Zero Trust, VPN și inspecția TLS îndeplinesc sarcini diferite

Documentele de achiziție tratează zero trust, VPN și inspecția TLS ca și cum ar fi aceeași achiziție, iar fiecare răspunde la o întrebare la care celelalte nu pot. Un tunel construiește o cale protejată, o poartă de inspecție citește traficul pe care îl poate termina, iar o politică decide dacă o identitate numită poate executa o operațiune numită asupra unei resurse numite. Doar ultima este o decizie de autorizare. Un produs poate face primele două perfect și poate lăsa totuși întrebarea reală deschisă.

Trei mecanisme, trei întrebări

Tunelul răspunde la cum ajunge traficul în rețea. O poartă de inspecție răspunde la ce poate vedea și face un echipament intermediar acolo unde este autorizat să termine TLS. Un motor de politici răspunde la cine poate face ce asupra cărei resurse, apoi are nevoie de un punct de aplicare capabil să aplice acel răspuns. Arhitectura zero trust a NIST pune resursa în centru și refuză să deducă încrederea din locul de unde a venit un pachet.

Acel cadru este mai greu de satisfăcut decât o etichetă și mult mai greu de falsificat într-o evaluare. De asemenea, mută întrebarea de la ce produse sunt implementate la ce decizii sunt aplicate și de către ce.

Unde se aplică de fapt decizia

Luați o cerere: un inginer de suport deschide o consolă de serviciu, iar un calculator personal conectat la același comutator nu trebuie să moștenească acea permisiune doar pentru că este aproape. Notați operațiunea permisă, condițiile dispozitivului și componenta care le aplică. Amplasarea decide totul: o poartă de aplicație, un proxy de serviciu, un control de gazdă sau o altă graniță pe care organizația o susține efectiv. Orice ar fi acea componentă, trebuie să stea pe calea încercărilor la distanță și a celor locale.

Traficul care nu traversează niciodată intrarea VPN nu este guvernat de o verificare făcută acolo, oricât de amănunțită ar fi acea verificare. Exact această singură lacună explică cea mai mare parte a distanței dintre o diagramă zero trust și o implementare funcțională. Desenați calea cererii înainte de a desena arhitectura.

Decriptarea nu este autorizare

Interceptarea servește scopuri înguste de inspecție și poartă propria povară de certificate, rădăcini de încredere, revizuire a confidențialității și aplicații care se strică sub ea. Nimic din toate acestea nu este sensul zero trust și nimic nu înlocuiește o decizie de politică. Autentificarea unei persoane și autorizarea unui serviciu sunt perfect posibile fără a decripta un singur pachet. Un flux decriptat nu spune nimic despre dacă utilizatorul avea dreptul la operațiunea transportată în el.

Politica are nevoie de un tip de dovadă, iar decriptarea nu este aceea. Starea dispozitivului este o intrare între identitate, sensibilitatea resursei și context, iar trecerea ei o dată nu oferă acelui calculator restul rețelei. Amestecarea celor două transformă o întrebare de autorizare într-un proiect de certificate.

Când poarta nu este nicăieri pe cale

Inventariați ce călătorește fără a atinge poarta la distanță: legături între calculatoare din segmentul local, apeluri de la o sarcină de lucru la alta și puncte finale atinse direct în interiorul unui cont cloud. Pentru fiecare cale, numiți o metodă de aplicare care poate fi implementată efectiv astăzi. Echipamentele care nu pot găzdui un agent au totuși nevoie de un alt control susținut explicit, iar presupunerea că agentul va veni mai târziu nu închide nimic acum. Accesul de la serviciu la serviciu se potrivește de obicei mai bine cu identitatea sarcinii de lucru și cu o verificare scrisă împotriva resursei decât cu o altă rețea suprapusă.

Acceptați proiectul după comportament, nu după diagrame: ce operațiuni sunt permise, care sunt refuzate și unde este aplicat fiecare răspuns. Aprobați operațiuni concrete permise și refuzate și includeți o rută locală care nu ajunge niciodată la poartă. Înregistrați cine deține politica, cum se schimbă și cum funcționează revocarea.

Un tunel redenumit rămâne un tunel. O politică decide, iar ceva trebuie să o aplice.