Zero Trust, VPN və TLS yoxlaması fərqli işlər görür

Satınalma sənədləri zero trust, VPN və TLS yoxlamasını sanki eyni alış imiş kimi işlədir, və onların hər biri digərlərinin cavab verə bilmədiyi bir suala cavab verir. Tunel qorunan yol qurur, yoxlama şlüzü dayandıra bildiyi trafiki oxuyur, siyasət isə adlandırılmış subyektin adlandırılmış resurs üzərində adlandırılmış əməliyyatı yerinə yetirə biləcəyini qərarlaşdırır. Bunlardan yalnız sonuncusu avtorizasiya qərarıdır. Məhsul ilk ikisini qüsursuz edib əsl sualı yenə açıq qoya bilər.

Üç mexanizm, üç sual

Tunel trafikin şəbəkəyə necə çatdığını cavablandırır. Yoxlama şlüzü TLS-i dayandırmaq səlahiyyəti olan yerdə ara qurğunun nə görə və nə edə biləcəyini cavablandırır. Siyasət mühərriki kimin hansı resursa nə edə biləcəyini cavablandırır və sonra həmin cavabı tətbiq edə bilən icra nöqtəsinə ehtiyac duyur. NIST-in zero trust arxitekturası resursu mərkəzə qoyur və paketin haradan gəldiyindən etimad çıxarmaqdan imtina edir.

Bu çərçivəni qane etmək etiketdən çətindir və rəydə saxtalaşdırmaq daha da çətindir. O, həm də sualı hansı məhsulların yerləşdirildiyindən hansı qərarların və nəyin tərəfindən icra olunduğuna keçirir.

Qərar əslində harada tətbiq olunur

Bir sorğu götürün: dəstək mühəndisi xidmət konsolunu açır və eyni kommutatora qoşulmuş şəxsi maşın sadəcə yaxınlıqda olduğuna görə o icazəni miras almamalıdır. İcazə verilən əməliyyatı, cihaz şərtlərini və onları icra edən komponenti yazın. Yerləşdirmə hər şeyi həll edir: tətbiq şlüzü, xidmət proksisi, host nəzarəti və ya təşkilatın həqiqətən dəstəklədiyi başqa sərhəd. O komponent nə olursa olsun, həm uzaq, həm də yerli cəhdlərin yolunda oturmalıdır.

VPN girişindən heç vaxt keçməyən trafik orada aparılan yoxlama ilə idarə olunmur, o yoxlama nə qədər hərtərəfli olsa da. Bu tək boşluq zero trust diaqramı ilə işlək yerləşdirmə arasındakı məsafənin çoxunu izah edir. Arxitekturanı çəkməzdən əvvəl sorğu yolunu çəkin.

Deşifrə avtorizasiya deyil

İnterseptsiya dar yoxlama məqsədlərinə xidmət edir və öz yükünü daşıyır: sertifikatlar, etibarlı köklər, məxfilik baxışı və altında sınan tətbiqlər. Bunların heç biri zero trust-un mənası deyil və heç biri siyasət qərarını əvəz etmir. Bir şəxsi autentifikasiya edib xidmətə avtorizasiya vermək bir paketi deşifrə etmədən tamamilə mümkündür. Deşifrə olunmuş axın istifadəçinin içində daşınan əməliyyata haqqı olub-olmadığı barədə heç nə demir.

Siyasətə bir növ sübut lazımdır və deşifrə o deyil. Cihaz sağlamlığı şəxsiyyət, resurs həssaslığı və kontekst arasında bir girişdir və onu bir dəfə keçmək o maşına şəbəkənin qalanını vermir. İkisini qarışdırmaq avtorizasiya sualını sertifikat layihəsinə çevirir.

Şlüzun yolda heç yerdə olmadığı hal

Uzaq şlüzə toxunmadan hərəkət edənləri inventarlaşdırın: yerli seqmentdəki maşınlar arasındakı əlaqələr, bir iş yükündən digərinə çağırışlar və bulud hesabı daxilində birbaşa çatılan son nöqtələr. Hər yol üçün bu gün həqiqətən yerləşdirilə bilən icra üsulunu adlandırın. Agent yerləşdirə bilməyən avadanlıq yenə açıq şəkildə dəstəklənən başqa bir nəzarətə ehtiyac duyur və agentin sonra gələcəyini fərz etmək indi heç nəyi bağlamır. Xidmətdən xidmətə giriş adətən iş yükü şəxsiyyətinə və resursa qarşı yazılmış yoxlamaya başqa bir örtük şəbəkəsindən daha yaxşı uyğun gəlir.

Dizaynı diaqramlara deyil, davranışa görə qəbul edin: hansı əməliyyatlara icazə verilir, hansılar rədd edilir və hər cavab harada icra olunur. Konkret icazəli və rədd edilən əməliyyatları təsdiqləyin və şlüzə heç vaxt çatmayan bir yerli marşrut daxil edin. Siyasətin kimə aid olduğunu, necə dəyişdiyini və ləğvin necə işlədiyini qeyd edin.

Yenidən etiketlənmiş tunel yenə tuneldir. Siyasət qərar verir və nə isə onu icra etməlidir.