Zero Trust, VPN და TLS ინსპექცია სხვადასხვა საქმეს ასრულებენ

შესყიდვის დოკუმენტები zero trust-ს, VPN-სა და TLS ინსპექციას ერთსა და იმავე შესყიდვად განიხილავენ, და თითოეული მათგანი პასუხობს კითხვას, რომელზეც სხვები ვერ პასუხობენ. გვირაბი აშენებს დაცულ გზას, ინსპექციის კარიბჭე კითხულობს იმ ტრაფიკს, რომლის დასრულებაც შეუძლია, ხოლო პოლიტიკა წყვეტს, შეუძლია თუ არა დასახელებულ იდენტობას დასახელებული ოპერაციის შესრულება დასახელებულ რესურსზე. მათგან მხოლოდ უკანასკნელია ავტორიზაციის გადაწყვეტილება. პროდუქტს შეუძლია პირველი ორი სრულყოფილად შეასრულოს და მაინც ღიად დატოვოს ნამდვილი კითხვა.

სამი მექანიზმი, სამი კითხვა

გვირაბი პასუხობს, როგორ აღწევს ტრაფიკი ქსელში. ინსპექციის კარიბჭე პასუხობს, რისი ნახვა და გაკეთება შეუძლია შუამავალ მოწყობილობას იქ, სადაც უფლება აქვს დაასრულოს TLS. პოლიტიკის ძრავა პასუხობს, ვის რა შეუძლია რომელ რესურსზე, და შემდეგ მას სჭირდება აღსრულების წერტილი, რომელსაც ეს პასუხი შეუძლია გამოიყენოს. NIST-ის zero trust არქიტექტურა რესურსს ცენტრში აყენებს და უარს ამბობს ნდობის გამოტანაზე იმის მიხედვით, საიდან მოვიდა პაკეტი.

ამ ჩარჩოს დაკმაყოფილება უფრო რთულია, ვიდრე ეტიკეტის, და გაცილებით რთულია მისი გაყალბება განხილვისას. ის ასევე კითხვას გადააქვს იქიდან, რომელი პროდუქტებია განლაგებული, იქით, რომელი გადაწყვეტილებები სრულდება და რით.

სად გამოიყენება გადაწყვეტილება სინამდვილეში

აიღეთ ერთი მოთხოვნა: მხარდაჭერის ინჟინერი ხსნის მომსახურების კონსოლს, და იმავე კომუტატორზე მიერთებულმა პირადმა მანქანამ არ უნდა დაიმკვიდროს ეს ნებართვა მხოლოდ იმიტომ, რომ ახლოსაა. ჩაწერეთ დაშვებული ოპერაცია, მოწყობილობის პირობები და კომპონენტი, რომელიც მათ აღასრულებს. განლაგება ყველაფერს წყვეტს: აპლიკაციის კარიბჭე, მომსახურების პროქსი, ჰოსტის კონტროლი ან სხვა საზღვარი, რომელსაც ორგანიზაცია ნამდვილად უჭერს მხარს. რაც არ უნდა იყოს ეს კომპონენტი, ის უნდა იყოს როგორც დისტანციური, ისე ადგილობრივი მცდელობების გზაზე.

ტრაფიკი, რომელიც არასოდეს კვეთს VPN-ის შესასვლელს, არ იმართება იქ შესრულებული შემოწმებით, რამდენად საფუძვლიანიც არ უნდა იყოს ის. სწორედ ეს ერთი ხარვეზი ხსნის zero trust-ის დიაგრამასა და მოქმედ განლაგებას შორის მანძილის უმეტეს ნაწილს. დახაზეთ მოთხოვნის გზა, სანამ დახაზავთ არქიტექტურას.

გაშიფვრა ავტორიზაცია არ არის

ჩარევა ემსახურება ვიწრო ინსპექციის მიზნებს და თავად ატარებს ტვირთს: სერტიფიკატები, სანდო ფესვები, კონფიდენციალურობის განხილვა და აპლიკაციები, რომლებიც მის ქვეშ იმტვრევა. ამათგან არც ერთი არ არის zero trust-ის მნიშვნელობა და არც ერთი არ ცვლის პოლიტიკის გადაწყვეტილებას. ადამიანის ავთენტიფიკაცია და მომსახურების ავტორიზაცია სრულიად შესაძლებელია ერთი პაკეტის გაშიფვრის გარეშე. გაშიფრული ნაკადი არაფერს ამბობს იმაზე, ჰქონდა თუ არა მომხმარებელს უფლება მასში გადატანილ ოპერაციაზე.

პოლიტიკას ერთი სახის მტკიცებულება სჭირდება და გაშიფვრა ეს არ არის. მოწყობილობის ჯანმრთელობა ერთი შეყვანაა იდენტობას, რესურსის მგრძნობელობასა და კონტექსტს შორის, და ერთხელ გავლა ამ მანქანას ქსელის დარჩენილ ნაწილს არ აძლევს. ორივეს შერევა ავტორიზაციის კითხვას სერტიფიკატების პროექტად აქცევს.

როცა კარიბჭე გზაზე არსად არის

ჩამოთვალეთ, რა მოძრაობს დისტანციური კარიბჭის შეხების გარეშე: კავშირები ლოკალური სეგმენტის მანქანებს შორის, ზარები ერთი დატვირთვიდან მეორეზე და ბოლო წერტილები, რომლებსაც პირდაპირ ღრუბლოვანი ანგარიშის შიგნით აღწევენ. თითოეული გზისთვის დაასახელეთ აღსრულების მეთოდი, რომლის განლაგებაც დღეს ნამდვილად შესაძლებელია. მოწყობილობას, რომელსაც აგენტის განთავსება არ შეუძლია, მაინც სჭირდება სხვა ცალსახად მხარდაჭერილი კონტროლი, და ვარაუდი, რომ აგენტი მოგვიანებით მოვა, ახლა არაფერს ხურავს. მომსახურებიდან მომსახურებაზე წვდომა ჩვეულებრივ უფრო უხდება დატვირთვის იდენტობას და რესურსის წინააღმდეგ დაწერილ შემოწმებას, ვიდრე კიდევ ერთ გადაფარვის ქსელს.

მიიღეთ დიზაინი ქცევის მიხედვით და არა დიაგრამების: რომელი ოპერაციებია დაშვებული, რომელი უარყოფილი და სად სრულდება თითოეული პასუხი. დაამტკიცეთ კონკრეტული დაშვებული და უარყოფილი ოპერაციები და შეიტანეთ ერთი ლოკალური მარშრუტი, რომელიც არასოდეს აღწევს კარიბჭემდე. ჩაწერეთ, ვის ეკუთვნის პოლიტიკა, როგორ იცვლება და როგორ მუშაობს გაუქმება.

გადარქმეული გვირაბი მაინც გვირაბია. პოლიტიკა წყვეტს და რაღაცამ უნდა აღასრულოს ის.