Zero Trust, VPN en TLS-ynspeksje dogge ferskillende taken

Oankeapdokuminten behannelje zero trust, VPN en TLS-ynspeksje as wie it deselde oankeap, en elk fan har beantwurdet in fraach dy't de oaren net beantwurdzje kinne. In tunnel bout in beskerme paad, in ynspeksjepoarte lêst ferkear dat it beëinigje kin, en in belied beslút oft in neamde identiteit in neamde operaasje op in neamde boarne útfiere mei. Allinne it lêste dêrfan is in autorisaasjebeslút. In produkt kin de earste twa perfekt dwaan en dochs de echte fraach iepen litte.

Trije meganismen, trije fragen

De tunnel beantwurdet hoe't ferkear it netwurk berikt. In ynspeksjepoarte beantwurdet wat in tuskenapparaat sjen en dwaan kin dêr't it autorisearre is om TLS te beëinigjen. In beliedsmotor beantwurdet wa't wat mei hokker boarne dwaan mei, en dan hat it in hanthaveningpunt nedich dat dat antwurd tapasse kin. De zero trust-arsjitektuer fan NIST set de boarne sintraal en wegert fertrouwen ôf te lieden út wêr't in pakket wei kaam.

Dat kader is dreech yn te foldwaan as in label, en folle dreger om by in resinsje te ferfalskjen. It ferpleatst de fraach ek fan hokker produkten ynset wurde nei hokker beslissingen hanthavene wurde en troch wat.

Wêr't it beslút echt tapast wurdt

Nim ien fersyk: in stipesjenyndjenier iepenet in tsjinstkonsole, en in persoanlike masine oan deselde skeakel mei dat tastimming net ervje allinne om't it tichtby is. Skriuw de tastiene operaasje, de betingsten fan it apparaat en it komponint dat se hanthavent op. Plakking beslút alles: in applikaasjepoarte, in tsjinstproxy, in hostbestjoering of in oare grins dy't de organisaasje echt stipet. Wat dat komponint ek blykt te wêzen, it moat op it paad fan sawol ôfstâne as pleatslike besykjen sitte.

Ferkear dat de VPN-yngong nea krúst wurdt net regele troch in kontrôle dy't dêr útfierd wurdt, hoe yngeand dy kontrôle ek is. Krekt dat iene gat ferklearret it meastepart fan 'e ôfstân tusken in zero trust-diagram en in wurkjende ymplemintaasje. Tekenje it fersykpaad foardat jo de arsjitektuer tekenje.

Untsifering is gjin autorisaasje

Underskepping tsjinnet smelle ynspeksjedoelen en draacht syn eigen lêst fan sertifikaten, fertroude woartels, privacyresinsje en applikaasjes dy't dêrûnder brekke. Neat dêrfan is wat zero trust betsjut, en neat dêrfan ferfangt in beliedsbeslút. It autentisearjen fan in persoan en it autorisearjen fan in tsjinst is folslein mooglik sûnder ien pakket te ûntsiferjen. In ûntsifere stream seit neat oer oft de brûker rjocht hie op 'e operaasje dy't deryn ferfierd wurdt.

It belied hat ien soart bewiis nedich, en ûntsifering is dat net. Apparaatgesondheid is ien ynput njonken identiteit, gefoelichheid fan 'e boarne en kontekst, en it ien kear trochkommen jout dy masine net de rest fan it netwurk. It mingen fan de twa makket fan in autorisaasjefraach in sertifikaatprojekt.

As de poarte nearne op it paad is

Ynventarisearje wat reizget sûnder de ôfstâne poarte oan te reitsjen: ferbiningen tusken masines op it pleatslike segmint, oproppen fan ien wurklêst nei in oare, en einpunten dy't direkt binnen in wolkaccount berikt wurde. Namme foar elk paad in hanthaveningsmetoade dy't hjoed echt ynset wurde kin. Apparatuer dy't gjin agent hûzje kin hat dochs in oare eksplisyt stipe kontrôle nedich, en oannimme dat de agent letter komt slút no neat. Tsjinst-tot-tsjinsttagong past meastentiids better by wurklêstidentiteit en in kontrôle skreaun tsjin 'e boarne as noch in oerlapnetwurk.

Akseptearje it ûntwerp op gedrach en net op diagrammen: hokker operaasjes tastien binne, hokker wegere wurde en wêr't elk antwurd hanthavene wurdt. Goedkar spesifike tastiene en wegere operaasjes, en nim ien pleatslike rûte op dy't nea de poarte berikt. Registrearje wa't it belied besit, hoe't it feroaret en hoe't weromlûken wurket.

In omneamd tunnel is noch altyd in tunnel. In belied beslút, en eat moat it hanthavje.