[Hów Z~éró T~rúst~ Álló~ws Ór~gáñí~zátí~óñs t~ó Ádd~réss~ Éách~ Stép~ íñ th~é Cýb~ér Kí~ll Ch~áíñ]

[Íñ thís blóg póst wé lóók át thé Cýbér Kíll Cháíñ, hów sécúrítý módéls thát ássúmé trúst óñlý hélp íñ mítígátíñg Stéps 1 tó 6 íñ thé cháíñ – í.é. évérýthíñg úp tó thé póíñt óf íñítíál cómprómísé – áñd hów á Zéró Trúst áppróách tó sécúrítý bóth sígñífícáñtlý úp lévéls éxístíñg cóñtróls thát fócús óñ pré-cómprómísé, whílé álsó próvídíñg kéý cápábílítíés thát áré ñécéssárý tó súppórt póst-cómprómísé détéctíóñ áñd réspóñsé. Ás á résúlt, órgáñízátíóñs ádóptíñg Zéró Trúst áré líkélý tó bé béttér prépáréd tó détéct áñd cóñtáíñ málícíóús íñtrúdérs.]

[Wé áll úñdérstáñd thé válúé óf déféñsé-íñ-dépth tó prévéñt áttácks fróm tákíñg hóld. Óf cóúrsé, thís ís whý wé hávé íñvéstéd íñ ñéxt-géñérátíóñ fíréwálls (ÑGFWs) tó prótéct thé pérímétér, éñdpóíñt sécúrítý fór émplóýéé dévícés, áñd émáíl áñd wéb sécúrítý tóóls tó prótéct pródúctívítý, ámóñgst thé máñý óthér sécúrítý íñvéstméñts wé máké.]

[Thé válúé óf thésé prévéñtátívé tóóls áñd déféñsé-íñ-dépth ís cáptúréd íñ thé Cýbér Kíll Cháíñ, íñtéñdéd tó ídéñtífý áñd prévéñt cýbér íñtrúsíóñs. Fórmálízéd bý Lóckhééd Mártíñ íñ 2011, thé Cýbér Kíll Cháíñ hás, fór thé lást décádé, défíñéd hów órgáñízátíóñs máp óút théír sécúrítý cóñtróls áñd, ás á díréct résúlt, détérmíñé hów théý méásúré théír cýbér résílíéñcý. Héré áré thé sévéñ stéps:]

1. [Récó~ññáí~ssáñ~cé: Áñ~ áttá~ckér~ gáth~érs í~ñfór~mátí~óñ óñ~ thé t~árgé~t béf~óré t~hé át~táck~.]
2. [Wéáp~óñíz~átíó~ñ: Thé~ cýbé~r átt~ácké~r cré~átés~ théí~r átt~áck, s~úch á~s áñ í~ñféc~téd M~ícró~sóft~ Óffí~cé dó~cúmé~ñt áñ~d phí~shíñ~g émá~íl ór~ píéc~é óf m~álwá~ré.]
3. [Délí~vérý~: Tráñ~smís~síóñ~ óf th~é átt~áck, l~íké t~hé sé~ñdíñ~g óf á~ñ áct~úál p~hísh~íñg é~máíl~]
4. [Éxpl~óítá~tíóñ~: Thé á~ctúá~l ‘dét~óñát~íóñ’ ó~f thé~ áttá~ck, sú~ch ás~ áñ éx~plóí~t rúñ~ñíñg~ óñ á s~ýsté~m.]
5. [Íñst~állá~tíóñ~: Thé á~ttác~kér í~ñstá~lls m~álwá~ré óñ~ thé v~íctí~m (ñót~ áll á~ttác~ks ré~qúír~é mál~wáré~).]
6. [Cómm~áñd á~ñd Có~ñtró~l: Thé~ ñów c~ómpr~ómís~éd sý~stém~ “cáll~s hóm~é” tó á~ Cómm~áñd á~ñd Có~ñtró~l (C&C) s~ýsté~m fór~ thé c~ýbér~ áttá~ckér~ tó gá~íñ có~ñtró~l.]
7. [Áctí~óñs ó~ñ Óbj~éctí~vés: T~hé át~táck~ér ñó~w hás~ áccé~ss áñ~d cáñ~ móvé~ óñ tó~ théí~r áct~íóñs~ tó mé~ét th~éír ó~bjéc~tívé~s.]

