President Biden’s cybersecurity executive order is clear as day … Zero Trust Architecture and modernized infrastructure is the key to protecting the nation’s data against the rampant threat landscape. We’ve seen the devastating effects firsthand with a ransomware attack disrupting gasoline distribution, causing outages and increased prices across the United States. It’s a global problem and statistically growing month on month from last year.https://www.blackfog.com/the-state-of-ransomware-in-2021/
In this blog post, I’ll explain why Zero Trust is important, what it is and how to harden your infrastructure by adopting Zero Trust principles using Commvault and Metallic.
What is Zero Trust?
Zero Trust is not a singular technology or feature. Zero Trust is a collection of design principles for IT infrastructure that enforces a “trust no one; always validate trust” approach to data access.
A great way to visualize Zero Trust Architecture is to think of home security. Around the perimeter of your house, you have cameras, locks, window sensors, and a fence. Essentially all your belongings are safe inside the perimeter of the house. However, if you have friends and acquaintances over for coffee, you have authorized entry into your home – at that point, your personal belongings are accessible and at risk of theft.
The above example perfectly illustrates a traditional approach to security – wherein firewalls provide perimeter security (keep the bad guys out) and user permissions control access. Once a bad actor gets in and gains access to privileged credentials (which they do) – they often go unchallenged while laterally moving through the environment doing damage.
Com uma abordagem de Zero Trust, o acesso privilegiado é constantemente questionado, limitando a capacidade dos agentes mal-intencionados de se movimentarem e agirem com eficácia. Voltando ao exemplo da casa, só porque estou autorizado a entrar nela, cofres com combinação, fechaduras nas portas internas e câmeras internas oferecem múltiplas camadas de fiscalização e validação. Assim, embora tenha autorização para entrar na casa, preciso continuar a me identificar, fornecendo a combinação do cofre ou as chaves das portas dos quartos, caso tente me movimentar pela casa.
Key principles of Zero Trust
National Institute of Standards and Technology (NIST) SP 800-207is the definitive reference guide for Zero Trust Architecture (ZTA). Many of the principles outlined within the NIST publication have been implemented as features and best practices allowing the Commvault platform to be fully deployed in a Zero Trust architecture. Additionally, Metallic™ Data Management as a Service (DMaaS) is completely architected in the cloud using Zero Trust principles from the ground up. A few key principles outlined by NIST are Least privilege access, multi-factor authentication, and Micro-segmentation. Let’s explore this further.
Least privilege access – NIST SP 800-207 Section 2.1
The concept of least privilege access provides users and/or accounts with the bare minimum capabilities to do their job and nothing more. This minimizes exposure if the account is compromised, as well as limits data access leaks. Commvault can lock down backup data using role based access controls and special data privacy locks. It is easy to limit users to specialized capabilities such as restore only or view only. You can additionally restrict browse/restore access to data owners, only superseding any global level admin capabilities. Additional integration with Privilege Access Management (PAM) platforms likeCyberArk, aprimora ainda mais a postura de segurança por meio do gerenciamento de contas orientado por políticas, da rotação de credenciais e do gerenciamento de sessões privilegiadas.
Multi-Factor Authentication – NIST SP 800-207 Section 2.1
A autenticação multifatorial (MFA) é outro conceito fundamental do modelo Zero Trust. Como a confiança precisa ser validada continuamente, a MFA oferece uma camada adicional de validação para qualquer solicitação de autenticação, dificultando que um agente mal-intencionado obtenha acesso aos dados. A Commvault e o Metallic BaaS oferecem suporte a implementações modernas de MFA por meio de sua estrutura de autenticação baseada em SAML. Utilizando o Azure AD, o ADFS, o Okta ou outro provedor de identidade (IDP), a Commvault permite que os clientes implantem ferramentas de MFA baseadas em PIN e ferramentas de autenticação por hardware para controlar o acesso aos dados de backup.
