Zero Trust, VPN dan pemeriksaan TLS melakukan tugas yang berbeza

Dokumen perolehan menganggap zero trust, VPN dan pemeriksaan TLS sebagai pembelian yang sama, dan setiap satu menjawab soalan yang tidak dapat dijawab oleh yang lain. Terowong membina laluan terlindung, gerbang pemeriksaan membaca trafik yang mampu ditamatkannya, dan dasar menentukan sama ada identiti bernama boleh melaksanakan operasi bernama pada sumber bernama. Hanya yang terakhir itu keputusan kebenaran. Sesuatu produk boleh melakukan dua yang pertama dengan sempurna dan masih membiarkan soalan sebenar terbuka.

Tiga mekanisme, tiga soalan

Terowong menjawab bagaimana trafik mencapai rangkaian. Gerbang pemeriksaan menjawab apa yang boleh dilihat dan dilakukan oleh kotak perantaraan di tempat ia dibenarkan menamatkan TLS. Enjin dasar menjawab siapa boleh melakukan apa terhadap sumber mana, dan kemudian ia memerlukan titik penguatkuasaan yang mampu menggunakan jawapan itu. Seni bina zero trust NIST meletakkan sumber di tengah dan enggan membuat kesimpulan kepercayaan daripada dari mana paket itu datang.

Rangka kerja itu lebih sukar dipenuhi daripada label, dan jauh lebih sukar dipalsukan dalam semakan. Ia juga memindahkan soalan daripada produk mana yang digunakan kepada keputusan mana yang dikuatkuasakan dan oleh apa.

Di mana keputusan benar-benar digunakan

Ambil satu permintaan: seorang jurutera sokongan membuka konsol perkhidmatan, dan mesin peribadi yang dipasang pada suis yang sama tidak boleh mewarisi kebenaran itu semata-mata kerana ia berdekatan. Catat operasi yang dibenarkan, syarat peranti dan komponen yang menguatkuasakannya. Penempatan menentukan segala-galanya: gerbang aplikasi, proksi perkhidmatan, kawalan hos atau sempadan lain yang benar-benar disokong oleh organisasi. Apa pun komponen itu, ia mesti berada di laluan percubaan jauh dan di tempat.

Trafik yang tidak pernah melintasi pintu masuk VPN tidak ditadbir oleh pemeriksaan yang dilakukan di sana, walau bagaimana teliti pun pemeriksaan itu. Jurang tunggal itulah yang menjelaskan sebahagian besar jarak antara rajah zero trust dan penggunaan yang berfungsi. Lukis laluan permintaan sebelum melukis seni bina.

Nyahsulit bukan kebenaran

Pemintasan memenuhi matlamat pemeriksaan yang sempit dan memikul bebannya sendiri berupa sijil, akar dipercayai, semakan privasi dan aplikasi yang rosak di bawahnya. Tiada satu pun daripada itu ialah maksud zero trust, dan tiada satu pun daripada itu menggantikan keputusan dasar. Mengesahkan seseorang dan membenarkan sesuatu perkhidmatan sepenuhnya mungkin tanpa menyahsulit satu paket pun. Aliran yang dinyahsulit tidak mengatakan apa-apa tentang sama ada pengguna berhak atas operasi yang dibawanya.

Dasar memerlukan satu jenis bukti, dan nyahsulit bukan itu. Kesihatan peranti ialah satu input antara identiti, sensitiviti sumber dan konteks, dan lulus sekali tidak memberikan mesin itu seluruh rangkaian. Mencampurkan kedua-duanya menjadikan soalan kebenaran sebagai projek sijil.

Apabila gerbang tidak ada di mana-mana pada laluan

Inventori apa yang bergerak tanpa menyentuh gerbang jauh: pautan antara mesin pada segmen tempatan, panggilan dari satu beban kerja ke satu lagi, dan titik akhir yang dicapai secara langsung dalam akaun awan. Bagi setiap laluan, namakan kaedah penguatkuasaan yang benar-benar boleh digunakan hari ini. Peralatan yang tidak dapat menghoskan agen masih memerlukan kawalan lain yang disokong secara jelas, dan andaian bahawa agen akan tiba kemudian tidak menutup apa-apa sekarang. Akses perkhidmatan-ke-perkhidmatan biasanya lebih sesuai dengan identiti beban kerja dan pemeriksaan yang ditulis terhadap sumber daripada rangkaian tindanan yang lain.

Terima reka bentuk berdasarkan tingkah laku dan bukan rajah: operasi mana yang dibenarkan, mana yang dinafikan, dan di mana setiap jawapan dikuatkuasakan. Luluskan operasi tertentu yang dibenarkan dan dinafikan, dan sertakan satu laluan tempatan yang tidak pernah sampai ke gerbang. Rekodkan siapa pemilik dasar, bagaimana ia berubah dan bagaimana pembatalan berfungsi.

Terowong yang dilabel semula masih terowong. Dasar yang menentukan, dan sesuatu mesti menguatkuasakannya.