Zero Trust, VPN i TLS inspekcija obavljaju različite poslove

Dokumenti o nabavi tretiraju zero trust, VPN i TLS inspekciju kao istu kupnju, a svaki od njih odgovara na pitanje na koje ostali ne mogu. Tunel gradi zaštićeni put, inspekcijski gateway čita promet koji može prekinuti, a politika odlučuje smije li imenovani identitet izvršiti imenovanu operaciju na imenovanom resursu. Samo je posljednje od toga odluka o autorizaciji. Proizvod može savršeno raditi prve dvije i ipak ostaviti pravo pitanje otvorenim.

Tri mehanizma, tri pitanja

Tunel odgovara kako promet stiže do mreže. Inspekcijski gateway odgovara što posredni uređaj može vidjeti i učiniti tamo gdje je ovlašten prekinuti TLS. Mehanizam politike odgovara tko što smije činiti s kojim resursom, a zatim mu treba točka provedbe koja može primijeniti taj odgovor. NIST-ova zero trust arhitektura stavlja resurs u središte i odbija izvesti povjerenje iz toga odakle je paket došao.

Taj je okvir teže zadovoljiti od naljepnice, i mnogo ga je teže krivotvoriti u pregledu. On također pomiče pitanje s toga koji su proizvodi raspoređeni na to koje se odluke provode i čime.

Gdje se odluka zaista primjenjuje

Uzmite jedan zahtjev: inženjer podrške otvara servisnu konzolu, a osobno računalo priključeno na isti prekidač ne smije naslijediti tu dozvolu samo zato što je blizu. Zapišite dopuštenu operaciju, uvjete uređaja i komponentu koja ih provodi. Položaj odlučuje sve: aplikacijski gateway, servisni proxy, kontrola hosta ili neka druga granica koju organizacija zaista podržava. Što god ta komponenta bila, mora stajati na putu i udaljenih i lokalnih pokušaja.

Promet koji nikada ne prijeđe VPN ulaz ne upravlja se provjerom izvršenom tamo, koliko god ta provjera bila temeljita. Taj jedan jaz objašnjava većinu udaljenosti između zero trust dijagrama i radnog raspoređivanja. Nacrtajte put zahtjeva prije nego nacrtate arhitekturu.

Dešifriranje nije autorizacija

Presretanje služi uskim ciljevima inspekcije i nosi vlastiti teret certifikata, pouzdanih korijena, pregleda privatnosti i aplikacija koje se pod njim lome. Ništa od toga nije značenje zero trusta, i ništa od toga ne zamjenjuje odluku politike. Autentificirati osobu i autorizirati servis posve je moguće bez dešifriranja ijednog paketa. Dešifrirani tok ne govori ništa o tome je li korisnik imao pravo na operaciju koja se u njemu prenosi.

Politika treba jednu vrstu dokaza, a dešifriranje to nije. Zdravlje uređaja jedan je ulaz među identitetom, osjetljivošću resursa i kontekstom, i jednokratni prolaz ne daje tom stroju ostatak mreže. Miješanje dvoga pretvara pitanje autorizacije u certifikacijski projekt.

Kada gatewaya nema nigdje na putu

Popišite što putuje bez dodirivanja udaljenog gatewaya: veze između strojeva na lokalnom segmentu, pozive s jednog radnog opterećenja na drugo i krajnje točke do kojih se dolazi izravno unutar cloud računa. Za svaki put navedite metodu provedbe koja se zaista može rasporediti danas. Oprema koja ne može ugostiti agenta ipak treba neku drugu izričito podržanu kontrolu, a pretpostavka da će agent doći kasnije sada ništa ne zatvara. Pristup servis-servisu obično bolje odgovara identitetu radnog opterećenja i provjeri napisanoj prema resursu nego još jedna overlay mreža.

Prihvatite dizajn po ponašanju, a ne po dijagramima: koje su operacije dopuštene, koje odbijene i gdje se svaki odgovor provodi. Odobrite konkretne dopuštene i odbijene operacije i uključite jednu lokalnu rutu koja nikad ne stiže do gatewaya. Zabilježite tko posjeduje politiku, kako se mijenja i kako funkcionira opoziv.

Preimenovani tunel i dalje je tunel. Politika odlučuje, i nešto je mora provoditi.