Zero Trust, VPN und TLS-Inspektion erfüllen unterschiedliche Aufgaben

Beschaffungsunterlagen behandeln Zero Trust, VPN und TLS-Inspektion, als wären sie derselbe Einkauf, und jedes davon beantwortet eine Frage, die die anderen nicht beantworten können. Ein Tunnel baut einen geschützten Pfad, ein Inspektionsgateway liest Verkehr, den es beenden kann, und eine Richtlinie entscheidet, ob eine benannte Identität eine benannte Operation an einer benannten Ressource ausführen darf. Nur das letzte ist eine Autorisierungsentscheidung. Ein Produkt kann die ersten beiden perfekt leisten und die eigentliche Frage trotzdem offen lassen.

Drei Mechanismen, drei Fragen

Der Tunnel beantwortet, wie Verkehr das Netz erreicht. Ein Inspektionsgateway beantwortet, was eine Zwischeninstanz sehen und tun kann, wo sie TLS beenden darf. Eine Policy-Engine beantwortet, wer was mit welcher Ressource tun darf, und danach braucht sie einen Durchsetzungspunkt, der diese Antwort anwenden kann. Zero-Trust-Architektur von NIST stellt die Ressource in den Mittelpunkt und weigert sich, Vertrauen daraus abzuleiten, woher ein Paket kam.

Dieser Rahmen ist schwerer zu erfüllen als ein Etikett und viel schwerer in einer Prüfung zu fälschen. Er verschiebt die Frage auch von den eingesetzten Produkten zu den Entscheidungen, die durchgesetzt werden, und wodurch.

Wo die Entscheidung tatsächlich durchgesetzt wird

Nehmen Sie eine Anfrage: Ein Support-Techniker öffnet eine Dienstkonsole, und ein privater Rechner am selben Switch darf diese Berechtigung nicht erben, nur weil er in der Nähe ist. Schreiben Sie die erlaubte Operation, die Gerätebedingungen und die Komponente auf, die sie durchsetzt. Der Ort entscheidet alles: ein Anwendungsgateway, ein Dienstproxy, eine Hostkontrolle oder eine andere Grenze, die die Organisation tatsächlich unterstützt. Was diese Komponente auch sein mag, sie muss im Pfad sowohl der entfernten als auch der lokalen Versuche liegen.

Verkehr, der den VPN-Eingang nie überquert, wird nicht durch eine dort ausgeführte Prüfung geregelt, so gründlich diese auch sein mag. Genau diese Lücke erklärt den größten Teil des Abstands zwischen einem Zero-Trust-Diagramm und einer funktionierenden Bereitstellung. Zeichnen Sie den Anfragepfad, bevor Sie die Architektur zeichnen.

Entschlüsselung ist keine Autorisierung

Abfangen dient engen Inspektionszielen und trägt seine eigene Last an Zertifikaten, vertrauenswürdigen Wurzeln, Datenschutzprüfung und Anwendungen, die darunter brechen. Nichts davon ist die Bedeutung von Zero Trust, und nichts davon ersetzt eine Richtlinienentscheidung. Eine Person zu authentifizieren und einen Dienst zu autorisieren ist vollständig möglich, ohne ein einziges Paket zu entschlüsseln. Ein entschlüsselter Fluss sagt nichts darüber, ob der Nutzer zu der darin transportierten Operation berechtigt war.

Die Richtlinie braucht eine Art von Beleg, und Entschlüsselung ist es nicht. Gerätezustand ist eine Eingangsgröße neben Identität, Sensibilität der Ressource und Kontext, und ein einmaliges Bestehen gibt diesem Rechner nicht den Rest des Netzes. Beides zu vermischen macht aus einer Autorisierungsfrage ein Zertifikatsprojekt.

Wenn das Gateway nirgends im Pfad liegt

Erfassen Sie, was sich bewegt, ohne das entfernte Gateway zu berühren: Verbindungen zwischen Rechnern im lokalen Segment, Aufrufe von einer Workload zu einer anderen und Endpunkte, die direkt innerhalb eines Cloud-Kontos erreicht werden. Benennen Sie für jeden Pfad eine Durchsetzungsmethode, die heute tatsächlich bereitgestellt werden kann. Geräte, die keinen Agenten hosten können, brauchen weiterhin eine andere ausdrücklich unterstützte Kontrolle, und die Annahme, der Agent komme später, schließt jetzt nichts. Dienst-zu-Dienst-Zugriff passt meist besser zu Workload-Identität und einer gegen die Ressource geschriebenen Prüfung als ein weiteres Overlay-Netz.

Nehmen Sie das Design am Verhalten ab und nicht an Diagrammen: welche Operationen erlaubt, welche verweigert werden und wo jede Antwort durchgesetzt wird. Geben Sie konkrete erlaubte und verweigerte Operationen frei und schließen Sie eine lokale Route ein, die das Gateway nie erreicht. Halten Sie fest, wer die Richtlinie besitzt, wie sie sich ändert und wie Widerruf funktioniert.

Ein umbenannter Tunnel ist immer noch ein Tunnel. Eine Richtlinie entscheidet, und etwas muss sie durchsetzen.