Zero Trust, VPN e ispezione TLS svolgono compiti diversi

I documenti di acquisto trattano zero trust, VPN e ispezione TLS come se fossero lo stesso acquisto, e ciascuna risponde a una domanda che le altre non possono. Un tunnel costruisce un percorso protetto, un gateway di ispezione legge il traffico che è in grado di terminare, e una politica decide se un’identità nominata può eseguire un’operazione nominata su una risorsa nominata. Solo l’ultima è una decisione di autorizzazione. Un prodotto può svolgere perfettamente le prime due e lasciare comunque aperta la vera domanda.

Tre meccanismi, tre domande

Il tunnel risponde a come il traffico raggiunge la rete. Un gateway di ispezione risponde a cosa può vedere e fare un elemento intermedio dove è autorizzato a terminare TLS. Un motore di policy risponde a chi può fare cosa su quale risorsa, e poi ha bisogno di un punto di applicazione capace di applicare quella risposta. L’architettura zero trust di NIST mette la risorsa al centro e rifiuta di dedurre fiducia da dove è arrivato un pacchetto.

Quella impostazione è più difficile da soddisfare di un’etichetta, e molto più difficile da falsificare in una revisione. Sposta anche la domanda da quali prodotti sono distribuiti a quali decisioni vengono applicate e da cosa.

Dove la decisione viene realmente applicata

Prendete una richiesta: un ingegnere del supporto apre una console di servizio, e una macchina personale collegata allo stesso switch non deve ereditare quel permesso solo perché è vicina. Annotate l’operazione consentita, le condizioni del dispositivo e il componente che le applica. La collocazione decide tutto: un gateway applicativo, un proxy di servizio, un controllo host o un’altra frontiera che l’organizzazione supporta davvero. Qualunque sia quel componente, deve stare sul percorso dei tentativi remoti e di quelli locali.

Il traffico che non attraversa mai l’ingresso VPN non è governato da un controllo eseguito lì, per quanto accurato sia quel controllo. Proprio quella singola lacuna spiega la maggior parte della distanza tra uno schema zero trust e una distribuzione che funziona. Disegnate il percorso della richiesta prima di disegnare l’architettura.

La decifratura non è autorizzazione

L’intercettazione serve obiettivi di ispezione ristretti e porta il proprio carico di certificati, radici fidate, revisione della privacy e applicazioni che si rompono sotto di essa. Niente di tutto ciò è il significato di zero trust, e niente di tutto ciò sostituisce una decisione di policy. Autenticare una persona e autorizzare un servizio è del tutto possibile senza decifrare un solo pacchetto. Un flusso decifrato non dice nulla sul diritto dell’utente all’operazione che trasporta.

La politica ha bisogno di un tipo di prova, e la decifratura non lo è. La salute del dispositivo è un input tra identità, sensibilità della risorsa e contesto, e superarla una volta non consegna a quella macchina il resto della rete. Mescolare le due cose trasforma una domanda di autorizzazione in un progetto di certificati.

Quando il gateway non è da nessuna parte sul percorso

Inventariate ciò che viaggia senza toccare il gateway remoto: collegamenti tra macchine del segmento locale, chiamate da un carico di lavoro a un altro e endpoint raggiunti direttamente dentro un account cloud. Per ogni percorso, nominate un metodo di applicazione realmente distribuibile oggi. Un’apparecchiatura che non può ospitare un agente ha comunque bisogno di un altro controllo esplicitamente supportato, e supporre che l’agente arriverà più tardi non chiude nulla adesso. L’accesso da servizio a servizio si adatta di solito meglio all’identità del carico di lavoro e a un controllo scritto contro la risorsa che a un’altra rete sovrapposta.

Accettate il progetto sul comportamento e non sugli schemi: quali operazioni sono consentite, quali negate e dove viene applicata ogni risposta. Approvate operazioni specifiche consentite e negate, e includete un percorso locale che non raggiunge mai il gateway. Registrate chi possiede la politica, come cambia e come funziona la revoca.

Un tunnel ribattezzato resta un tunnel. Una politica decide, e qualcosa deve applicarla.