A Zero Trust, a VPN és a TLS-vizsgálat különböző feladatokat lát el

A beszerzési dokumentumok úgy kezelik a zero trustot, a VPN-t és a TLS-vizsgálatot, mintha ugyanaz a beszerzés lenne, és mindegyikük olyan kérdésre válaszol, amelyre a többi nem tud. Az alagút védett útvonalat épít, a vizsgálati átjáró olvassa azt a forgalmat, amelyet be tud fejezni, a szabályzat pedig eldönti, hogy egy megnevezett identitás végrehajthat-e egy megnevezett műveletet egy megnevezett erőforráson. Csak az utóbbi engedélyezési döntés. Egy termék az első kettőt tökéletesen elláthatja, és a valódi kérdést mégis nyitva hagyhatja.

Három mechanizmus, három kérdés

Az alagút arra válaszol, hogyan éri el a forgalom a hálózatot. A vizsgálati átjáró arra válaszol, mit láthat és tehet egy köztes eszköz ott, ahol jogosult a TLS lezárására. A szabályzatmotor arra válaszol, ki mit tehet melyik erőforrással, majd szüksége van egy kényszerítési pontra, amely ezt a választ alkalmazni tudja. A NIST zero trust architektúrája az erőforrást helyezi a középpontba, és megtagadja, hogy a bizalmat abból vezesse le, honnan érkezett a csomag.

Ezt a keretet nehezebb teljesíteni, mint egy címkét, és sokkal nehezebb hamisítani egy felülvizsgálaton. A kérdést arról is elmozdítja, milyen termékek vannak telepítve, arra, milyen döntéseket és mi kényszerít ki.

Hol érvényesül valójában a döntés

Vegyünk egy kérést: egy támogatási mérnök megnyit egy szolgáltatáskonzolt, és az ugyanahhoz a kapcsolóhoz csatlakozó személyes gép nem örökölheti ezt az engedélyt csak azért, mert a közelben van. Írja fel az engedélyezett műveletet, az eszköz feltételeit és az ezeket kikényszerítő komponenst. Az elhelyezés mindent eldönt: alkalmazásátjáró, szolgáltatásproxy, hosztvezérlés vagy egy másik határ, amelyet a szervezet valóban támogat. Bármi is legyen az a komponens, a távoli és a helyi kísérletek útvonalán is ott kell lennie.

A forgalmat, amely soha nem lépi át a VPN belépőt, nem ott végzett ellenőrzés szabályozza, bármilyen alapos is az az ellenőrzés. Ez az egyetlen rés magyarázza a zero trust diagram és egy működő telepítés közötti távolság nagy részét. A kérés útvonalát rajzolja meg előbb, és csak utána az architektúrát.

A visszafejtés nem engedélyezés

Az elfogás szűk vizsgálati célokat szolgál, és saját terhét hordozza: tanúsítványok, megbízható gyökerek, adatvédelmi felülvizsgálat és alkalmazások, amelyek alatta eltörnek. Ezek egyike sem jelenti a zero trustot, és egyik sem helyettesít egy szabályzati döntést. Egy személy hitelesítése és egy szolgáltatás engedélyezése teljesen lehetséges egyetlen csomag visszafejtése nélkül. Egy visszafejtett folyam semmit nem mond arról, hogy a felhasználó jogosult volt-e a benne szállított műveletre.

A szabályzatnak egyfajta bizonyítékra van szüksége, és a visszafejtés nem az. Az eszköz állapota egy bemenet az identitás, az erőforrás érzékenysége és a kontextus mellett, és egyszeri teljesítése nem adja át annak a gépnek a hálózat többi részét. A kettő keverése egy engedélyezési kérdésből tanúsítványprojektet csinál.

Amikor az átjáró sehol nincs az útvonalon

Készítsen leltárt arról, mi mozog anélkül, hogy hozzáérne a távoli átjáróhoz: a helyi szegmens gépei közötti kapcsolatok, az egyik munkaterhelésről a másikra irányuló hívások, és a felhőfiókon belül közvetlenül elért végpontok. Minden útvonalhoz nevezzen meg egy olyan kényszerítési módszert, amely ma valóban telepíthető. Az a berendezés, amely nem tud ügynököt futtatni, továbbra is igényel egy másik, kifejezetten támogatott kontrollt, és az a feltevés, hogy az ügynök később megérkezik, most semmit nem zár be. A szolgáltatás-szolgáltatás hozzáférés általában jobban illik a munkaterhelés-identitáshoz és az erőforrás ellen írt ellenőrzéshez, mint egy újabb átfedő hálózat.

A tervezetet viselkedés, ne diagramok alapján fogadja el: mely műveletek engedélyezettek, melyek tiltottak, és hol érvényesül az egyes válaszok. Hagyjon jóvá konkrét engedélyezett és tiltott műveleteket, és vegyen bele egy helyi útvonalat, amely soha nem ér el az átjáróhoz. Rögzítse, ki birtokolja a szabályzatot, hogyan változik, és hogyan működik a visszavonás.

Az átcímkézett alagút még mindig alagút. A szabályzat dönt, és valakinek ki kell kényszerítenie.