As implantações locais que utilizam o AD ou contas locais contam com autenticação de dois fatores (2FA) integrada, permitindo que as organizações utilizem qualquer aplicativo gerador de PIN baseado no algoritmo de senha única baseada em tempo (TOTP), especificado na RFC 6238, como o Google Authenticator, o Microsoft Authenticator e muitos outros.
De acordo com as diretrizes de Identidade Digital do NIST (NIST 800-63) cross referenced in their ZTA publication; hardware authentication technologies offers one of the highest standards for MFA providing Authenticator Assurance Level 3. This includes MFA technologies using modern specifications such as FIDO/FIDO2. Commvault is fully integrated with FIDO/FIDO2 MFA devices, such as offered throughpela YubicoYubiKey as well as PKI based Common Access Cards. This completely maximizes the level of protection from illegitimate authentication attempts and future proofs your data protection environment.
Após a autenticação na interface de gerenciamento, a estrutura de autorização de comandos valida as ações realizadas nessa interface. Independentemente da função do usuário, qualquer solicitação de exclusão, restauração ou configuração requer a autorização de uma autoridade responsável pela aprovação. Isso protege contra ameaças internas, tanto maliciosas quanto acidentais, e mantém os dados a salvo de ações destrutivas.
Micro-segmentation – NIST SP 800-207 Section 3.1.2
A microsegmentação é outro princípio fundamental do modelo Zero Trust. A microsegmentação é a técnica de separar recursos tanto lógica quanto fisicamente, a fim de tornar o acesso altamente restritivo e controlado.
As instalações locais podem utilizar técnicas de segmentação de rede para isolar e criar um “air gap” para os destinos de armazenamento dentro da rede. Uma vez segmentada a arquitetura de rede, aplique as Topologias de Rede da Commvault para bloquear conexões de entrada para o destino de armazenamento e automatizar políticas de acesso por lista de permissões, permitindo apenas conexões de autenticação de saída para transferir dados para o cofre de dados seguro. Muitos de nossos clientes também optam por segmentar os dados na nuvem, aproveitando os controles de armazenamento WORM oferecidos pelo provedor de nuvem.
Metallic Cloud Storage Service (MCSS) provides an even simpler air gap approach requiring no infrastructure change. MCSS is a cloud storage target managed through Metallic, offering offsite, secure air gapped data protection capabilities for the Commvault platform. Data protected in MCSS is unchangeable and cannot be accessed or exposed on the backend cloud account. The data is protected in Metallic’s zero trust architected environment. This provides an easy method to segment and separate data from an on-premises environment.
In addition to physical segmentation, data management can also be logically segmented. Using multi-tenancy controls; access to data is segmented and compartmentalized, reducing potential data exposure.
Encryption key management can also be segmented across several KMS systems such as AWS Key Management Service, Azure KeyVault, as well as with one of many certifiedKMIP providersproviding greater levels of protection against data access.
Metallic DMaaS Architecture
Para uma plataforma gerenciada totalmente baseada no modelo “zero trust”, a Metallic é a escolha certa. A Metallic é uma plataforma SaaS multilocatária com segregação integrada entre locatários. Os dados dos clientes são totalmente isolados e armazenados em locais separados, criando um “air-gap” virtual entre os ambientes de origem e as cópias de backup dos dados. Segurança reforçada e controles de acesso “zero trust”, incluindo autenticação multifatorial, acesso baseado em funções, criptografia avançada de dados e bloqueios de privacidade, impedem o acesso não autorizado e o movimento lateral de dados. A Metallic também atende aos padrões de segurança mais rigorosos do setor e mantém a conformidade com HIPAA, ISO 27001, GDPR e SOC 2, além de ser a única solução de proteção de dados SaaS a atingir o padrão FedRAMP High In Process — em análise pelo PMO.
Conclusão
Como você pode ver, seja ao implantar uma solução da Commvault no local, ao utilizar o Metallic DMaaS ou ao combinar qualquer combinação das opções acima, a plataforma da Commvault é protegida com base nos princípios da arquitetura Zero Trust.
Saiba mais participando do próximo webinar da Commvault,“Going beyond Zero Trust”, no dia 23 de março.
