Zero Trust, VPN a TLS inspekce dělají různé věci

Zadávací dokumentace zachází se zero trust, VPN a inspekcí TLS, jako by šlo o jediný nákup, a každý z nich odpovídá na otázku, kterou ostatní zodpovědět nedokážou. Tunel staví chráněnou cestu, inspekční brána čte provoz, který dokáže ukončit, a politika rozhoduje, zda pojmenovaná identita smí provést pojmenovanou operaci s pojmenovaným zdrojem. Jen poslední z nich je rozhodnutí o autorizaci. Produkt může první dvě zvládat bezchybně a skutečnou otázku přesto nechat otevřenou.

Tři mechanismy, tři otázky

Tunel odpovídá, jak se provoz dostane do sítě. Inspekční brána odpovídá, co může prostředník vidět a udělat tam, kde je oprávněn ukončit TLS. Politický engine odpovídá, kdo smí co s kterým zdrojem, a pak potřebuje vynucovací bod, který tuto odpověď dokáže uplatnit. Architektura zero trust podle NIST staví zdroj do středu a odmítá odvozovat důvěru z toho, odkud paket přišel.

Toto pojetí je těžší naplnit než štítek a mnohem těžší zfalšovat při posouzení. Také přesouvá otázku od toho, které produkty jsou nasazené, k tomu, která rozhodnutí se vynucují a čím.

Kde se rozhodnutí skutečně uplatňuje

Vezměte jeden požadavek: technik podpory otevře servisní konzoli a osobní stroj zapojený do stejného přepínače nesmí toto oprávnění zdědit jen proto, že je poblíž. Zapište povolenou operaci, podmínky zařízení a komponentu, která je vynucuje. Umístění rozhoduje o všem: aplikační brána, servisní proxy, ovládání hostitele nebo jiná hranice, kterou organizace skutečně podporuje. Ať je tou komponentou cokoli, musí stát v cestě vzdáleným i místním pokusům.

Provoz, který nikdy nepřekročí vstup VPN, se neřídí kontrolou provedenou tam, ať je tato kontrola jakkoli důkladná. Právě tato jediná mezera vysvětluje většinu vzdálenosti mezi diagramem zero trust a funkčním nasazením. Nakreslete cestu požadavku dřív, než nakreslíte architekturu.

Dešifrování není autorizace

Zachytávání slouží úzkým inspekčním cílům a nese vlastní břemeno certifikátů, důvěryhodných kořenů, posouzení soukromí a aplikací, které se pod ním lámou. Nic z toho není smyslem zero trust a nic z toho nenahrazuje rozhodnutí politiky. Ověřit osobu a autorizovat službu je zcela možné bez dešifrování jediného paketu. Dešifrovaný tok neříká nic o tom, zda uživatel byl oprávněn k operaci, kterou v sobě nese.

Politika potřebuje jeden druh důkazu a dešifrování jím není. Zdraví zařízení je jeden vstup mezi identitou, citlivostí zdroje a kontextem a jeho jednorázové splnění nedá tomu stroji zbytek sítě. Smíšení obojího mění otázku autorizace v projekt certifikátů.

Když brána není nikde na cestě

Zmapujte, co putuje, aniž by se dotklo vzdálené brány: spojení mezi stroji v místním segmentu, volání z jedné pracovní zátěže na druhou a koncové body dosažené přímo uvnitř cloudového účtu. Pro každou cestu pojmenujte vynucovací metodu, kterou lze dnes skutečně nasadit. Zařízení, které nemůže hostovat agenta, stále potřebuje jinou výslovně podporovanou kontrolu, a předpoklad, že agent dorazí později, teď nic nezavírá. Přístup služba-služba obvykle lépe odpovídá identitě pracovní zátěže a kontrole psané proti zdroji než další překryvná síť.

Přijměte návrh podle chování, ne podle diagramů: které operace jsou povoleny, které odmítnuty a kde se každá odpověď vynucuje. Odsouhlaste konkrétní povolené a odmítnuté operace a zahrňte jednu místní trasu, která se k bráně nikdy nedostane. Zaznamenejte, kdo politiku vlastní, jak se mění a jak funguje odvolání.

Přejmenovaný tunel je pořád tunel. Politika rozhoduje a něco ji musí vynucovat.