Zero Trust, VPN ובדיקת TLS ממלאים תפקידים שונים

מסמכי רכש מתייחסים ל-zero trust, ל-VPN ולבדיקת TLS כאילו היו אותה רכישה, בעוד ש כל אחד מהם עונה על שאלה שהאחרים אינם יכולים. מנהרה בונה נתיב מוגן, שער בדיקה קורא תעבורה שהוא מסוגל לסיים, ומדיניות מחליטה אם זהות בשם יכולה לבצע פעולה בשם על משאב בשם. רק האחרון הוא החלטת הרשאה. מוצר יכול לעשות את שני הראשונים באופן מושלם ועדיין להשאיר את השאלה האמיתית פתוחה.

שלושה מנגנונים, שלוש שאלות

המנהרה עונה כיצד התעבורה מגיעה לרשת. שער בדיקה עונה מה תיבת ביניים יכולה לראות ולעשות במקום שבו הוא מוסמך לסיים TLS. מנוע המדיניות עונה מי רשאי לעשות מה לאיזה משאב, ואז הוא זקוק לנקודת אכיפה שמסוגלת ליישם את התשובה הזו. ארכיטקטורת ה-zero trust של NIST מציבה את המשאב במרכז ומסרבת להסיק אמון ממהיכן שהחבילה הגיעה.

מסגור כזה קשה יותר לספק מתווית, והרבה יותר קשה לזייף בבדיקה. הוא גם מעביר את השאלה מאילו מוצרים פרוסים לאילו החלטות נאכפות ובאמצעות מה.

היכן ההחלטה מיושמת בפועל

קחו בקשה אחת: מהנדס תמיכה פותח קונסולת שירות, ומחשב אישי המחובר לאותו מתג לא ירש את ההרשאה הזו רק מפני שהוא נמצא בקרבת מקום. רשמו את הפעולה המותרת, תנאי ההתקן והרכיב שאוכף אותם. המיקום מכריע הכול: שער יישום, פרוקסי שירות, בקרת מארח או גבול אחר שהארגון אכן תומך בו. יהיה הרכיב אשר יהיה, עליו לשבת בנתיב של ניסיונות מרוחקים וגם מקומיים.

תעבורה שלעולם אינה חוצה את כניסת ה-VPN אינה נשלטת על ידי בדיקה שמתבצעת שם, עד כמה שתהיה יסודית. הפער האחד הזה מסביר את רוב המרחק בין תרשים zero trust לפריסה עובדת. שרטטו את נתיב הבקשה לפני שתשרטטו את הארכיטקטורה.

פענוח אינו הרשאה

יירוט משרת מטרות בדיקה צרות ונושא עמו נטל של תעודות, שורשי אמון, סקירת פרטיות ויישומים שנשברים תחתיו. דבר מזה אינו מה שמשמעותו של zero trust, ודבר מזה אינו מחליף החלטת מדיניות. אימות אדם והרשאה לשירות הם בהחלט אפשריים בלי לפענח ולו חבילה אחת. זרימה מפוענחת אינה אומרת דבר על אם המשתמש היה זכאי לפעולה שנישאת בתוכה.

המדיניות זקוקה לסוג אחד של ראיה, ופענוח אינו הוא. בריאות ההתקן היא קלט אחד מבין זהות, רגישות המשאב והקשר, ומעבר חד-פעמי בה אינו מעניק לאותו מחשב את שאר הרשת. ערבוב השניים הופך שאלת הרשאה לפרויקט תעודות.

כשהשער אינו נמצא בשום מקום בנתיב

ערכו מלאי של מה שנוסע בלי לגעת בשער המרוחק: קישורים בין מחשבים בפלח המקומי, קריאות מעומס עבודה אחד לאחר, ונקודות קצה שאליהן מגיעים ישירות בתוך חשבון ענן. לכל נתיב, תנו שם לשיטת אכיפה שאכן ניתנת לפריסה היום. ציוד שאינו יכול לארח סוכן עדיין זקוק לבקרה אחרת הנתמכת במפורש, והנחה שהסוכן יגיע מאוחר יותר אינה סוגרת דבר כעת. גישה משירות לשירות מתאימה בדרך כלל לזהות עומס עבודה ולבדיקה שנכתבה מול המשאב יותר מאשר לרשת חפיפה נוספת.

קבלו את התכנון לפי התנהגות ולא לפי תרשימים: אילו פעולות מותרות, אילו נדחות והיכן נאכפת כל תשובה. אשרו פעולות מותרות ונדחות ספציפיות, וכללו נתיב מקומי אחד שלעולם אינו מגיע לשער. תעדו מי הבעלים של המדיניות, כיצד היא משתנה וכיצד עובד ביטול.

מנהרה ששונתה לה התווית היא עדיין מנהרה. מדיניות מחליטה, ומשהו חייב לאכוף אותה.