Zero Trust, VPN ve TLS denetimi farklı işler yapar

Satın alma belgeleri zero trust, VPN ve TLS denetimini aynı satın alma gibi ele alıyor, ve her biri diğerlerinin yanıtlayamadığı bir soruyu yanıtlar. Tünel korunan bir yol kurar, denetim geçidi sonlandırabildiği trafiği okur ve politika adlandırılmış bir kimliğin adlandırılmış bir kaynak üzerinde adlandırılmış bir işlemi yapıp yapamayacağına karar verir. Bunlardan yalnızca sonuncusu bir yetkilendirme kararıdır. Bir ürün ilk ikisini kusursuz yapıp yine de gerçek soruyu açık bırakabilir.

Üç mekanizma, üç soru

Tünel trafiğin ağa nasıl ulaştığını yanıtlar. Denetim geçidi, TLS'i sonlandırma yetkisi olan yerde bir ara cihazın neyi görebileceğini ve ne yapabileceğini yanıtlar. Politika motoru kimin hangi kaynak üzerinde ne yapabileceğini yanıtlar, ardından bu yanıtı uygulayabilecek bir uygulama noktasına ihtiyaç duyar. NIST'in zero trust mimarisi kaynağı merkeze koyar ve bir paketin nereden geldiğinden güven çıkarmayı reddeder.

Bu çerçeveyi karşılamak bir etiketi karşılamaktan daha zor, bir incelemede sahtesini yapmak çok daha zordur. Ayrıca soruyu hangi ürünlerin kurulu olduğundan hangi kararların ve neyle uygulandığına taşır.

Kararın gerçekte uygulandığı yer

Bir isteği ele alın: bir destek mühendisi hizmet konsolunu açar ve aynı anahtara bağlı kişisel bir makine yalnızca yakında olduğu için o izni miras almamalıdır. İzin verilen işlemi, cihaz koşullarını ve bunları uygulayan bileşeni yazın. Yerleşim her şeye karar verir: bir uygulama geçidi, bir hizmet vekili, bir ana bilgisayar denetimi ya da kuruluşun gerçekten desteklediği başka bir sınır. O bileşen ne olursa olsun, hem uzaktan hem de yerinden gelen denemelerin yolunda olmalıdır.

VPN girişini hiç geçmeyen trafik, orada yapılan bir denetimle yönetilmez, o denetim ne kadar kapsamlı olursa olsun. Tam da bu tek boşluk, bir zero trust şeması ile çalışan bir kurulum arasındaki mesafenin çoğunu açıklar. Mimariyi çizmeden önce isteğin yolunu çizin.

Şifre çözme yetkilendirme değildir

Araya girme dar denetim hedeflerine hizmet eder ve kendi yükünü taşır: sertifikalar, güvenilir kökler, gizlilik incelemesi ve altında kırılan uygulamalar. Bunların hiçbiri zero trust'un anlamı değildir ve hiçbiri bir politika kararının yerini tutmaz. Bir kişiyi kimlik doğrulamak ve bir hizmeti yetkilendirmek tek bir paketi bile çözmeden tamamen mümkündür. Çözülmüş bir akış, kullanıcının içinde taşınan işleme hakkı olup olmadığı hakkında hiçbir şey söylemez.

Politikanın bir tür kanıta ihtiyacı var ve şifre çözme bunlardan biri değil. Cihaz sağlığı; kimlik, kaynağın hassasiyeti ve bağlam arasında bir girdidir ve bir kez geçmesi o makineye ağın geri kalanını vermez. İkisini karıştırmak bir yetkilendirme sorusunu sertifika projesine dönüştürür.

Geçidin yolda hiç olmadığı durum

Uzak geçide dokunmadan neyin hareket ettiğini envanterleyin: yerel segmentteki makineler arasındaki bağlantılar, bir iş yükünden diğerine yapılan çağrılar ve bir bulut hesabının içinde doğrudan erişilen uç noktalar. Her yol için bugün gerçekten kurulabilecek bir uygulama yöntemi adlandırın. Bir aracıyı barındıramayan donanım yine de açıkça desteklenen başka bir kontrole ihtiyaç duyar ve aracının sonra geleceğini varsaymak şimdi hiçbir şeyi kapatmaz. Hizmetten hizmete erişim genellikle başka bir kaplama ağından çok iş yükü kimliğine ve kaynağa karşı yazılmış bir denetime uyar.

Tasarımı şemalara değil davranışa göre kabul edin: hangi işlemler izinli, hangileri reddedilmiş ve her yanıt nerede uygulanıyor. Belirli izinli ve reddedilmiş işlemleri onaylayın ve geçide asla ulaşmayan bir yerel yol ekleyin. Politikanın sahibinin kim olduğunu, nasıl değiştiğini ve iptalin nasıl işlediğini kaydedin.

Yeniden etiketlenmiş bir tünel hâlâ bir tüneldir. Politika karar verir ve bir şey onu uygulamak zorundadır.