Zero Trust, VPN болон TLS шалгалт өөр өөр ажил хийдэг

Худалдан авалтын баримт бичгүүд zero trust, VPN болон TLS шалгалтыг нэг худалдан авалт мэт үздэг бөгөөд тус бүр нь бусдын хариулж чадахгүй асуултад хариулдаг. Туннель хамгаалагдсан зам байгуулж, шалгалтын гарц өөрөө дуусгаж чадах урсгалыг уншиж, бодлого нэрлэсэн таних нэгж нэрлэсэн нөөц дээр нэрлэсэн үйлдэл хийж болох эсэхийг шийддэг. Тэдгээрийн зөвхөн сүүлийнх нь зөвшөөрлийн шийдвэр юм. Бүтээгдэхүүн эхний хоёрыг төгс хийж чадсан ч жинхэнэ асуултыг нээлттэй орхиж болно.

Гурван механизм, гурван асуулт

Туннель урсгал сүлжээнд хэрхэн хүрдэг талаар хариулдаг. Шалгалтын гарц TLS-ийг дуусгах эрхтэй газарт завсрын төхөөрөмж юу харж, юу хийж чадахыг хариулдаг. Бодлогын хөдөлгүүр хэн аль нөөц дээр юу хийж болохыг хариулж, дараа нь тэр хариултыг хэрэгжүүлж чадах хэрэгжүүлэх цэг хэрэгтэй болдог. NIST-ийн zero trust архитектур нөөцийг төвд тавьж, багц хаанаас ирсэнээс итгэл дүгнэхээс татгалздаг.

Энэ хүрээг шошгоноос хангах нь хэцүү бөгөөд хяналт шалгалтад хуурамчаар үйлдэх нь бүр ч хэцүү. Энэ нь асуултыг ямар бүтээгдэхүүн байршуулснаас ямар шийдвэр, юугаар хэрэгжиж байна руу шилжүүлдэг.

Шийдвэр бодитоор хаана хэрэгждэг

Нэг хүсэлтийг авч үзье: дэмжлэгийн инженер үйлчилгээний консол нээж, нэг л коммутаторт холбогдсон хувийн машин зөвхөн ойрхон байгаа учраас тэр зөвшөөрлийг өвлөж болохгүй. Зөвшөөрөгдсөн үйлдэл, төхөөрөмжийн нөхцөл болон тэдгээрийг хэрэгжүүлдэг бүрэлдэхүүнийг бич. Байршил бүхнийг шийддэг: програмын гарц, үйлчилгээний прокси, хост хяналт эсвэл байгууллага бодитоор дэмждэг өөр хил. Тэр бүрэлдэхүүн юу ч байсан, алслагдсан болон орон нутгийн оролдлогын аль алиных нь замд байх ёстой.

VPN-ийн орох хэсгийг хэзээ ч давахгүй урсгалыг тэнд хийгдэх шалгалт удирдахгүй, тэр шалгалт хичнээн нарийн байсан ч. Яг энэ нэг цоорхой нь zero trust диаграм ба ажиллаж буй байршуулалтын хоорондын зайн ихэнхийг тайлбарладаг. Архитектурыг зурахаасаа өмнө хүсэлтийн замыг зур.

Шифр тайлах нь зөвшөөрөл биш

Тасалдал нь нарийн шалгалтын зорилгод үйлчилдэг бөгөөд сертификат, итгэмжлэгдсэн үндэс, нууцлалын хяналт болон түүний доор эвдэрдэг програмууд гэсэн өөрийн ачааг үүрдэг. Эдгээрийн аль нь ч zero trust-ийн утга биш бөгөөд аль нь ч бодлогын шийдвэрийг орлохгүй. Нэг ч багц тайлахгүйгээр хүнийг баталгаажуулж, үйлчилгээнд зөвшөөрөл олгох бүрэн боломжтой. Тайлагдсан урсгал нь хэрэглэгч дотор нь зөөгдөж буй үйлдэлд эрхтэй байсан эсэхийг юу ч хэлэхгүй.

Бодлогод нэг төрлийн нотолгоо хэрэгтэй бөгөөд шифр тайлах нь тэр биш. Төхөөрөмжийн эрүүл мэнд нь таних, нөөцийн мэдрэмтгий байдал болон нөхцөл байдлын дундах нэг оролт бөгөөд нэг удаа давснаар тэр машинд сүлжээний үлдсэнийг өгөхгүй. Хоёрыг холих нь зөвшөөрлийн асуултыг сертификатын төсөл болгоно.

Гарц замд огт байхгүй үед

Алслагдсан гарцыг хүрэлгүйгээр юу зорчиж байгааг тоол: орон нутгийн сегментийн машинуудын хоорондын холбоо, нэг ажлын ачааллаас нөгөө рүү хийх дуудлага, үүлэн дансны дотор шууд хүрэх төгсгөлийн цэгүүд. Зам бүрд өнөөдөр бодитоор байршуулж болох хэрэгжүүлэх аргыг нэрлэ. Агент байрлуулж чадахгүй тоног төхөөрөмжид илүү тодорхой дэмжигдсэн өөр хяналт хэрэгтэй хэвээр, агент дараа ирнэ гэсэн таамаг одоо юу ч хаалгүй. Үйлчилгээ хоорондын хандалт нь ихэвчлэн өөр нэг давхаргын сүлжээнээс илүү ажлын ачааллын таних болон нөөцийн эсрэг бичсэн шалгалтад нийцдэг.

Дизайныг диаграмаас илүү зан төлөвөөр хүлээн ав: ямар үйлдэл зөвшөөрөгдөж, аль нь татгалзагдаж, хариу бүр хаана хэрэгждэг. Тодорхой зөвшөөрөгдсөн болон татгалзсан үйлдлүүдийг баталж, гарцад хэзээ ч хүрэхгүй нэг орон нутгийн маршрутыг оруул. Бодлогыг хэн эзэмшдэг, хэрхэн өөрчлөгддөг, цуцлалт хэрхэн ажилладаг талаар тэмдэглэ.

Дахин шошголсон туннель хэвээрээ туннель. Бодлого шийддэг бөгөөд ямар нэгэн зүйл түүнийг хэрэгжүүлэх ёстой.