Zero Trust, VPN un TLS pārbaude veic dažādus darbus

Iepirkuma dokumenti zero trust, VPN un TLS pārbaudi aplūko tā, it kā tas būtu viens un tas pats pirkums, un katrs no tiem atbild uz jautājumu, uz kuru pārējie nevar. Tunelis būvē aizsargātu ceļu, pārbaudes vārteja nolasa plūsmu, ko tā spēj pabeigt, un politika izlemj, vai nosaukta identitāte drīkst veikt nosauktu operāciju ar nosauktu resursu. Tikai pēdējais no tiem ir autorizācijas lēmums. Produkts var lieliski veikt pirmos divus un tomēr atstāt īsto jautājumu atvērtu.

Trīs mehānismi, trīs jautājumi

Tunelis atbild, kā plūsma nokļūst tīklā. Pārbaudes vārteja atbild, ko starpniekierīce var redzēt un darīt tur, kur tai ir tiesības pabeigt TLS. Politikas dzinējs atbild, kas ko drīkst darīt ar kuru resursu, un pēc tam tam vajag izpildes punktu, kas spēj šo atbildi piemērot. NIST zero trust arhitektūra resursu liek centrā un atsakās izsecināt uzticēšanos no tā, no kurienes nāca pakete.

Šo ietvaru ir grūtāk apmierināt nekā uzlīmi, un daudz grūtāk to noturēt pret viltošanu pārbaudē. Tas arī pārvieto jautājumu no tā, kuri produkti ir ieviesti, uz to, kuri lēmumi un ar ko tiek izpildīti.

Kur lēmums faktiski tiek piemērots

Ņemiet vienu pieprasījumu: atbalsta inženieris atver pakalpojuma konsoli, un personīgais dators, kas pievienots tam pašam komutatoram, nedrīkst mantot šo atļauju tikai tāpēc, ka atrodas tuvumā. Pierakstiet atļauto operāciju, ierīces nosacījumus un komponentu, kas tos izpilda. Izvietojums izšķir visu: lietojumprogrammas vārteja, pakalpojuma starpniekserveris, resursdatora kontrole vai cita robeža, ko organizācija patiešām atbalsta. Lai kas arī būtu šis komponents, tam jāatrodas gan attālināto, gan vietējo mēģinājumu ceļā.

Plūsmu, kas nekad nešķērso VPN ieeju, nepārvalda tur veikta pārbaude, lai cik rūpīga tā būtu. Tieši šī viena plaisa izskaidro lielāko daļu attāluma starp zero trust diagrammu un strādājošu ieviešanu. Uzzīmējiet pieprasījuma ceļu pirms arhitektūras zīmēšanas.

Atšifrēšana nav autorizācija

Pārtveršana kalpo šauriem pārbaudes mērķiem un nes savu nastu: sertifikātus, uzticamas saknes, privātuma pārskatīšanu un lietojumprogrammas, kas zem tās lūzt. Nekas no tā nav zero trust nozīme, un nekas no tā neaizstāj politikas lēmumu. Autentificēt personu un autorizēt pakalpojumu ir pilnīgi iespējams, neatšifrējot nevienu paketi. Atšifrēta plūsma neko nepasaka par to, vai lietotājam bija tiesības uz tajā pārnēsāto operāciju.

Politikai vajag viena veida pierādījumu, un atšifrēšana nav tas. Ierīces veselība ir viena ievade līdzās identitātei, resursa jutīgumam un kontekstam, un vienreizēja izturēšana nedod šai mašīnai pārējo tīklu. Abu sajaukšana pārvērš autorizācijas jautājumu sertifikātu projektā.

Kad vārtejas ceļā nemaz nav

Uzskaitiet, kas pārvietojas, nepieskaroties attālinātajai vārtejai: saites starp mašīnām vietējā segmentā, izsaukumi no viena darba slodzes uz otru un galapunkti, kas sasniedzami tieši mākoņa kontā. Katram ceļam nosauciet izpildes metodi, ko šodien patiešām var ieviest. Aprīkojumam, kas nevar uzņemt aģentu, joprojām vajadzīga cita skaidri atbalstīta kontrole, un pieņēmums, ka aģents pienāks vēlāk, tagad neko neaizver. Piekļuve no pakalpojuma pakalpojumam parasti labāk atbilst darba slodzes identitātei un pārbaudei, kas rakstīta pret resursu, nekā vēl viens pārklājuma tīkls.

Pieņemiet dizainu pēc uzvedības, nevis pēc diagrammām: kuras operācijas ir atļautas, kuras atteiktas un kur katra atbilde tiek izpildīta. Apstipriniet konkrētas atļautas un atteiktas operācijas un iekļaujiet vienu vietēju maršrutu, kas nekad nesasniedz vārteju. Pierakstiet, kam pieder politika, kā tā mainās un kā darbojas atsaukšana.

Pārdēvēts tunelis joprojām ir tunelis. Politika izlemj, un kaut kam tā ir jāizpilda.