ज़ीरो ट्रस्ट, VPN और TLS निरीक्षण अलग-अलग काम करते हैं

खरीद दस्तावेज़ ज़ीरो ट्रस्ट, VPN और TLS निरीक्षण को एक ही खरीद मानकर चलते हैं, और इनमें से हर एक ऐसे प्रश्न का उत्तर देता है जो बाकी नहीं दे सकते। एक टनल संरक्षित पथ बनाती है, एक निरीक्षण गेटवे उस ट्रैफ़िक को पढ़ता है जिसे वह समाप्त कर सकता है, और एक नीति तय करती है कि कोई नामित पहचान किसी नामित संसाधन पर कोई नामित कार्रवाई कर सकती है या नहीं। इनमें से केवल अंतिम ही प्राधिकरण का निर्णय है। कोई उत्पाद पहले दो काम बिल्कुल ठीक कर सकता है और फिर भी असली प्रश्न खुला छोड़ सकता है।

तीन तंत्र, तीन प्रश्न

टनल उत्तर देती है कि ट्रैफ़िक नेटवर्क तक कैसे पहुँचता है। निरीक्षण गेटवे उत्तर देता है कि कोई मध्यवर्ती उपकरण क्या देख और कर सकता है, जहाँ उसे TLS समाप्त करने का अधिकार है। नीति इंजन उत्तर देता है कि कौन किस संसाधन पर क्या कर सकता है, और फिर उसे ऐसे प्रवर्तन बिंदु की ज़रूरत होती है जो उस उत्तर को लागू कर सके। NIST की ज़ीरो ट्रस्ट आर्किटेक्चर संसाधन को केंद्र में रखती है और इससे इंकार करती है कि पैकेट कहाँ से आया, उससे भरोसा निकाला जाए।

उस ढाँचे को संतुष्ट करना किसी लेबल से कठिन है, और समीक्षा में उसे नकली साबित करना कहीं अधिक कठिन है। यह प्रश्न को इससे भी हटा देता है कि कौन से उत्पाद तैनात हैं, उस ओर कि कौन से निर्णय लागू होते हैं और किसके द्वारा।

निर्णय वास्तव में कहाँ लागू होता है

एक अनुरोध लीजिए: कोई सहायता इंजीनियर सेवा कंसोल खोलता है, और उसी स्विच से जुड़ी निजी मशीन को केवल पास होने के कारण वह अनुमति नहीं मिलनी चाहिए। अनुमत कार्रवाई, डिवाइस की शर्तें और उन्हें लागू करने वाला घटक लिख लें। स्थान सब कुछ तय करता है: कोई एप्लिकेशन गेटवे, सेवा प्रॉक्सी, होस्ट नियंत्रण, या कोई और सीमा जिसे संगठन वास्तव में समर्थन देता है। वह घटक जो भी हो, उसे दूरस्थ और स्थानीय दोनों प्रयासों के पथ में बैठना होगा।

जो ट्रैफ़िक कभी VPN प्रवेश नहीं पार करता, उसे वहाँ की गई जाँच नियंत्रित नहीं करती, चाहे वह जाँच कितनी भी गहन हो। यही एक अंतराल ज़ीरो ट्रस्ट आरेख और काम करती तैनाती के बीच की अधिकांश दूरी समझाता है। आर्किटेक्चर खींचने से पहले अनुरोध का पथ खींचिए।

डिक्रिप्शन प्राधिकरण नहीं है

अवरोधन संकीर्ण निरीक्षण लक्ष्यों की सेवा करता है और अपना बोझ खुद उठाता है: प्रमाणपत्र, विश्वसनीय रूट, गोपनीयता समीक्षा और ऐसे एप्लिकेशन जो इसके नीचे टूट जाते हैं। इनमें से कुछ भी ज़ीरो ट्रस्ट का अर्थ नहीं है, और इनमें से कुछ भी किसी नीति निर्णय का विकल्प नहीं है। किसी एक पैकेट को डिक्रिप्ट किए बिना किसी व्यक्ति का प्रमाणीकरण और किसी सेवा का प्राधिकरण पूरी तरह संभव है। डिक्रिप्ट किया गया प्रवाह इस बारे में कुछ नहीं कहता कि उपयोगकर्ता उसके भीतर ले जाई जा रही कार्रवाई का हकदार था या नहीं।

नीति को एक तरह का प्रमाण चाहिए, और डिक्रिप्शन वह नहीं है। डिवाइस स्वास्थ्य पहचान, संसाधन की संवेदनशीलता और संदर्भ के बीच एक इनपुट है, और एक बार पास होने से उस मशीन को बाकी नेटवर्क नहीं मिल जाता। दोनों को मिला देना प्राधिकरण के प्रश्न को प्रमाणपत्र परियोजना बना देता है।

जब गेटवे पथ में कहीं न हो

सूची बनाइए कि दूरस्थ गेटवे को छुए बिना क्या चलता है: स्थानीय खंड की मशीनों के बीच लिंक, एक वर्कलोड से दूसरे तक कॉल, और क्लाउड खाते के भीतर सीधे पहुँचे जाने वाले एंडपॉइंट। हर पथ के लिए ऐसी प्रवर्तन विधि का नाम लीजिए जिसे आज वास्तव में तैनात किया जा सके। जो उपकरण एजेंट नहीं रख सकता उसे अभी भी कोई और स्पष्ट रूप से समर्थित नियंत्रण चाहिए, और यह मान लेना कि एजेंट बाद में आएगा, अभी कुछ बंद नहीं करता। सेवा-से-सेवा पहुँच सामान्यतः किसी और ओवरले नेटवर्क की तुलना में वर्कलोड पहचान और संसाधन के विरुद्ध लिखी गई जाँच के साथ बेहतर बैठती है।

डिज़ाइन को आरेखों के बजाय व्यवहार पर स्वीकार कीजिए: कौन सी कार्रवाइयाँ अनुमत हैं, कौन सी अस्वीकृत, और हर उत्तर कहाँ लागू होता है। विशिष्ट अनुमत और अस्वीकृत कार्रवाइयों को स्वीकृति दीजिए, और एक स्थानीय मार्ग शामिल कीजिए जो कभी गेटवे तक नहीं पहुँचता। दर्ज कीजिए कि नीति का स्वामी कौन है, वह कैसे बदलती है और निरसन कैसे काम करता है।

नया लेबल लगी टनल फिर भी टनल है। नीति तय करती है, और किसी को उसे लागू करना होता है।