Zero Trust, VPN a kontrola TLS plnia rôzne úlohy

Obstarávacie dokumenty zaobchádzajú s zero trust, VPN a kontrolou TLS, akoby išlo o ten istý nákup, a každá z nich odpovedá na otázku, ktorú ostatné nedokážu. Tunel stavia chránenú cestu, kontrolná brána číta prevádzku, ktorú dokáže ukončiť, a politika rozhoduje, či pomenovaná identita smie vykonať pomenovanú operáciu na pomenovanom zdroji. Len posledná z nich je rozhodnutie o autorizácii. Produkt môže prvé dve zvládať bezchybne a skutočnú otázku napriek tomu nechať otvorenú.

Tri mechanizmy, tri otázky

Tunel odpovedá, ako sa prevádzka dostane do siete. Kontrolná brána odpovedá, čo môže prostredník vidieť a urobiť tam, kde je oprávnený ukončiť TLS. Mechanizmus politiky odpovedá, kto smie čo urobiť s ktorým zdrojom, a potom potrebuje vynucovací bod, ktorý túto odpoveď dokáže uplatniť. Architektúra zero trust podľa NIST stavia zdroj do stredu a odmieta odvodzovať dôveru z toho, odkiaľ paket prišiel.

Tento rámec je ťažšie splniť než štítok a oveľa ťažšie sfalšovať pri posúdení. Presúva tiež otázku od toho, ktoré produkty sú nasadené, k tomu, ktoré rozhodnutia sa vynucujú a čím.

Kde sa rozhodnutie skutočne uplatňuje

Vezmite jednu požiadavku: technik podpory otvorí servisnú konzolu a osobný stroj zapojený do rovnakého prepínača nesmie toto oprávnenie zdediť len preto, že je blízko. Zapíšte povolenú operáciu, podmienky zariadenia a komponent, ktorý ich vynucuje. Umiestnenie rozhoduje o všetkom: aplikačná brána, servisný proxy, kontrola hostiteľa alebo iná hranica, ktorú organizácia skutočne podporuje. Čímkoľvek je ten komponent, musí stáť v ceste vzdialeným aj miestnym pokusom.

Prevádzka, ktorá nikdy neprekročí vstup VPN, sa neriadi kontrolou vykonanou tam, nech je tá kontrola akokoľvek dôkladná. Práve táto jediná medzera vysvetľuje väčšinu vzdialenosti medzi diagramom zero trust a funkčným nasadením. Nakreslite cestu požiadavky skôr, než nakreslíte architektúru.

Dešifrovanie nie je autorizácia

Zachytávanie slúži úzkym kontrolným cieľom a nesie vlastné bremeno certifikátov, dôveryhodných koreňov, posúdenia súkromia a aplikácií, ktoré sa pod ním lámu. Nič z toho nie je zmyslom zero trust a nič z toho nenahrádza rozhodnutie politiky. Overiť osobu a autorizovať službu je úplne možné bez dešifrovania jediného paketu. Dešifrovaný tok nehovorí nič o tom, či používateľ mal nárok na operáciu, ktorú nesie.

Politika potrebuje jeden druh dôkazu a dešifrovanie ním nie je. Zdravie zariadenia je jeden vstup medzi identitou, citlivosťou zdroja a kontextom a jeho jednorazové splnenie nedá tomu stroju zvyšok siete. Miešanie oboch mení otázku autorizácie na projekt certifikátov.

Keď brána nie je nikde na ceste

Zmapujte, čo putuje bez dotyku vzdialenej brány: spojenia medzi strojmi v lokálnom segmente, volania z jednej pracovnej záťaže na druhú a koncové body dosiahnuté priamo v cloudovom účte. Pre každú cestu pomenujte vynucovaciu metódu, ktorú možno dnes skutočne nasadiť. Zariadenie, ktoré nemôže hostiť agenta, stále potrebuje inú výslovne podporovanú kontrolu, a predpoklad, že agent príde neskôr, teraz nič neuzatvára. Prístup služba-služba zvyčajne lepšie zodpovedá identite pracovnej záťaže a kontrole písanej proti zdroju než ďalšia prekrývajúca sa sieť.

Prijmite návrh podľa správania, nie podľa diagramov: ktoré operácie sú povolené, ktoré odmietnuté a kde sa každá odpoveď vynucuje. Odsúhlaste konkrétne povolené a odmietnuté operácie a zahrňte jednu miestnu trasu, ktorá sa nikdy nedostane k bráne. Zaznamenajte, kto politiku vlastní, ako sa mení a ako funguje odvolanie.

Premenovaný tunel je stále tunel. Politika rozhoduje a niečo ju musí vynucovať.