Zero Trust, VPN, dan inspeksi TLS melakukan tugas yang berbeda

Dokumen pengadaan memperlakukan zero trust, VPN, dan inspeksi TLS seolah-olah itu pembelian yang sama, dan masing-masing menjawab pertanyaan yang tidak dapat dijawab yang lain. Tunnel membangun jalur terlindungi, gateway inspeksi membaca lalu lintas yang dapat dihentikannya, dan kebijakan memutuskan apakah identitas bernama boleh menjalankan operasi bernama pada sumber daya bernama. Hanya yang terakhir itu keputusan otorisasi. Sebuah produk dapat melakukan dua yang pertama dengan sempurna dan tetap membiarkan pertanyaan sebenarnya terbuka.

Tiga mekanisme, tiga pertanyaan

Tunnel menjawab bagaimana lalu lintas mencapai jaringan. Gateway inspeksi menjawab apa yang dapat dilihat dan dilakukan kotak perantara di tempat yang berwenang menghentikan TLS. Mesin kebijakan menjawab siapa boleh melakukan apa terhadap sumber daya mana, lalu memerlukan titik penegakan yang mampu menerapkan jawaban itu. Arsitektur zero trust dari NIST menempatkan sumber daya di pusat dan menolak menyimpulkan kepercayaan dari asal sebuah paket.

Kerangka itu lebih sulit dipenuhi daripada label, dan jauh lebih sulit dipalsukan dalam sebuah tinjauan. Kerangka itu juga memindahkan pertanyaan dari produk apa yang dipasang ke keputusan apa yang ditegakkan dan oleh apa.

Di mana keputusan benar-benar diterapkan

Ambil satu permintaan: seorang teknisi dukungan membuka konsol layanan, dan mesin pribadi yang terhubung ke sakelar yang sama tidak boleh mewarisi izin itu hanya karena berada di dekatnya. Catat operasi yang diizinkan, kondisi perangkat, dan komponen yang menegakkannya. Penempatan menentukan segalanya: gateway aplikasi, proksi layanan, kontrol host, atau batas lain yang benar-benar didukung organisasi. Apa pun komponen itu, ia harus berada di jalur upaya jarak jauh maupun setempat.

Lalu lintas yang tidak pernah melewati pintu masuk VPN tidak diatur oleh pemeriksaan yang dilakukan di sana, seberapa menyeluruh pun pemeriksaan itu. Celah tunggal itulah yang menjelaskan sebagian besar jarak antara diagram zero trust dan penerapan yang berfungsi. Gambar jalur permintaan sebelum menggambar arsitekturnya.

Dekripsi bukan otorisasi

Pencegatan melayani tujuan inspeksi yang sempit dan membawa bebannya sendiri berupa sertifikat, akar tepercaya, tinjauan privasi, dan aplikasi yang rusak karenanya. Tidak satu pun dari itu adalah makna zero trust, dan tidak satu pun menggantikan keputusan kebijakan. Mengautentikasi orang dan mengotorisasi layanan sepenuhnya mungkin tanpa mendekripsi satu paket pun. Aliran yang didekripsi tidak mengatakan apa pun tentang apakah pengguna berhak atas operasi yang dibawanya.

Kebijakan membutuhkan satu jenis bukti, dan dekripsi bukan itu. Kesehatan perangkat adalah satu masukan di antara identitas, sensitivitas sumber daya, dan konteks, dan meloloskannya sekali tidak memberikan sisa jaringan kepada mesin itu. Mencampur keduanya mengubah pertanyaan otorisasi menjadi proyek sertifikat.

Ketika gateway sama sekali tidak ada di jalur

Inventarisasikan apa yang berpindah tanpa menyentuh gateway jarak jauh: tautan antar mesin di segmen lokal, panggilan dari satu beban kerja ke beban kerja lain, dan titik akhir yang dicapai langsung di dalam akun cloud. Untuk setiap jalur, sebutkan metode penegakan yang benar-benar dapat diterapkan hari ini. Peralatan yang tidak dapat menjalankan agen tetap memerlukan kendali lain yang didukung secara eksplisit, dan berasumsi agen akan datang nanti tidak menutup apa pun sekarang. Akses layanan-ke-layanan biasanya lebih cocok dengan identitas beban kerja dan pemeriksaan yang ditulis terhadap sumber daya daripada jaringan overlay lain.

Terima desain berdasarkan perilaku, bukan diagram: operasi mana yang diizinkan, mana yang ditolak, dan di mana setiap jawaban ditegakkan. Setujui operasi tertentu yang diizinkan dan ditolak, dan sertakan satu rute lokal yang tidak pernah mencapai gateway. Catat siapa pemilik kebijakan, bagaimana kebijakan berubah, dan bagaimana pencabutan bekerja.

Tunnel yang diberi label baru tetap tunnel. Kebijakan yang memutuskan, dan sesuatu harus menegakkannya.