Zero Trust, VPN i TLS inspekcija obavljaju različite poslove

Dokumenti o nabavci tretiraju zero trust, VPN i TLS inspekciju kao istu kupovinu, a svaki od njih odgovara na pitanje na koje ostali ne mogu. Tunel gradi zaštićeni put, inspekcijski gateway čita saobraćaj koji može prekinuti, a politika odlučuje smije li imenovani identitet izvršiti imenovanu operaciju na imenovanom resursu. Samo je posljednje od toga odluka o autorizaciji. Proizvod može savršeno raditi prve dvije i ipak ostaviti pravo pitanje otvorenim.

Tri mehanizma, tri pitanja

Tunel odgovara kako saobraćaj stiže do mreže. Inspekcijski gateway odgovara šta posredni uređaj može vidjeti i učiniti tamo gdje je ovlašten prekinuti TLS. Mehanizam politike odgovara ko šta smije činiti s kojim resursom, a zatim mu treba tačka provođenja koja može primijeniti taj odgovor. NIST-ova zero trust arhitektura stavlja resurs u centar i odbija izvesti povjerenje iz toga odakle je paket došao.

Taj okvir je teže zadovoljiti od naljepnice, i mnogo ga je teže krivotvoriti u pregledu. On također pomjera pitanje sa toga koji su proizvodi raspoređeni na to koje se odluke provode i čime.

Gdje se odluka zaista primjenjuje

Uzmite jedan zahtjev: inženjer podrške otvara servisnu konzolu, a lična mašina priključena na isti prekidač ne smije naslijediti tu dozvolu samo zato što je blizu. Zapišite dozvoljenu operaciju, uslove uređaja i komponentu koja ih provodi. Položaj odlučuje sve: aplikacijski gateway, servisni proxy, kontrola hosta ili neka druga granica koju organizacija zaista podržava. Šta god ta komponenta bila, mora stajati na putu i udaljenih i lokalnih pokušaja.

Saobraćaj koji nikada ne pređe VPN ulaz ne upravlja se provjerom izvršenom tamo, koliko god ta provjera bila temeljita. Taj jedan jaz objašnjava većinu udaljenosti između zero trust dijagrama i radnog raspoređivanja. Nacrtajte put zahtjeva prije nego nacrtate arhitekturu.

Dešifriranje nije autorizacija

Presretanje služi uskim ciljevima inspekcije i nosi vlastiti teret certifikata, pouzdanih korijena, pregleda privatnosti i aplikacija koje se pod njim lome. Ništa od toga nije značenje zero trusta, i ništa od toga ne zamjenjuje odluku politike. Autentificirati osobu i autorizirati servis potpuno je moguće bez dešifriranja ijednog paketa. Dešifrirani tok ne govori ništa o tome je li korisnik imao pravo na operaciju koja se u njemu prenosi.

Politika treba jednu vrstu dokaza, a dešifriranje to nije. Zdravlje uređaja je jedan ulaz među identitetom, osjetljivošću resursa i kontekstom, i jednokratni prolaz ne daje toj mašini ostatak mreže. Miješanje dvoga pretvara pitanje autorizacije u certifikacijski projekat.

Kada gatewaya nema nigdje na putu

Popišite šta putuje bez dodirivanja udaljenog gatewaya: veze između mašina na lokalnom segmentu, pozive s jednog radnog opterećenja na drugo i krajnje točke do kojih se dolazi direktno unutar cloud računa. Za svaki put navedite metodu provođenja koja se zaista može rasporediti danas. Oprema koja ne može ugostiti agenta ipak treba neku drugu izričito podržanu kontrolu, a pretpostavka da će agent doći kasnije sada ništa ne zatvara. Pristup servis-servisu obično bolje odgovara identitetu radnog opterećenja i provjeri napisanoj prema resursu nego još jedna overlay mreža.

Prihvatite dizajn po ponašanju, a ne po dijagramima: koje su operacije dozvoljene, koje odbijene i gdje se svaki odgovor provodi. Odobrite konkretne dozvoljene i odbijene operacije i uključite jednu lokalnu rutu koja nikad ne stiže do gatewaya. Zabilježite ko posjeduje politiku, kako se mijenja i kako funkcionira opoziv.

Preimenovani tunel je i dalje tunel. Politika odlučuje, i nešto je mora provoditi.