์ ไม่ใช่ที่อยู่ IP

เสาหลักทั้งห้า:

1. ตรวจสอบอย่างชัดเจน — ยืนยันตัวตนผู้ใช้และอุปกรณ์ทุกเครื่อง
2. ใช้สิทธิ์น้อยที่สุด — ให้สิทธิ์เท่าที่จำเป็นขั้นต่ำ
3. ถือว่าถูกบุกรุกแล้ว — ออกแบบเสมือนว่าเครือข่ายถูกบุกรุกอยู่แล้ว
4. ตรวจสอบการรับส่งข้อมูลทั้งหมด — ไม่เชื่อถือการรับส่งข้อมูลระหว่างระบบภายในโดยปริยาย
5. ตรวจสอบอย่างต่อเนื่อง — ตรวจสอบซ้ำตลอดช่วงการใช้งาน

ในความเชื่อถือเป็นศูนย์ ตัวตนเข้ามาแทนที่ตำแหน่งเครือข่ายในฐานะปัจจัยหลักของการควบคุมการเข้าถึง การควบคุมตัวตนที่เข้มงวดจึงมีความสำคัญอย่างยิ่ง:

• MFA ที่ป้องกันฟิชชิง (FIDO2)
• ผู้ให้บริการตัวตนแบบรวมศูนย์ (IdP)
• นโยบายการเข้าถึงตามเงื่อนไขที่อิงสัญญาณความเสี่ยง
• การจัดการตัวตนที่มีสิทธิ์สูง (PIM)

ความเชื่อถือเป็นศูนย์กำหนดให้ตรวจสอบสถานะอุปกรณ์ก่อนให้สิทธิ์เข้าถึง:

• อุปกรณ์ลงทะเบียนใน MDM แล้วหรือไม่
• OS เป็นเวอร์ชันล่าสุดพร้อมแพตช์ด้านความปลอดภัยหรือไม่
• เปิดใช้การเข้ารหัสดิสก์หรือไม่
• เอเจนต์ EDR กำลังทำงานอยู่หรือไม่
• อุปกรณ์ถูกเจลเบรกหรือรูตหรือไม่

จะตรวจสอบการปฏิบัติตามข้อกำหนดของอุปกรณ์ทุกครั้งที่มีการร้องขอเข้าถึง

NIST SP 800-207 เป็นมาตรฐานสถาปัตยกรรมความเชื่อถือเป็นศูนย์ของรัฐบาลสหรัฐฯ มาตรฐานนี้กำหนดหลักการเจ็ดประการของ ZTA และอธิบายสถานการณ์การนำไปใช้งาน หน่วยงานรัฐบาลกลางทั้งหมดต้องนำ ZTA ไปใช้งานตามคำสั่งฝ่ายบริหารที่ 14028 (2021)

VPN แบบดั้งเดิมให้สิทธิ์เข้าถึงเครือข่ายอย่างกว้างขวาง การเข้าถึงเครือข่ายแบบความเชื่อถือเป็นศูนย์ (ZTNA) ให้สิทธิ์เข้าถึงเป็นรายแอปพลิเคชันโดยอิงตัวตนและสถานะอุปกรณ์:

• VPN: เชื่อถือเครือข่าย → เข้าถึงทุกสิ่งภายใน
• ZTNA: ตรวจสอบตัวตนและอุปกรณ์ → เข้าถึงเฉพาะแอปพลิเคชันที่ระบุ

การนำ ZTA ไปใช้งานอย่างเป็นลำดับ:

1. จัดทำรายการผู้ใช้ อุปกรณ์ แอปพลิเคชัน และข้อมูล
2. สร้างตัวตนที่รัดกุม (MFA, IdP)
3. นำการตรวจสอบการปฏิบัติตามข้อกำหนดของอุปกรณ์มาใช้ (MDM)
4. แบ่งส่วนแอปพลิเคชัน (พร็อกซี ZTNA)
5. ติดตามและตรวจสอบอย่างต่อเนื่อง

สภาพแวดล้อมคลาวด์สอดคล้องกับความเชื่อถือเป็นศูนย์โดยธรรมชาติ:

• ไม่มีขอบเขตระบบภายในองค์กรที่ต้องปกป้อง — ทุกสิ่งอยู่ "ภายนอก"
• นโยบาย IAM ทำหน้าที่เสมือนไฟร์วอลล์
• โครงข่ายบริการ (Istio, Consul) บังคับใช้ mTLS ที่อิงตัวตนระหว่างบริการ
• CSPM ตรวจสอบการละเมิดนโยบายอย่างต่อเนื่อง

แพลตฟอร์มความเชื่อถือเป็นศูนย์รายสำคัญ:

• Google BeyondCorp Enterprise
• Zscaler Private Access
• Cloudflare Access
• Okta + Okta Device Trust
• Microsoft Azure AD Conditional Access

ความเชื่อถือเป็นศูนย์: "อย่าเชื่อถือใครโดยอัตโนมัติ ให้ตรวจสอบเสมอ" แทนที่การรักษาความปลอดภัยตามขอบเขตด้วยการตรวจสอบตัวตนและอุปกรณ์สำหรับทุกคำขอเข้าถึง BeyondCorp ของ Google แสดงให้เห็นว่าสามารถนำแนวทางนี้ไปใช้ในวงกว้างได้ NIST SP 800-207 เป็นมาตรฐานสำหรับแนวทางนี้ การนำไปใช้งานประกอบด้วย IdP ที่รัดกุม, MFA, การตรวจสอบการปฏิบัติตามข้อกำหนดของอุปกรณ์ด้วย MDM และการเข้าถึงเป็นรายแอปพลิเคชันด้วย ZTNA สภาพแวดล้อมคลาวด์สอดคล้องกับหลักการความเชื่อถือเป็นศูนย์โดยธรรมชาติ