Zero Trust, VPN at inspeksyon ng TLS ay may magkakaibang tungkulin

Itinuturing ng mga dokumento ng pagbili ang zero trust, VPN at inspeksyon ng TLS na isang pagbili lamang, at bawat isa sa kanila ay sumasagot sa tanong na hindi kayang sagutin ng iba. Ang tunel ay gumagawa ng protektadong landas, binabasa ng gateway ng inspeksyon ang trapikong kaya nitong tapusin, at nagpapasya ang patakaran kung ang isang pinangalanang pagkakakilanlan ay makakagawa ng pinangalanang operasyon sa isang pinangalanang mapagkukunan. Ang huli lamang ang desisyon sa awtorisasyon. Kayang gawin ng isang produkto ang unang dalawa nang perpekto at iiwan pa ring bukas ang tunay na tanong.

Tatlong mekanismo, tatlong tanong

Sinasagot ng tunel kung paano naaabot ng trapiko ang network. Sinasagot ng gateway ng inspeksyon kung ano ang nakikita at nagagawa ng isang intermediary na aparato kung saan awtorisado itong tapusin ang TLS. Sinasagot ng engine ng patakaran kung sino ang puwedeng gumawa ng ano sa aling mapagkukunan, at pagkatapos ay kailangan nito ng punto ng pagpapatupad na kayang ilapat ang sagot na iyon. Ang arkitekturang zero trust ng NIST ay inilalagay ang mapagkukunan sa gitna at tumatanggi na maghinuha ng pagtitiwala mula sa pinanggalingan ng isang packet.

Mas mahirap tuparin ang balangkas na iyon kaysa isang label, at mas mahirap pekein sa isang pagsusuri. Inililipat din nito ang tanong mula sa kung aling mga produkto ang naka-deploy patungo sa kung aling mga desisyon ang ipinatutupad at ng ano.

Saan talaga inilalapat ang desisyon

Kumuha ng isang kahilingan: nagbubukas ng service console ang isang support engineer, at ang isang personal na makina na nakasaksak sa parehong switch ay hindi dapat magmana ng pahintulot na iyon dahil lamang malapit ito. Isulat ang pinapayagang operasyon, ang mga kondisyon ng aparato at ang bahaging nagpapatupad ng mga ito. Ang paglalagay ang nagpapasya sa lahat: isang gateway ng application, isang proxy ng serbisyo, isang kontrol ng host, o ibang hangganan na talagang sinusuportahan ng organisasyon. Anuman ang bahaging iyon, kailangan nitong nasa landas ng parehong malayuan at lokal na pagtatangka.

Ang trapikong hindi kailanman tumatawid sa pasukan ng VPN ay hindi pinamamahalaan ng pagsusuring ginagawa doon, gaano man ito kalalim. Ang nag-iisang puwang na iyon ang nagpapaliwanag sa malaking bahagi ng layo sa pagitan ng diagram ng zero trust at ng gumaganang deployment. Iguhit ang landas ng kahilingan bago iguhit ang arkitektura.

Ang decryption ay hindi awtorisasyon

Naglilingkod ang interception sa makitid na layunin ng inspeksyon at nagdadala ng sarili nitong pasanin ng mga sertipiko, pinagkakatiwalaang ugat, pagsusuri ng privacy at mga application na nasisira sa ilalim nito. Wala sa mga ito ang kahulugan ng zero trust, at wala sa mga ito ang pumapalit sa isang desisyon ng patakaran. Ang pagpapatunay ng isang tao at pagbibigay-awtorisasyon sa isang serbisyo ay lubos na posible nang hindi nagde-decrypt ng kahit isang packet. Ang na-decrypt na daloy ay walang sinasabi kung ang gumagamit ay may karapatan sa operasyong dinadala nito.

Kailangan ng patakaran ng isang uri ng ebidensya, at ang decryption ay hindi iyon. Ang kalusugan ng aparato ay isang input kasama ng pagkakakilanlan, sensitibidad ng mapagkukunan at konteksto, at ang pagpasa nito nang isang beses ay hindi nagbibigay sa makinang iyon ng natitirang network. Ang paghahalo ng dalawa ay ginagawang proyekto ng sertipiko ang isang tanong sa awtorisasyon.

Kapag ang gateway ay wala kahit saan sa landas

I-inventory kung ano ang naglalakbay nang hindi hinahawakan ang malayuang gateway: mga link sa pagitan ng mga makina sa lokal na segment, mga tawag mula sa isang workload patungo sa isa pa, at mga endpoint na naaabot nang direkta sa loob ng isang cloud account. Para sa bawat landas, pangalanan ang isang paraan ng pagpapatupad na talagang maaaring i-deploy ngayon. Ang kagamitang hindi kayang mag-host ng agent ay nangangailangan pa rin ng ibang tahasang sinusuportahang kontrol, at ang pagpapalagay na darating ang agent mamaya ay walang isinasara ngayon. Ang pag-access ng serbisyo-sa-serbisyo ay karaniwang mas umaangkop sa pagkakakilanlan ng workload at sa pagsusuring nakasulat laban sa mapagkukunan kaysa sa isa pang overlay network.

Tanggapin ang disenyo sa pag-uugali at hindi sa mga diagram: aling mga operasyon ang pinapayagan, alin ang tinatanggihan, at saan ipinatutupad ang bawat sagot. Aprubahan ang partikular na pinapayagan at tinatanggihang operasyon, at isama ang isang lokal na ruta na hindi kailanman umaabot sa gateway. Itala kung sino ang nagmamay-ari ng patakaran, paano ito nagbabago at paano gumagana ang pagbawi.

Ang tunel na binigyan ng bagong label ay tunel pa rin. Ang patakaran ang nagpapasya, at may isang bagay na dapat magpatupad nito.