ZTO

ZTO (от англ. Zero Trust Object — «объект с нулевым доверием», также ZTO-модель, ZTO-архитектура) — это концепция построения информационных систем и сетевой безопасности, основанная на принципе отсутствия доверия к любому субъекту или объекту внутри и вне периметра сети. В отличие от традиционных моделей безопасности, которые полагаются на защиту периметра (например, межсетевые экраны и VPN), ZTO предполагает, что угроза может исходить из любой точки системы, и требует верификации каждого запроса на доступ к ресурсам, независимо от его источника.

История возникновения

Концепция Zero Trust впервые была сформулирована аналитиком Джоном Киндервагом (John Kindervag) из компании Forrester Research в 2010 году. Киндерваг предложил отказаться от допущения, что внутренние сети безопасны по определению, и внедрить модель, в которой доверие не предоставляется автоматически ни одному устройству, пользователю или приложению. Термин ZTO как конкретная реализация этой модели стал использоваться позднее, в середине 2010-х годов, когда крупные технологические компании (включая Google с её проектом BeyondCorp) начали внедрять принципы Zero Trust на практике.

В 2021 году администрация президента США выпустила указ (Executive Order 14028), обязывающий федеральные агентства перейти на архитектуру Zero Trust. Это дало мощный импульс развитию и стандартизации подходов, включая ZTO.

Основные принципы

ZTO базируется на нескольких ключевых принципах:

• Никогда не доверяй, всегда проверяй — каждый запрос на доступ должен быть аутентифицирован, авторизован и зашифрован, независимо от того, поступает он из внутренней сети или из интернета.
• Микросегментация сети — разделение сети на изолированные сегменты, доступ между которыми контролируется строгими политиками. Даже если злоумышленник проникнет в один сегмент, он не сможет свободно перемещаться по всей сети.
• Наименьшие привилегии — пользователям и устройствам предоставляется только минимально необходимый уровень доступа для выполнения их задач. Права доступа регулярно пересматриваются и отзываются при изменении роли или статуса.
• Постоянный мониторинг и аналитика — система непрерывно отслеживает поведение пользователей, устройств и приложений, выявляя аномалии (например, необычное время входа, доступ к ресурсам, не соответствующим профилю пользователя).
• Многофакторная аутентификация (MFA) — обязательное использование нескольких факторов проверки подлинности (пароль, биометрия, аппаратный токен) для доступа к критическим ресурсам.

Архитектура и компоненты

Архитектура ZTO включает несколько ключевых компонентов:

• Policy Decision Point (PDP) — центральный узел, принимающий решения о предоставлении доступа на основе политик безопасности, данных об устройстве, пользователе и контексте.
• Policy Enforcement Point (PEP) — шлюз, который реализует решения PDP, блокируя или разрешая трафик.
• Identity Provider (IdP) — система управления идентификацией (например, Active Directory, Keycloak), отвечающая за аутентификацию пользователей.
• Device Management — система управления устройствами (MDM/UEM), оценивающая состояние устройства (обновления, наличие антивируса, компрометация).
• Data Loss Prevention (DLP) — система предотвращения утечек данных, контролирующая передачу конфиденциальной информации.
• SIEM/SOAR — системы сбора и анализа событий безопасности, автоматизации реагирования на инциденты.

Типичный процесс доступа в ZTO выглядит так: пользователь запрашивает доступ к ресурсу через PEP. PEP перенаправляет запрос в PDP, который проверяет аутентификацию (через IdP), состояние устройства (через Device Management), контекст (время, местоположение, тип запроса) и применяет политику. Если все проверки пройдены, PDP выдаёт временный токен доступа, и PEP пропускает трафик. Доступ автоматически отзывается по истечении сессии или при изменении контекста.

