Zero Trust, VPN және TLS тексеруі түрлі міндеттерді орындайды

Сатып алу құжаттары zero trust, VPN және TLS тексеруін бір сатып алу ретінде қарастырады, және олардың әрқайсысы басқалары жауап бере алмайтын сұраққа жауап береді. Тоннель қорғалған жол салады, тексеру шлюзі өзі аяқтай алатын трафикті оқиды, ал саясат аталған субъектінің аталған ресурсқа аталған операцияны орындай алатынын шешеді. Олардың тек соңғысы ғана авторизация шешімі. Өнім алғашқы екеуін мінсіз орындап, шынайы сұрақты ашық қалдыра алады.

Үш механизм, үш сұрақ

Тоннель трафиктің желіге қалай жететінін жауаптайды. Тексеру шлюзі TLS-ті аяқтауға өкілетті жерде аралық құрылғының не көре және не істей алатынын жауаптайды. Саясат қозғалтқышы кімнің қай ресурсқа не істей алатынын жауаптайды, содан кейін оған осы жауапты қолдана алатын орындау нүктесі қажет. NIST-тің zero trust архитектурасы ресурсты ортаға қояды және пакеттің қайдан келгенінен сенім шығарудан бас тартады.

Бұл шеңберді қанағаттандыру жапсырмадан қиынырақ, ал қарау барысында оны бұрмалау әлдеқайда қиын. Ол сұрақты қандай өнімдер орналастырылғанынан қандай шешімдер және немен орындалатынына ауыстырады.

Шешім іс жүзінде қайда қолданылады

Бір сұранысты алыңыз: қолдау инженері қызмет консолін ашады, ал сол коммутаторға қосылған жеке машина тек жақын болғаны үшін бұл рұқсатты мұрагерлікке алмауы керек. Рұқсат етілген операцияны, құрылғы шарттарын және оларды орындайтын құрамдасты жаз. Орналасу бәрін шешеді: қолданба шлюзі, қызмет проксиі, хост бақылауы немесе ұйым шынымен қолдайтын басқа шекара. Бұл құрамдас қандай болса да, ол қашықтағы да, жергілікті де әрекеттердің жолында тұруы керек.

VPN кіреберісінен ешқашан өтпейтін трафикті сол жерде жасалатын тексеру басқармайды, бұл тексеру қаншалықты мұқият болса да. Дәл осы бір олқылық zero trust диаграммасы мен жұмыс істейтін орналастыру арасындағы қашықтықтың көбін түсіндіреді. Архитектураны салмас бұрын сұраныс жолын салыңыз.

Шифрды шешу авторизация емес

Ұстау тар тексеру мақсаттарына қызмет етеді және өз жүгін арқалайды: сертификаттар, сенімді тамырлар, құпиялылықты қарау және оның астында сынатын қолданбалар. Олардың ешқайсысы zero trust мағынасы емес және ешқайсысы саясат шешімін алмастырмайды. Бір пакетті де шешпей-ақ адамды аутентификациялауға және қызметке авторизация беруге әбден болады. Шифры шешілген ағын пайдаланушының ішінде тасымалданатын операцияға құқығы болғаны туралы ештеңе айтпайды.

Саясатқа дәлелдің бір түрі қажет, ал шифрды шешу ол емес. Құрылғы денсаулығы – сәйкестік, ресурс сезімталдығы және контекст қатарындағы бір кіріс, және оны бір рет өту сол машинаға желінің қалғанын бермейді. Екеуін араластыру авторизация сұрағын сертификат жобасына айналдырады.

Шлюз жолда мүлде болмағанда

Қашықтағы шлюзге қол тигізбей не қозғалатынын түгендеңіз: жергілікті сегменттегі машиналар арасындағы байланыстар, бір жұмыс жүктемесінен екіншісіне қоңыраулар және бұлттық шоттың ішінде тікелей қол жететін соңғы нүктелер. Әр жол үшін бүгін шынымен орналастыруға болатын орындау әдісін атаңыз. Агентті қабылдай алмайтын жабдыққа әлі де айқын қолдау көрсетілетін басқа бақылау қажет, ал агент кейінірек келеді деген болжам қазір ештеңені жаппайды. Қызметтен қызметке қатынас әдетте басқа қабатты желіге қарағанда жұмыс жүктемесінің сәйкестігіне және ресурсқа қарсы жазылған тексеруге жақсырақ сәйкеседі.

Дизайнды диаграммаларға емес, мінез-құлыққа қарап қабылдаңыз: қандай операцияларға рұқсат, қайсысына бас тартылады және әр жауап қайда орындалады. Нақты рұқсат етілген және бас тартылған операцияларды бекітіп, шлюзге ешқашан жетпейтін бір жергілікті маршрутты қосыңыз. Саясат кімге тиесілі, ол қалай өзгереді және кері қайтару қалай жұмыс істейтінін жазып алыңыз.

Қайта аталған тоннель әлі де тоннель. Саясат шешеді, және бірдеңе оны орындауы керек.