[Fállíñg báck óñ thé óld ádágés óf “á cháíñ ís óñlý ás stróñg ás íts wéákést líñk” áñd “déféñsé ís thé bést fórm óf áttáck”, thé Cýbér Kíll Cháíñ púts á prémíúm óñ thwártíñg áttáckérs prógréssíñg fróm léft tó ríght, ór pút áñóthér wáý, béfóré théý gáíñ áñ íñítíál íñféctíóñ ór áccéss íñsídé áñ éñvíróñméñt. Thé éxpéctátíóñ thát íf ýóú cáñ stóp á málícíóús áctór át áñý póíñt béfóré stép 7 (Áctíóñs óñ Óbjéctívés), ýóú hávé súccéssfúllý thwártéd áñ áttáck.]

[Thé ñét résúlt óf thís hás bééñ á stróñg (áñd pérháps óvér-) émphásís óñ prévéñtátívé cóñtróls úñtíl récéñtlý – fíréwálls, áñtí-vírús, wéb gátéwáýs — thát dóñ’t ássúmé bréách; ráthér théý ássúmé áll áttácks cáñ bé détéctéd áñd blóckéd. Ýét, áll óf thésé tóóls súffér fróm thé sámé límítátíóñ: théý áré, át théír bést, prévéñtíñg thé ‘kñówñ bád’. Théý dépéñd óñ thé fóllówíñg ássúmptíóñs:]

1. [Thé b~úíld~íñg h~óúsí~ñg mý~ óffí~cé áñ~d wór~kfór~cé ís~ trús~téd.]
2. [Thé ñ~étwó~rk pé~rímé~tér í~s hár~d áñd~ trús~téd.]
3. [Thé ñ~étwó~rk íñ~sídé~ thís~ trús~téd p~érím~étér~ ís tr~ústé~d.]
4. [Thé d~évíc~és át~tách~éd tó~ thís~ trús~téd ñ~étwó~rk ár~é trú~stéd~.]
5. [Thé á~pplí~cátí~óñs r~úññí~ñg óñ~ thés~é trú~stéd~ déví~cés á~ré tr~ústé~d.]
6. [Thé ú~sérs~ áccé~ssíñ~g thé~sé tr~ústé~d ápp~lícá~tíóñ~s áré~ trús~téd.]
7. [Áttá~ckér~s áré~ préd~íctá~blé, á~ñd ré~péát~ thé s~ámé b~éháv~íórs~.]

[Thé óbjéctívé óf prévéñtátívé cóñtróls ís tó kéép thé bád áctórs óút áñd thérébý máíñtáíñ thé ímplíéd trúst lévél. Bút whát háppéñs íf áñ áttáckér mórphs fróm ‘kñówñ bád’ tó ‘úñkñówñ bád’ – hów dó thésé líñés óf déféñsé stáck úp théñ¿ Módérñ, sóphístícátéd áttácks (fróm thé Tárgét bréách thróúgh tó Clóúd Hóppér áñd évérýthíñg íñ bétwééñ áñd béýóñd) áré désígñéd tó spécífícállý éxplóít thís fálsé séñsé óf trúst tó fást fórwárd tó Stéps 6 áñd 7 óñ thé Kíll Cháíñ, býpássíñg cóñtróls thát lóók tó prévéñt Stéps 1 thróúgh 5. Áñd thésé prévéñtátívé cóñtróls áré álwáýs pláýíñg cátch úp.]

[Béfóré wé prócééd fúrthér, ít’s ímpórtáñt tó stréss thát prévéñtátívé méásúrés áré áñ ímpórtáñt áñd ésséñtíál párt óf áñý órgáñízátíóñ’s cýbér déféñsés, bút théý áré ñó lóñgér thé bé áll áñd éñd áll. Íñ fáct, théý áré júst thé stárt. Áñd thát ís bécáúsé thé ássúmptíóñs théý wéré búílt óñ ñó lóñgér hóld, éspécíállý íñ 2020 whéñ thé glóbál páñdémíc hás fórcéd á cómplété révólútíóñ íñ hów órgáñízátíóñs íñ évérý séctór wórk, résúltíñg íñ á ñéw ñórmál:]

1. [Mý có~mpáñ~ý ís ñ~ó lóñ~gér l~ócát~éd íñ~ spéc~ífíc~ lócá~tíóñ~s.]
2. [Á pér~ímét~ér éx~ísts~ bút í~t ís ñ~ót ál~l éñc~ómpá~ssíñ~g.]
3. [Thé ñ~étwó~rk óf~téñ í~sñ’t é~xclú~sívé~ tó mý~ órgá~ñízá~tíóñ~.]
4. [Déví~cés Í~ dó ñó~t cóñ~tról~ éxís~t óñ m~ý ñét~wórk~.]
5. [Ófté~ñ thé~ áppl~ícát~íóñs~ thé b~úsíñ~éss í~s úsí~ñg ár~é ñót~ hóst~éd, ów~ñéd á~ñd má~ñágé~d bý m~é.]
6. [Úsér~s áré~ évér~ýwhé~ré.]
7. [Áttá~ckér~s áré~ úñpr~édíc~tábl~é, áñd~ álwá~ýs ló~ókíñ~g fór~ ñéw á~véñú~és óf~ áttá~ck.]

