Zero Trust, VPN i TLS inspekcija rade različite poslove

Dokumenti o nabavci tretiraju zero trust, VPN i TLS inspekciju kao istu kupovinu, a svaki od njih odgovara na pitanje na koje ostali ne mogu. Tunel gradi zaštićeni put, inspekcijski gejtvej čita saobraćaj koji može da prekine, a politika odlučuje sme li imenovani identitet da izvrši imenovanu operaciju na imenovanom resursu. Samo je poslednje od toga odluka o autorizaciji. Proizvod može savršeno da radi prve dve i ipak ostavi pravo pitanje otvorenim.

Tri mehanizma, tri pitanja

Tunel odgovara kako saobraćaj stiže do mreže. Inspekcijski gejtvej odgovara šta posredni uređaj može da vidi i uradi tamo gde je ovlašćen da prekine TLS. Mehanizam politike odgovara ko šta sme da čini sa kojim resursom, a zatim mu treba tačka sprovođenja koja može da primeni taj odgovor. NIST-ova zero trust arhitektura stavlja resurs u centar i odbija da izvede poverenje iz toga odakle je paket došao.

Taj okvir je teže zadovoljiti od nalepnice, i mnogo ga je teže krivotvoriti u pregledu. On takođe pomera pitanje sa toga koji su proizvodi raspoređeni na to koje se odluke sprovode i čime.

Gde se odluka zaista primenjuje

Uzmite jedan zahtev: inženjer podrške otvara servisnu konzolu, a lična mašina priključena na isti prekidač ne sme da nasledi tu dozvolu samo zato što je blizu. Zapišite dozvoljenu operaciju, uslove uređaja i komponentu koja ih sprovodi. Položaj odlučuje sve: aplikacijski gejtvej, servisni proksi, kontrola hosta ili neka druga granica koju organizacija zaista podržava. Šta god ta komponenta bila, mora da stoji na putu i udaljenih i lokalnih pokušaja.

Saobraćaj koji nikada ne pređe VPN ulaz ne upravlja se proverom izvršenom tamo, koliko god ta provera bila temeljna. Taj jedan jaz objašnjava većinu udaljenosti između zero trust dijagrama i radnog raspoređivanja. Nacrtajte put zahteva pre nego što nacrtate arhitekturu.

Dešifrovanje nije autorizacija

Presretanje služi uskim ciljevima inspekcije i nosi sopstveni teret sertifikata, pouzdanih korena, pregleda privatnosti i aplikacija koje se pod njim lome. Ništa od toga nije značenje zero trusta, i ništa od toga ne zamenjuje odluku politike. Autentifikovati osobu i autorizovati servis potpuno je moguće bez dešifrovanja ijednog paketa. Dešifrovani tok ne govori ništa o tome da li je korisnik imao pravo na operaciju koja se u njemu prenosi.

Politika treba jednu vrstu dokaza, a dešifrovanje to nije. Zdravlje uređaja je jedan ulaz među identitetom, osetljivošću resursa i kontekstom, i jednokratni prolaz ne daje toj mašini ostatak mreže. Mešanje dvoga pretvara pitanje autorizacije u sertifikacijski projekat.

Kada gejtveja nema nigde na putu

Popišite šta putuje bez dodirivanja udaljenog gejtveja: veze između mašina na lokalnom segmentu, pozive sa jednog radnog opterećenja na drugo i krajnje tačke do kojih se dolazi direktno unutar cloud naloga. Za svaki put navedite metodu sprovođenja koja zaista može da se rasporedi danas. Oprema koja ne može da ugosti agenta ipak treba neku drugu izričito podržanu kontrolu, a pretpostavka da će agent doći kasnije sada ništa ne zatvara. Pristup servis-servisu obično bolje odgovara identitetu radnog opterećenja i proveri napisanoj prema resursu nego još jedna overlay mreža.

Prihvatite dizajn po ponašanju, a ne po dijagramima: koje su operacije dozvoljene, koje odbijene i gde se svaki odgovor sprovodi. Odobrite konkretne dozvoljene i odbijene operacije i uključite jednu lokalnu rutu koja nikad ne stiže do gejtveja. Zabeležite ko poseduje politiku, kako se menja i kako funkcioniše opoziv.

Preimenovani tunel je i dalje tunel. Politika odlučuje, i nešto mora da je sprovodi.