Zero Trust, VPN и TLS инспекција обављају различите послове

Документи о набавци третирају zero trust, VPN и TLS инспекцију као исту куповину, а сваки од њих одговара на питање на које остали не могу. Тунел гради заштићени пут, инспекцијски гејтвеј чита саобраћај који може да прекине, а политика одлучује сме ли именовани идентитет да изврши именовану операцију на именованом ресурсу. Само је последње од тога одлука о ауторизацији. Производ може савршено да ради прве две и ипак остави право питање отвореним.

Три механизма, три питања

Тунел одговара како саобраћај стиже до мреже. Инспекцијски гејтвеј одговара шта посредни уређај може да види и уради тамо где је овлашћен да прекине TLS. Механизам политике одговара ко шта сме да чини са којим ресурсом, а затим му треба тачка спровођења која може да примени тај одговор. NIST-ова zero trust архитектура ставља ресурс у центар и одбија да изведе поверење из тога одакле је пакет дошао.

Тај оквир је теже задовољити од налепнице, и много га је теже кривотворити у прегледу. Он такође помера питање са тога који су производи распоређени на то које се одлуке спроводе и чиме.

Где се одлука заиста примењује

Узмите један захтев: инжењер подршке отвара сервисну конзолу, а лична машина прикључена на исти прекидач не сме да наследи ту дозволу само зато што је близу. Запишите дозвољену операцију, услове уређаја и компоненту која их спроводи. Положај одлучује све: апликацијски гејтвеј, сервисни прокси, контрола хоста или нека друга граница коју организација заиста подржава. Шта год та компонента била, мора да стоји на путу и удаљених и локалних покушаја.

Саобраћај који никада не пређе VPN улаз не управља се провером извршеном тамо, колико год та провера била темељна. Тај један јаз објашњава већину удаљености између zero trust дијаграма и радног распоређивања. Нацртајте пут захтева пре него што нацртате архитектуру.

Дешифровање није ауторизација

Пресретање служи уским циљевима инспекције и носи сопствени терет сертификата, поузданих корена, прегледа приватности и апликација које се под њим ломе. Ништа од тога није значење zero trusta, и ништа од тога не замењује одлуку политике. Аутентификовати особу и ауторизовати сервис потпуно је могуће без дешифровања иједног пакета. Дешифровани ток не говори ништа о томе да ли је корисник имао право на операцију која се у њему преноси.

Политика треба једну врсту доказа, а дешифровање то није. Здравље уређаја је један улаз међу идентитетом, осетљивошћу ресурса и контекстом, и једнократни пролаз не даје тој машини остатак мреже. Мешање двога претвара питање ауторизације у сертификацијски пројекат.

Када гејтвеја нема нигде на путу

Попишите шта путује без додиривања удаљеног гејтвеја: везе између машина на локалном сегменту, позиве са једног радног оптерећења на друго и крајње тачке до којих се долази директно унутар cloud налога. За сваки пут наведите методу спровођења која заиста може да се распореди данас. Опрема која не може да угости агента ипак треба неку другу изричито подржану контролу, а претпоставка да ће агент доћи касније сада ништа не затвара. Приступ сервис-сервису обично боље одговара идентитету радног оптерећења и провери написаној према ресурсу него још једна overlay мрежа.

Прихватите дизајн по понашању, а не по дијаграмима: које су операције дозвољене, које одбијене и где се сваки одговор спроводи. Одобрите конкретне дозвољене и одбијене операције и укључите једну локалну руту која никада не стиже до гејтвеја. Забележите ко поседује политику, како се мења и како функционише опозив.

Преименовани тунел је и даље тунел. Политика одлучује, и нешто мора да је спроводи.