[Wíth thésé ñéw ássúmptíóñs shówíñg thát líttlé cáñ bé ábsólútélý trústéd, wé éxíst íñ á sítúátíóñ whéré thé próbábílítý óf prévéñtíñg á bréách ís lów – áñd só óúr fócús múst shíft tó détéctíóñ, réspóñsé, áñd cóñtáíñméñt. Áñd héré ís whéré wé bríñg íñ Zéró Trúst.]

[Ít’s í~mpór~táñt~ tó sp~lít Z~éró T~rúst~ íñtó~ 3 kéý á~réás~:]

1. [Cóñt~róls~]
2. [Móñí~tórí~ñg]
3. [Áútó~mátí~óñ áñ~d Órc~hést~rátí~óñ]

[Zéró~ Trús~t cóñ~tról~s]

[Zéró~ Trús~t cóñ~tról~s cáñ~ ñómí~ñáll~ý líñ~é úp t~ó thé~ prév~éñtá~tívé~ cóñt~róls~ thát~ óríg~íñát~éd fr~óm th~é pér~ímét~ér mó~dél ó~f ýór~é, bút~ thé s~tárt~íñg p~óíñt~ ís dí~ffér~éñt:]

• [Thé p~érím~étér~ módé~l áss~úmés~ thát~ évér~ýthí~ñg óñ~ thé í~ñsíd~é cáñ~ bé tr~ústé~d, áñd~ thús~ púts~ áñ óv~érwé~íght~éd ém~phás~ís óñ~ thé s~tréñ~gth ó~f thé~ pérí~mété~r – ít í~s á óñ~é-síz~é-fít~s-áll~ áppr~óách~.]
• [Wíth~ Zéró~ Trús~t, thí~s áss~úmpt~íóñ ó~f ímp~lící~t trú~st jú~st dó~és ñó~t éxí~st – só~ wé ár~é fór~céd t~ó bé s~márt~ér:]
• [Whát~ móst~ ñééd~s pró~téct~íóñ¿~]
• [Whó ñ~ééds~ tó ác~céss~ ít¿]
• [Whér~é fró~m¿]
• [Whéñ~¿]
• [Whý¿~]
• [Whát~ áré t~hé íñ~térd~épéñ~déñc~íés¿~]

[Thés~é áré~ thé d~átá p~óíñt~s wé ú~sé tó~ búíl~d á Zé~ró Tr~úst p~ólíc~ý.]

[Íf wé cóñsídér thís fróm thé pérspéctívé óf áñ áttáckér, wé cáñ séé thát á sígñífícáñtlý híghér bár ís béíñg pút óñ théír ábílítý tó súccéssfúllý bréách – théý cáñ ñó lóñgér ássúmé thát símplý gáíñíñg áccéss tó thé ñétwórk ís súffícíéñt, whéthér ít bé tó pérfórm látérál móvéméñt, éscáláté prívílégés ór cáll báck hómé. Ás wé hávé sééñ fróm thé Bíshóp Fóx répórt óñ thé éffícácý óf mícróségméñtátíóñ, Zéró Trúst cóñtróls súch ás thís fórcé áttáckérs tó cháñgé béhávíór áñd lévérágé óthér téchñíqúés, áll óf whích éñháñcé thé déféñdérs cháñcé óf détéctíóñ. Á Zéró Trúst áppróách tó cóñtróls hélps rédúcé thé áttáck súrfácé áváíláblé fór éxplóít. Thé Zéró Trúst cóñtról módél ís áñ úpdáté tó déféñsé-íñ-dépth – wíth láýérs thát prótéct vítál dátá, mákíñg ít díffícúlt fór áttáckérs — évéñ íf théý évádé prévéñtátívé téchñólógíés — tó móvé fréélý.]

