Zero Trust, VPN dhe inspektimi TLS kryejnë punë të ndryshme

Dokumentet e prokurimit i trajtojnë zero trust, VPN dhe inspektimin TLS sikur të ishte i njëjti blerje, dhe secili prej tyre përgjigjet një pyetjeje që të tjerët nuk mund ta japin. Një tunel ndërton një rrugë të mbrojtur, një portë inspektimi lexon trafikun që mund ta përfundojë, dhe një politikë vendos nëse një identitet i emërtuar mund të kryejë një operacion të emërtuar mbi një burim të emërtuar. Vetëm i fundit është vendim autorizimi. Një produkt mund t'i kryejë në mënyrë të përsosur dy të parat dhe gjithsesi ta lërë pyetjen e vërtetë të hapur.

Tre mekanizma, tre pyetje

Tuneli përgjigjet se si trafiku arrin në rrjet. Një portë inspektimi përgjigjet se çfarë mund të shohë dhe të bëjë një pajisje e ndërmjetme atje ku është e autorizuar të përfundojë TLS. Motori i politikës përgjigjet se kush mund të bëjë çfarë me cilin burim, dhe më pas i duhet një pikë zbatimi që mund ta zbatojë atë përgjigje. Arkitektura zero trust e NIST e vendos burimin në qendër dhe refuzon të nxjerrë besim nga ajo se prej nga erdhi një paketë.

Ai kuadër është më i vështirë për t'u plotësuar sesa një etiketë, dhe shumë më i vështirë për t'u falsifikuar në një rishikim. Ai gjithashtu e zhvendos pyetjen nga cilat produkte janë vënë në përdorim te cilat vendime zbatohen dhe prej kujt.

Ku vendimi zbatohet në të vërtetë

Merrni një kërkesë: një inxhinier mbështetjeje hap një konsolë shërbimi, dhe një makinë personale e lidhur me të njëjtin komutator nuk duhet ta trashëgojë atë leje vetëm sepse është afër. Shkruani operacionin e lejuar, kushtet e pajisjes dhe komponentin që i zbaton ato. Vendosja vendos gjithçka: një portë aplikacioni, një proxy shërbimi, një kontroll hosti ose një kufi tjetër që organizata mbështet vërtet. Çfarëdo qoftë ai komponent, ai duhet të qëndrojë në rrugën e përpjekjeve në distancë dhe atyre në vend.

Trafiku që nuk e kalon kurrë hyrjen VPN nuk drejtohet nga një kontroll i kryer atje, sado i plotë qoftë ai kontroll. Pikërisht ajo e vetmja boshllëk shpjegon pjesën më të madhe të distancës midis një diagrami zero trust dhe një vendosjeje që funksionon. Vizatoni rrugën e kërkesës para se të vizatoni arkitekturën.

Dekriptimi nuk është autorizim

Interceptimi u shërben objektivave të ngushta inspektimi dhe mban barrën e vet të certifikatave, rrënjëve të besuara, rishikimit të privatësisë dhe aplikacioneve që thyhen nën të. Asnjë prej tyre nuk është kuptimi i zero trust, dhe asnjë prej tyre nuk zëvendëson një vendim politike. Të vërtetosh një person dhe të autorizosh një shërbim është plotësisht e mundur pa dekriptuar as edhe një paketë. Një rrjedhë e dekriptuar nuk thotë asgjë për atë nëse përdoruesi kishte të drejtë për operacionin që mbartet brenda saj.

Politika ka nevojë për një lloj prove, dhe dekriptimi nuk është ai. Shëndeti i pajisjes është një hyrje mes identitetit, ndjeshmërisë së burimit dhe kontekstit, dhe kalimi i tij një herë nuk ia jep asaj makine pjesën tjetër të rrjetit. Përzierja e të dyjave e kthen një pyetje autorizimi në një projekt certifikatash.

Kur porta nuk është askund në rrugë

Inventarizoni çfarë udhëton pa prekur portën në distancë: lidhjet midis makinave në segmentin lokal, thirrjet nga një ngarkesë pune në tjetrën dhe pikat fundore që arrihen drejtpërdrejt brenda një llogarie cloud. Për çdo rrugë, emërtoni një metodë zbatimi që mund të vendoset vërtet sot. Pajisjet që nuk mund të strehojnë një agjent ende kanë nevojë për një kontroll tjetër të mbështetur në mënyrë eksplicite, dhe supozimi se agjenti do të vijë më vonë nuk mbyll asgjë tani. Qasja shërbim-për-shërbim zakonisht i përshtatet më mirë identitetit të ngarkesës së punës dhe një kontrolli të shkruar kundrejt burimit sesa një rrjeti tjetër mbivendosje.

Pranoni dizajnin sipas sjelljes dhe jo sipas diagrameve: cilat operacione lejohen, cilat refuzohen dhe ku zbatohet çdo përgjigje. Miratoni operacione konkrete të lejuara dhe të refuzuara, dhe përfshini një rrugë lokale që nuk arrin kurrë te porta. Regjistroni kush e zotëron politikën, si ndryshon dhe si funksionon revokimi.

Një tunel i riemërtuar mbetet tunel. Një politikë vendos, dhe diçka duhet ta zbatojë atë.