Zero Trust-ը, VPN-ը և TLS ստուգումը տարբեր աշխատանքներ են կատարում

Գնումների փաստաթղթերը zero trust-ը, VPN-ը և TLS ստուգումը դիտարկում են որպես նույն գնում, և դրանցից յուրաքանչյուրը պատասխանում է մի հարցի, որին մյուսները չեն կարող։ Թունելը կառուցում է պաշտպանված ուղի, ստուգման դարպասը կարդում է այն երթևեկությունը, որը կարող է ավարտել, իսկ քաղաքականությունը որոշում է՝ արդյոք անվանված ինքնությունը կարող է անվանված գործողություն կատարել անվանված ռեսուրսի վրա։ Դրանցից միայն վերջինն է լիազորման որոշում։ Ապրանքը կարող է առաջին երկուսը կատարել անթերի և այնուամենայնիվ իրական հարցը բաց թողնել։

Երեք մեխանիզմ, երեք հարց

Թունելը պատասխանում է, թե ինչպես է երթևեկությունը հասնում ցանց։ Ստուգման դարպասը պատասխանում է, թե ինչ կարող է տեսնել և անել միջանկյալ սարքը այնտեղ, որտեղ լիազորված է ավարտել TLS-ը։ Քաղաքականության շարժիչը պատասխանում է, թե ով ինչ կարող է անել որ ռեսուրսի հետ, և հետո նրան պետք է կիրառման կետ, որը կարող է կիրառել այդ պատասխանը։ NIST-ի zero trust ճարտարապետությունը ռեսուրսը դնում է կենտրոնում և հրաժարվում է վստահություն բխեցնել այն բանից, թե որտեղից է եկել փաթեթը։

Այդ շրջանակը ավելի դժվար է բավարարել, քան պիտակը, և շատ ավելի դժվար է կեղծել վերանայման ժամանակ։ Այն նաև հարցը տեղափոխում է նրանից, թե ինչ ապրանքներ են տեղակայված, նրան, թե ինչ որոշումներ են կիրառվում և ինչի կողմից։

Որտեղ է որոշումն իրականում կիրառվում

Վերցրեք մեկ հարցում՝ աջակցության ինժեները բացում է ծառայության կոնսոլը, և նույն անջատիչին միացված անձնական մեքենան չպետք է ժառանգի այդ թույլտվությունը միայն մոտ լինելու պատճառով։ Գրի առեք թույլատրված գործողությունը, սարքի պայմանները և այն բաղադրիչը, որը դրանք կիրառում է։ Տեղադրությունը որոշում է ամեն ինչ՝ հավելվածի դարպաս, ծառայության վստահված անձ, հոսթի վերահսկում կամ մեկ այլ սահման, որին կազմակերպությունն իրականում աջակցում է։ Ինչ էլ լինի այդ բաղադրիչը, այն պետք է լինի և՛ հեռավոր, և՛ տեղական փորձերի ուղու վրա։

Երթևեկությունը, որը երբեք չի անցնում VPN մուտքը, չի կառավարվում այնտեղ կատարվող ստուգմամբ, որքան էլ այդ ստուգումը մանրակրկիտ լինի։ Հենց այդ մեկ բացն է բացատրում zero trust դիագրամի և աշխատող տեղակայման միջև եղած հեռավորության մեծ մասը։ Նկարեք հարցման ուղին նախքան ճարտարապետությունը նկարելը։

Ապակոդավորումը լիազորում չէ

Ընդհատումը ծառայում է նեղ ստուգման նպատակների և կրում է իր բեռը՝ վկայականներ, վստահելի արմատներ, գաղտնիության վերանայում և հավելվածներ, որոնք կոտրվում են դրա տակ։ Դրանցից ոչ մեկը zero trust-ի իմաստը չէ, և ոչ մեկը չի փոխարինում քաղաքականության որոշմանը։ Անձի նույնականացումը և ծառայության լիազորումը լիովին հնարավոր է առանց մեկ փաթեթ ապակոդավորելու։ Ապակոդավորված հոսքը ոչինչ չի ասում այն մասին, թե արդյոք օգտվողն իրավունք ուներ դրա մեջ տեղափոխվող գործողությանը։

Քաղաքականությանը պետք է մեկ տեսակի ապացույց, և ապակոդավորումը դա չէ։ Սարքի առողջությունը մեկ մուտք է ինքնության, ռեսուրսի զգայունության և համատեքստի մեջ, և մեկ անգամ անցնելը այդ մեքենային չի տալիս ցանցի մնացած մասը։ Երկուսի խառնումը լիազորման հարցը դարձնում է վկայականների նախագիծ։

Երբ դարպասը ոչ մի տեղ չէ ուղու վրա

Գույքագրեք, թե ինչ է շարժվում առանց հեռավոր դարպասին դիպչելու՝ կապեր տեղական սեգմենտի մեքենաների միջև, զանգեր մի աշխատանքային բեռից մյուսը, և վերջնակետեր, որոնց հասնում են ուղղակիորեն ամպային հաշվի ներսում։ Յուրաքանչյուր ուղու համար նշեք կիրառման մեթոդ, որը իսկապես կարելի է տեղակայել այսօր։ Սարքավորումը, որը չի կարող տեղավորել գործակալ, այնուամենայնիվ կարիք ունի մեկ այլ բացահայտ աջակցվող վերահսկողության, և այն ենթադրությունը, որ գործակալը կգա ավելի ուշ, հիմա ոչինչ չի փակում։ Ծառայությունից ծառայություն հասանելիությունը սովորաբար ավելի լավ է համապատասխանում աշխատանքային բեռի ինքնությանը և ռեսուրսի դեմ գրված ստուգմանը, քան ևս մեկ վերածածկ ցանցին։

Ընդունեք ձևավորումը ըստ վարքագծի, այլ ոչ թե դիագրամների՝ որ գործողություններն են թույլատրված, որոնք՝ մերժված, և որտեղ է կիրառվում յուրաքանչյուր պատասխան։ Հաստատեք կոնկրետ թույլատրված և մերժված գործողություններ, և ներառեք մեկ տեղական երթուղի, որը երբեք չի հասնում դարպասին։ Գրանցեք, թե ով է քաղաքականության սեփականատերը, ինչպես է այն փոխվում և ինչպես է աշխատում չեղարկումը։

Վերանվանված թունելը մնում է թունել։ Քաղաքականությունը որոշում է, և ինչ-որ բան պետք է կիրառի այն։