Zero Trust, VPN และการตรวจสอบ TLS ทำงานต่างกัน

เอกสารจัดซื้อปฏิบัติต่อ zero trust, VPN และการตรวจสอบ TLS ราวกับเป็นการจัดซื้อเดียวกัน และ แต่ละอย่างตอบคำถามที่อีกสองอย่างตอบไม่ได้. อุโมงค์สร้างเส้นทางที่ได้รับการปกป้อง เกตเวย์ตรวจสอบอ่านทราฟฟิกที่มันสามารถยุติได้ และนโยบายตัดสินว่าตัวตนที่ระบุชื่อจะดำเนินการที่ระบุชื่อบนทรัพยากรที่ระบุชื่อได้หรือไม่ มีเพียงอย่างสุดท้ายเท่านั้นที่เป็นการตัดสินใจด้านการอนุญาต ผลิตภัณฑ์หนึ่งสามารถทำสองอย่างแรกได้อย่างสมบูรณ์แบบและยังคงปล่อยคำถามจริงไว้เปิดอยู่

สามกลไก สามคำถาม

อุโมงค์ตอบว่าทราฟฟิกไปถึงเครือข่ายได้อย่างไร เกตเวย์ตรวจสอบตอบว่าอุปกรณ์กลางสามารถเห็นและทำอะไรได้ตรงจุดที่ได้รับอนุญาตให้ยุติ TLS กลไกนโยบายตอบว่าใครทำอะไรกับทรัพยากรใดได้บ้าง จากนั้นจึงต้องมีจุดบังคับใช้ที่สามารถนำคำตอบนั้นไปใช้ได้ สถาปัตยกรรม zero trust ของ NIST วางทรัพยากรไว้ตรงกลางและปฏิเสธที่จะอนุมานความไว้วางใจจากแหล่งที่แพ็กเก็ตมาจาก

กรอบนั้นทำให้พึงพอใจได้ยากกว่าฉลาก และปลอมแปลงได้ยากกว่ามากในการตรวจสอบ นอกจากนี้ยังย้ายคำถามจากผลิตภัณฑ์ใดที่ใช้งานอยู่ไปสู่การตัดสินใจใดที่ถูกบังคับใช้และโดยอะไร

การตัดสินใจถูกนำไปใช้จริงที่ใด

ลองพิจารณาคำขอหนึ่งรายการ วิศวกรสนับสนุนเปิดคอนโซลบริการ และเครื่องส่วนตัวที่ต่อกับสวิตช์เดียวกันไม่ควรได้รับสิทธิ์นั้นเพียงเพราะอยู่ใกล้ เขียนการดำเนินการที่อนุญาต เงื่อนไขของอุปกรณ์ และองค์ประกอบที่บังคับใช้เงื่อนไขเหล่านั้น การวางตำแหน่งตัดสินทุกอย่าง ทั้งเกตเวย์แอปพลิเคชัน พร็อกซีบริการ การควบคุมโฮสต์ หรือพรมแดนอื่นที่องค์กรสนับสนุนจริง ไม่ว่าองค์ประกอบนั้นจะเป็นอะไรก็ตาม มันต้องอยู่ในเส้นทางของทั้งความพยายามจากระยะไกลและในสถานที่

ทราฟฟิกที่ไม่เคยผ่านทางเข้าของ VPN ไม่ได้อยู่ภายใต้การควบคุมของการตรวจสอบที่ทำที่นั่น ไม่ว่าการตรวจสอบนั้นจะละเอียดเพียงใด ช่องว่างเดียวนี้เองที่อธิบายระยะห่างส่วนใหญ่ระหว่างแผนภาพ zero trust กับการติดตั้งที่ใช้งานได้ วาดเส้นทางของคำขอก่อนวาดสถาปัตยกรรม

การถอดรหัสไม่ใช่การอนุญาต

การดักจับรับใช้เป้าหมายการตรวจสอบที่แคบ และมีภาระของตัวเองทั้งใบรับรอง รากที่เชื่อถือได้ การทบทวนความเป็นส่วนตัว และแอปพลิเคชันที่พังลงใต้มัน ไม่มีสิ่งใดในนี้คือความหมายของ zero trust และไม่มีสิ่งใดแทนที่การตัดสินใจเชิงนโยบาย การพิสูจน์ตัวตนบุคคลและการอนุญาตบริการเป็นไปได้อย่างสมบูรณ์โดยไม่ต้องถอดรหัสแม้แต่แพ็กเก็ตเดียว การไหลที่ถูกถอดรหัสไม่ได้บอกอะไรว่าผู้ใช้มีสิทธิ์ในการดำเนินการที่บรรจุอยู่ข้างในหรือไม่

นโยบายต้องการหลักฐานชนิดหนึ่ง และการถอดรหัสไม่ใช่สิ่งนั้น สุขภาพของอุปกรณ์เป็นข้อมูลนำเข้าหนึ่งรายการท่ามกลางตัวตน ความละเอียดอ่อนของทรัพยากร และบริบท และการผ่านมันเพียงครั้งเดียวไม่ได้มอบเครือข่ายที่เหลือให้เครื่องนั้น การผสมทั้งสองเข้าด้วยกันเปลี่ยนคำถามด้านการอนุญาตให้เป็นโครงการใบรับรอง

เมื่อเกตเวย์ไม่อยู่ในเส้นทางเลย

ทำบัญชีสิ่งที่เดินทางโดยไม่แตะเกตเวย์ระยะไกล การเชื่อมต่อระหว่างเครื่องในเซกเมนต์ท้องถิ่น การเรียกจากเวิร์กโหลดหนึ่งไปยังอีกอัน และปลายทางที่เข้าถึงได้โดยตรงภายในบัญชีคลาวด์ สำหรับแต่ละเส้นทาง ให้ระบุวิธีการบังคับใช้ที่ติดตั้งได้จริงในวันนี้ อุปกรณ์ที่ไม่สามารถโฮสต์เอเจนต์ยังต้องมีการควบคุมอื่นที่สนับสนุนอย่างชัดเจน และการสันนิษฐานว่าเอเจนต์จะมาถึงภายหลังไม่ได้ปิดอะไรเลยตอนนี้ การเข้าถึงแบบบริการถึงบริการมักเข้ากับตัวตนของเวิร์กโหลดและการตรวจสอบที่เขียนขึ้นต่อทรัพยากรได้ดีกว่าเครือข่ายซ้อนอีกชั้น

ยอมรับการออกแบบจากพฤติกรรมไม่ใช่แผนภาพ การดำเนินการใดได้รับอนุญาต การดำเนินการใดถูกปฏิเสธ และแต่ละคำตอบถูกบังคับใช้ที่ใด อนุมัติการดำเนินการที่อนุญาตและปฏิเสธเป็นการเฉพาะ และรวมเส้นทางท้องถิ่นหนึ่งเส้นทางที่ไม่เคยไปถึงเกตเวย์ บันทึกว่าใครเป็นเจ้าของนโยบาย เปลี่ยนแปลงอย่างไร และการเพิกถอนทำงานอย่างไร

อุโมงค์ที่เปลี่ยนป้ายกำกับยังคงเป็นอุโมงค์ นโยบายเป็นผู้ตัดสิน และมีบางอย่างต้องบังคับใช้มัน