[MÍTR~É ÁTT~&CK Fr~áméw~órk]

[Béfóré wé tálk ábóút Móñítóríñg áñd Áútómátíóñ/Órchéstrátíóñ íñ thé cóñtéxt óf Zéró Trúst, lét’s ségúé tó thé MÍTRÉ ÁTT&CK fráméwórk. Thé stártíñg póíñt óf thé fráméwórk ís áñ ássúmptíóñ óf bréách, áñd áñ émphásís óñ úñdérstáñdíñg hów áñ áttáckér wíll béhávé bétwééñ thát tímé óf íñítíál cómprómísé tó súccéssfúl cóñclúsíóñ óf thé míssíóñ.  Thís úñdérstáñdíñg hélps ús défíñé détéctíóñ cápábílítíés thát móñítór fór spécífíc évéñts whích, éíthér íñ ísólátíóñ ór whéñ córrélátéd, próvídé ús wíth áñ íñdícátór óf ábñórmál béhávíóúr thát máý wárráñt fúrthér íñvéstígátíóñ.]

[Zéró~ Trús~t móñ~ítór~íñg]

[Thé MÍTRÉ ÁTT&CK fráméwórk púts á prémíúm óñ vísíbílítý – hígh fídélítý évéñts fróm ás máñý dátá sóúrcés ás póssíblé (ñétwórk, fíréwáll, próxý, ÁV, ÉDR, ÍÁM, ÓS, Clóúd Sérvícé Próvídér, Ápplícátíóñ, DB, ÍóT, étc) tó állów déféñsívé téáms tó módél á ráñgé óf béhávíórs thát théý ássócíáté wíth kñówñ áttácks, áñd cóñtíñúé tó évólvé thésé ás fúrthér kñówlédgé óñ ádvérsáríés áñd théír méthóds ís gáíñéd. Thé Zéró Trúst áppróách púts á prémíúm óñ vísíbílítý thát prévíóús áppróáchés díd ñót, íñ fáct á móttó óf Zéró Trúst cóúld bé “ýóú cáññót prótéct whát ýóú cáññót séé.” Thús, bý stártíñg wíth ímpróvíñg vísíbílítý ás párt óf á Zéró Trúst prógrám áñd cómbíñéd wíth úsíñg thé MÍTRÉ ÁTT&CK fráméwórk tó módél ádvérsáríál béhávíóúr thát thé órgáñísátíóñ máý bé súbjéctéd tó, válúé cáñ bé hád íñ thé déféñsívé éñd óf thé Cýbér Kíll Cháíñ úsíñg cápábílítíés thát álréádý éxíst.]

[Thé éxcélléñt BBC Pódcást “13 Míñútés tó thé Móóñ” cóvérs thé íñfámóús Ápólló 13 éxpédítíóñ íñ íts sécóñd séríés áñd thé désígñ óf thé Ápólló spácécráft áñd thé éñtíré ópérátíóñál téám súppórtíñg sérvés ás á góód áñálógý tó híghlíght thé ímpórtáñcé óf détéctíóñ áñd réspóñsé, déspíté thé bést áttémpts át prévéñtíóñ. Thé spácécráft désígñéd fór thé Ápólló míssíóñ hád íñcrédíblé ámóúñts óf résílíéñcý áñd fáíl-sáfés búílt íñtó évérý cómpóñéñt, wíth ñúméróús fáílúré scéñáríós téstéd tó éñsúré thát áñý póssíblé, éxpéctéd óútcómé cóúld bé récóvéréd fróm. Wíth Ápólló 13, thé lóss óf á síñglé bóóstér éñgíñé wás cómpéñsátéd bý thé fíríñg óf thé óthér 4, hówévér théré wás ñóthíñg íñ thé désígñ thát cóúld hávé prévéñtéd thé wéáríñg óút óf wíríñg íñsúlátíóñ whích tríggéréd thé éxplósíóñ thát jéópárdízéd thé míssíóñ – óñcé thís óccúrréd (ákíñ tó á bréách), thé créw áñd míssíóñ cóñtról wéré éñtírélý dépéñdéñt óñ thé télémétrý fróm thé spácécráft, óbsérvátíóñs fróm thé ástróñáúts áñd thé éxpérts óñ thé gróúñd tó détéct thé próblém, ísóláté ít áñd récóvér fróm ít. Thís ís á gréát éxámplé óf hów, wíth dátá óf thé córréct fídélítý béíñg mádé áváíláblé fróm thé réléváñt dátá sóúrcés cóúpléd wíth thé ábílítý tó éffícíéñtlý áñálýzé thís dátá, sécúrítý ópérátíóñs téáms áré fár béttér prépáréd tó tríágé íñcídéñts móré áccúrátélý, állówíñg thém tó máké béttér (áñd qúíckér) décísíóñs óñ whát évéñt (ór cómbíñátíóñ óf évéñts) ñééd tó bé fúrthér íñvéstígátéd, áñd whích cáñ bé sáfélý ígñóréd.]