Классификация

ZTO-модели можно классифицировать по нескольким признакам:

• По типу реализации:
• Агентная — на каждом устройстве устанавливается программный агент, который собирает данные о состоянии и передаёт их в PDP.
• Безагентная — используется только сетевое сканирование и интеграция с существующими системами (например, через API).
• По масштабу:
• Локальная — применяется в пределах одной организации, часто на основе собственных серверов.
• Облачная — реализуется через облачные сервисы (например, Zscaler, Cloudflare Access, Microsoft Azure AD Conditional Access).
• По уровню контроля:
• Сетевая — фокус на микросегментации и контроле трафика между сегментами.
• Прикладная — контроль доступа на уровне отдельных приложений и API.
• Данные — защита на уровне файлов и баз данных с шифрованием и управлением правами.

Применение

ZTO активно используется в следующих сферах:

• Корпоративная безопасность — защита внутренних сетей крупных компаний, особенно в условиях удалённой работы и BYOD (Bring Your Own Device). Примеры: внедрение ZTO в банках (Сбербанк, ВТБ), IT-компаниях (Яндекс, VK).
• Государственные учреждения — в России концепция Zero Trust включена в методические рекомендации ФСТЭК по защите информации в государственных информационных системах. В 2023 году Минцифры РФ анонсировало пилотные проекты по внедрению ZTO в ряде федеральных органов.
• Облачные среды — защита мультиоблачных и гибридных инфраструктур, где традиционный периметр размыт. Провайдеры, такие как AWS, Azure и Google Cloud, предлагают встроенные инструменты для реализации ZTO (AWS Network Firewall, Azure Policy).
• Промышленный интернет вещей (IIoT) — контроль доступа к промышленным контроллерам и датчикам, где компрометация может привести к физическим последствиям.

Критика и ограничения

Несмотря на преимущества, ZTO имеет ряд недостатков:

• Сложность внедрения — требуется перестройка всей сетевой инфраструктуры, интеграция множества систем (IdP, MDM, SIEM), что может занять месяцы и потребовать значительных затрат.
• Производительность — каждый запрос проходит несколько проверок, что увеличивает задержки. В высоконагруженных системах (например, биржевые платформы) это может быть критично.
• Зависимость от центральных компонентов — отказ PDP или IdP парализует доступ ко всем ресурсам. Требуется резервирование и отказоустойчивость.
• Человеческий фактор — неправильная настройка политик может привести как к избыточным блокировкам (нарушение работы), так и к уязвимостям. Требуется квалифицированный персонал.
• Совместимость с устаревшими системами — многие legacy-приложения не поддерживают современные протоколы аутентификации (OAuth, SAML), что затрудняет их включение в ZTO-архитектуру.

Примеры реализации в России

В России ZTO-модели внедряются как в коммерческом, так и в государственном секторе. Крупные игроки рынка информационной безопасности, такие как «Лаборатория Касперского», Positive Technologies, InfoWatch, предлагают продукты, реализующие принципы Zero Trust. Например, решение Kaspersky SD-WAN включает микросегментацию и политики доступа на основе контекста. В 2022 году Positive Technologies представила платформу PT NAD для анализа сетевого трафика с элементами ZTO. Государственные проекты, такие как создание защищённой сети для органов власти («ГосСОПКА»), также используют элементы этой архитектуры.

Перспективы развития

Ожидается, что к 2030 году ZTO станет стандартом де-факто для корпоративной безопасности, особенно в связи с ростом числа кибератак и переходом к облачным и гибридным моделям. Развитие технологий искусственного интеллекта и машинного обучения позволит автоматизировать анализ поведения и выявление аномалий, снижая нагрузку на администраторов. В России также прогнозируется рост рынка ZTO-решений, стимулируемый требованиями регуляторов (ФСТЭК, ЦБ РФ) по импортозамещению и защите критической информационной инфраструктуры.

Источники

• Киндерваг Дж. «Build Security Into Your Network’s DNA: The Zero Trust Model of Information Security». Forrester Research, 2010.
• Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» (2017).
• Методический документ ФСТЭК России «Меры защиты информации в государственных информационных системах» (2020).
• Executive Order 14028 «Improving the Nation’s Cybersecurity» (2021).
• Документация Google BeyondCorp (2014–2023).
• «Zero Trust Architecture» — NIST Special Publication 800-207 (2020).
• Обзор рынка ZTO-решений в РФ — аналитический отчёт CNews Analytics (2023).