NIST
SP 800-207
Базовый референс по Zero Trust Architecture от NIST.
Zero Trust - это не «новый firewall» и не один продукт, а способ проектировать безопасность вокруг identity, контекста и постоянной проверки доступа. Главная идея: сеть сама по себе не является фактором доверия, поэтому каждый запрос должен проходить проверку по политике.
Принципы Zero Trust
Never Trust, Always Verify
Ни один запрос не считается безопасным по умолчанию: проверяйте identity, контекст и policy каждый раз.
Least Privilege
Права доступа должны быть минимальными и краткоживущими, с привязкой к конкретной задаче.
Assume Breach
Проектируйте систему так, будто злоумышленник уже внутри периметра: сегментация, наблюдаемость и быстрый revoke.
База
Identification -> AuthN -> AuthZ
Identity и authorization модель - фундамент для Zero Trust rollout.
Референс-архитектура
Identity Plane
- Workforce and workload identity (users, services, devices).
- IdP + lifecycle management + MFA/passkeys.
- Short-lived credentials вместо long-lived secrets.
Policy Plane
- Policy decision point: RBAC/ABAC/ReBAC или policy-as-code.
- Решение на основе subject + action + resource + context.
- Явный deny-by-default как базовый режим.
Enforcement Plane
- Policy enforcement points в gateway, mesh, приложениях.
- mTLS и service identity для east-west трафика.
- Полный audit trail для access decisions.
Telemetry Plane
- Continuous verification через логи, метрики и security signals.
- Risk-based access и динамические ограничения.
- Быстрый incident response и автоматизированный revoke.
Как внедрять поэтапно
1. Inventory
Соберите карту identities, сервисов, секретов, критичных путей и текущих trust assumptions.
2. Strong AuthN Baseline
Включите MFA/passkeys для пользователей и workload identity для сервисов; уберите shared credentials.
3. Policy Centralization
Вынесите правила доступа в единый policy layer и внедрите deny-by-default для новых ресурсов.
4. Segmentation + Enforcement
Разделите контуры (prod/non-prod, data tiers, admin paths) и добавьте PEP в ключевые точки трафика.
5. Continuous Validation
Настройте мониторинг access anomalies, периодический review прав и автоматическую ротацию credentials.
Антипаттерны
- Считать Zero Trust продуктом, а не архитектурным подходом и operating model.
- Ограничиться только VPN replacement без пересмотра identity и authorization модели.
- Делать 'allow all внутри кластера' и называть это zero trust.
- Не иметь процессов revoke/deprovision — даже при хорошей аутентификации.
- Оставлять админский доступ постоянным, без JIT/JEA и явного approvals flow.
Быстрый практический критерий: если после компрометации одного сервиса атакующий получает «почти всё», значит Zero Trust внедрён только номинально.