President Biden’s cybersecurity executive order is clear as day … Zero Trust Architecture and modernized infrastructure is the key to protecting the nation’s data against the rampant threat landscape. We’ve seen the devastating effects firsthand with a ransomware attack disrupting gasoline distribution, causing outages and increased prices across the United States. It’s a global problem and statistically growing month on month from last year.https://www.blackfog.com/the-state-of-ransomware-in-2021/
In this blog post, I’ll explain why Zero Trust is important, what it is and how to harden your infrastructure by adopting Zero Trust principles using Commvault and Metallic.
What is Zero Trust?
Zero Trust is not a singular technology or feature. Zero Trust is a collection of design principles for IT infrastructure that enforces a “trust no one; always validate trust” approach to data access.
A great way to visualize Zero Trust Architecture is to think of home security. Around the perimeter of your house, you have cameras, locks, window sensors, and a fence. Essentially all your belongings are safe inside the perimeter of the house. However, if you have friends and acquaintances over for coffee, you have authorized entry into your home – at that point, your personal belongings are accessible and at risk of theft.
The above example perfectly illustrates a traditional approach to security – wherein firewalls provide perimeter security (keep the bad guys out) and user permissions control access. Once a bad actor gets in and gains access to privileged credentials (which they do) – they often go unchallenged while laterally moving through the environment doing damage.
Bei einem Zero-Trust-Ansatz wird der privilegierte Zugriff kontinuierlich überprüft, wodurch böswillige Akteure daran gehindert werden, sich frei zu bewegen und effektiv zu agieren. Um noch einmal auf das Beispiel mit dem Haus zurückzukommen: Nur weil ich im Haus autorisiert bin, sorgen Kombinationssafes, Innentürschlösser und interne Kameras für mehrere Ebenen der Überprüfung und Authentifizierung. Obwohl ich also Zugang zum Haus habe, muss ich mich weiterhin authentifizieren, indem ich die Kombination für den Safe oder die Schlüssel für die Schlafzimmertüren vorlege, wenn ich mich im Haus bewegen möchte.
Key principles of Zero Trust
National Institute of Standards and Technology (NIST) SP 800-207is the definitive reference guide for Zero Trust Architecture (ZTA). Many of the principles outlined within the NIST publication have been implemented as features and best practices allowing the Commvault platform to be fully deployed in a Zero Trust architecture. Additionally, Metallic™ Data Management as a Service (DMaaS) is completely architected in the cloud using Zero Trust principles from the ground up. A few key principles outlined by NIST are Least privilege access, multi-factor authentication, and Micro-segmentation. Let’s explore this further.
Least privilege access – NIST SP 800-207 Section 2.1
The concept of least privilege access provides users and/or accounts with the bare minimum capabilities to do their job and nothing more. This minimizes exposure if the account is compromised, as well as limits data access leaks. Commvault can lock down backup data using role based access controls and special data privacy locks. It is easy to limit users to specialized capabilities such as restore only or view only. You can additionally restrict browse/restore access to data owners, only superseding any global level admin capabilities. Additional integration with Privilege Access Management (PAM) platforms likeCyberArkverbessert die Sicherheitslage durch richtliniengesteuertes Kontenmanagement, die Rotation von Anmeldedaten und die Verwaltung von Privilegiensitzungen.
Multi-Factor Authentication – NIST SP 800-207 Section 2.1
Die Multi-Faktor-Authentifizierung (MFA) ist ein weiteres zentrales Konzept des Zero-Trust-Ansatzes. Da das Vertrauen kontinuierlich überprüft werden muss, bietet die MFA eine zusätzliche Überprüfungsebene für jede Authentifizierungsanfrage, wodurch es Angreifern erschwert wird, Zugriff auf Daten zu erlangen. Commvault und Metallic BaaS unterstützen moderne MFA-Implementierungen durch ihr SAML-basiertes Authentifizierungs-Framework. Mithilfe von Azure AD, ADFS, Okta oder anderen Identitätsanbietern (IDP) ermöglicht Commvault seinen Kunden den Einsatz von PIN-basierten MFA-Tools und Hardware-Authentifizierungstools, um den Datenzugriff auf Backups zu kontrollieren.
Bei lokalen Bereitstellungen mit AD- oder lokalen Konten ist die Zwei-Faktor-Authentifizierung (2FA) integriert, sodass Unternehmen jede beliebige Anwendung zur Generierung von PINs nutzen können, die auf dem in RFC 6238 festgelegten Algorithmus „Time-based One-Time Password“ (TOTP) basiert, wie beispielsweise Google Authenticator, Microsoft Authentication sowie viele andere.