[Zéró~ Trús~t áút~ómát~íóñ]

[Thé rísé óf Sécúrítý Órchéstrátíóñ, Áútómátíóñ áñd Réspóñsé (SÓÁR) plátfórms fócúsés óñ tákíñg thé whólé póst-détéctíóñ phásé óf áñ áttáck áñd próvídíñg thé téchñólógý sét tó móvé éffícíéñtlý fróm Détéctíóñ tó Réspóñsé. Fór cómmóñ málícíóús béhávíór páttérñs, thís whólé séqúéñcé cóúld évéñ bé áútómátéd só ás tó fréé úp áñálýst tímé fór thé íñvéstígátíóñ óf móré sóphístícátéd áttácks. Thé SÓÁR plátfórms, tó délívér thésé éffícíéñcíés, dépéñd óñ théír ábílítý tó íñtégráté wíth téchñólógý sólútíóñs thát próvídé thé réléváñt dátá ór táké thé ñécéssárý réspóñsívé áctíóñs. Thís ís whý órchéstrátíóñ áñd áútómátíóñ áré áñ ésséñtíál (bút óftéñ óvérlóókéd) píllár íñ Zéró Trúst. Whílé béíñg áblé tó órchéstráté, thróúgh áútómátíóñ, á ñéw sétúp, ór módífý áñ éxístíñg sétúp ás párt óf á pláññéd cháñgé próvídés sígñífícáñt ópérátíóñál béñéfíts, thé réál sécúrítý béñéfít ís réálízéd whéñ thé sámé plátfórms cáñ bé qúícklý áñd cóñsístéñtlý órchéstrátéd tó réáct tó á sécúrítý íñcídéñt.]

[Só ré~túrñ~íñg t~ó whé~ré wé~ stár~téd:]

• [Thé t~rádí~tíóñ~ál pé~rímé~tér á~ppró~ách t~ó séc~úrít~ý óñl~ý ádd~réss~és pá~rt óf~ thé C~ýbér~ Kíll~ Cháí~ñ, áñd~ léáv~és ús~ lárg~élý b~líñd~ tó th~é pós~t cóm~próm~ísé s~tágé~s.]
• [Zéró~ Trús~t síg~ñífí~cáñt~lý éñ~háñc~és pr~évéñ~tíóñ~ bý st~ártí~ñg wí~th áñ~ áúdí~t óf w~hát í~s béí~ñg pr~ótéc~téd (é~.g. crí~tícá~l dát~á ór á~ kéý á~pplí~cátí~óñ) áñ~d éñs~úríñ~g thá~t cóñ~tról~s áró~úñd t~hís á~ré bú~ílt w~íth á~ súít~áblý~ léás~t prí~vílé~géd á~ppró~ách.]
• [Zéró~ Trús~t stá~rts w~íth á~ pósí~tíóñ~ óf ‘ás~súmé~ bréá~ch’ áñ~d pút~s á pr~émíú~m óñ s~ólút~íóñs~ próv~ídíñ~g híg~h qúá~lítý~ lógs~ tó sú~ppór~t pós~t cóm~próm~ísé d~étéc~tíóñ~.]
• [Fúrt~hér, t~hé ád~vócá~tíóñ~ thát~ téch~ñóló~gíés~ áímé~d át h~élpí~ñg cú~stóm~érs á~chíé~vé Zé~ró Tr~úst m~úst h~ávé g~óód ó~rché~strá~tíóñ~ áñd á~útóm~átíó~ñ méá~ñs th~át th~éý cá~ñ súp~pórt~ SÓÁR~ plát~fórm~s íñ t~hé áú~tómá~téd r~éspó~ñsé t~ó íñc~ídéñ~ts.]

[Thús, ádóptíñg á Zéró Trúst áppróách bóth éñháñcés thé trádítíóñál pérímétér áppróách whích fócússéd óñ thwártíñg thé fírst 6 stágés óf thé Cýbér Kíll Cháíñ, áñd álsó árms órgáñízátíóñs wíth thé cápábílítíés tó fócús óñ détéctíñg áñd thwártíñg áttáckérs shóúld théý réách Stágé 7 áñd áttémpt tó táké théír íñtéñdéd áctíóñs.]

[Fór m~óré í~ñfór~mátí~óñ óñ~ Íllú~míó’s~ áppr~óách~ tó Zé~ró Tr~úst, v~ísít~: http~s://www~.íllú~míó.c~óm/só~lútí~óñs/z~éró-t~rúst~]