Gemäß den NIST-Richtlinien zur digitalen Identität (NIST 800-63) cross referenced in their ZTA publication; hardware authentication technologies offers one of the highest standards for MFA providing Authenticator Assurance Level 3. This includes MFA technologies using modern specifications such as FIDO/FIDO2. Commvault is fully integrated with FIDO/FIDO2 MFA devices, such as offered throughvon YubicoYubiKey as well as PKI based Common Access Cards. This completely maximizes the level of protection from illegitimate authentication attempts and future proofs your data protection environment.
Sobald die Authentifizierung in der Verwaltungsoberfläche erfolgt ist, überprüft das Befehlsautorisierungssystem alle Aktionen innerhalb der Verwaltungsoberfläche. Unabhängig von der Rolle des Benutzers erfordert jeder Lösch-, Wiederherstellungs- oder Konfigurationsantrag die Genehmigung durch eine zuständige Stelle. Dies schützt vor Insider-Bedrohungen – sowohl vor böswilligen als auch vor versehentlichen – und bewahrt die Daten vor zerstörerischen Handlungen.
Micro-segmentation – NIST SP 800-207 Section 3.1.2
Die Mikrosegmentierung ist ein weiteres zentrales Prinzip des Zero-Trust-Ansatzes. Bei der Mikrosegmentierung werden Ressourcen sowohl logisch als auch physisch voneinander getrennt, um den Zugriff streng zu beschränken und zu kontrollieren.
Bei lokalen Installationen können Techniken zur Netzwerksegmentierung eingesetzt werden, um Speicherziele innerhalb des Netzwerks zu isolieren und durch eine physische Trennung (Air Gap) abzusichern. Sobald die Netzwerkarchitektur segmentiert ist, wenden Sie die Commvault-Netzwerktopologien an, um eingehende Verbindungen zum Speicherziel zu blockieren und Zugriffsrichtlinien auf Basis einer Whitelist zu automatisieren, die ausschließlich authentifizierte ausgehende Verbindungen zulassen, um Daten in den sicheren Datenspeicher zu übertragen. Viele unserer Kunden entscheiden sich zudem dafür, Daten in der Cloud zu segmentieren und dabei die vom Cloud-Anbieter angebotenen WORM-Speicherkontrollen zu nutzen.
Metallic Cloud Storage Service (MCSS) provides an even simpler air gap approach requiring no infrastructure change. MCSS is a cloud storage target managed through Metallic, offering offsite, secure air gapped data protection capabilities for the Commvault platform. Data protected in MCSS is unchangeable and cannot be accessed or exposed on the backend cloud account. The data is protected in Metallic’s zero trust architected environment. This provides an easy method to segment and separate data from an on-premises environment.
In addition to physical segmentation, data management can also be logically segmented. Using multi-tenancy controls; access to data is segmented and compartmentalized, reducing potential data exposure.
Encryption key management can also be segmented across several KMS systems such as AWS Key Management Service, Azure KeyVault, as well as with one of many certifiedKMIP-Anbieterproviding greater levels of protection against data access.
Metallic DMaaS Architecture
Wenn Sie auf der Suche nach einer Plattform sind, die vollständig nach dem Zero-Trust-Prinzip verwaltet wird, sind Sie bei Metallic genau richtig. Metallic ist eine mandantenfähige SaaS-Plattform mit integrierter Trennung zwischen den Mandanten. Kundendaten werden vollständig isoliert und an separaten Standorten gespeichert, wodurch eine virtuelle Luftbrücke zwischen den Quellumgebungen und den Sicherungskopien der Daten entsteht. Robuste Sicherheitsmaßnahmen und Zero-Trust-Zugriffskontrollen, darunter Multi-Faktor-Authentifizierung, rollenbasierter Zugriff, fortschrittliche Datenverschlüsselung und Datenschutzsperren, verhindern unbefugten Zugriff auf Daten sowie deren laterale Bewegung. Metallic erfüllt zudem die strengsten Sicherheitsstandards der Branche und gewährleistet die Einhaltung von HIPAA, ISO 27001, DSGVO und SOC 2. Darüber hinaus ist Metallic die einzige SaaS-Lösung für den Datenschutz, die den FedRAMP-Standard „High In Process – In PMO Review“ erreicht hat.
Schlussfolgerung
Wie Sie sehen, wird die Commvault-Plattform – ganz gleich, ob Sie eine Commvault-Lösung vor Ort implementieren, Metallic DMaaS nutzen oder eine beliebige Kombination aus all diesen Optionen wählen – nach den Prinzipien der Zero-Trust-Architektur gesichert.
Erfahren Sie mehr dazu im kommenden Commvault-Webinar „Goingbeyond Zero Trust“ am 23. März.
