Zero Trust، VPN اور TLS معائنہ مختلف کام کرتے ہیں

خریداری کی دستاویزات zero trust، VPN اور TLS معائنے کو ایک ہی خریداری سمجھتی ہیں، اور ان میں سے ہر ایک ایسے سوال کا جواب دیتا ہے جو باقی نہیں دے سکتے۔ ایک سرنگ محفوظ راستہ بناتی ہے، معائنہ گیٹ وے وہ ٹریفک پڑھتا ہے جسے وہ ختم کر سکتا ہے، اور پالیسی فیصلہ کرتی ہے کہ کوئی نامزد شناخت نامزد وسیلے پر نامزد کارروائی کر سکتی ہے یا نہیں۔ ان میں سے صرف آخری ہی اجازت کا فیصلہ ہے۔ ایک مصنوعہ پہلے دو کام مکمل طور پر کر سکتا ہے اور پھر بھی اصل سوال کھلا چھوڑ سکتا ہے۔

تین طریقے، تین سوال

سرنگ جواب دیتی ہے کہ ٹریفک نیٹ ورک تک کیسے پہنچتا ہے۔ معائنہ گیٹ وے جواب دیتا ہے کہ درمیانی آلہ کیا دیکھ سکتا ہے اور کیا کر سکتا ہے جہاں اسے TLS ختم کرنے کی اجازت ہے۔ پالیسی انجن جواب دیتا ہے کہ کون کس وسیلے پر کیا کر سکتا ہے، پھر اسے ایسے نفاذ کے مقام کی ضرورت ہوتی ہے جو یہ جواب لاگو کر سکے۔ NIST کی zero trust معماری وسیلے کو مرکز میں رکھتی ہے اور پیکٹ کہاں سے آیا اس سے اعتماد کا اندازہ لگانے سے انکار کرتی ہے۔

اس ڈھانچے کو لیبل سے زیادہ مشکل سے پورا کیا جا سکتا ہے، اور جائزے میں اسے جعلی بنانا اس سے بھی زیادہ مشکل ہے۔ یہ سوال کو اس سے کہ کون سی مصنوعات تعینات ہیں، اس طرف منتقل کرتی ہے کہ کون سے فیصلے کس کے ذریعے نافذ ہوتے ہیں۔

فیصلہ دراصل کہاں لاگو ہوتا ہے

ایک درخواست لیں: کوئی معاونت انجینئر سروس کنسول کھولتا ہے، اور اسی سوئچ سے جڑی ذاتی مشین کو صرف قریب ہونے کی وجہ سے وہ اجازت ورثے میں نہیں ملنی چاہیے۔ اجازت شدہ کارروائی، آلے کی شرائط اور انہیں نافذ کرنے والا جزو لکھ لیں۔ مقام ہر چیز کا فیصلہ کرتا ہے: کوئی ایپلیکیشن گیٹ وے، سروس پراکسی، ہوسٹ کنٹرول، یا کوئی اور حد جسے ادارہ واقعی سہارا دیتا ہے۔ وہ جزو جو بھی ہو، اسے دور دراز اور مقامی دونوں کوششوں کے راستے میں ہونا چاہیے۔

جو ٹریفک کبھی VPN کے داخلے کو نہیں پار کرتا، اسے وہاں کی گئی جانچ کنٹرول نہیں کرتی، وہ جانچ کتنی ہی گہری ہو۔ یہی ایک خلا zero trust کے خاکے اور کام کرنے والی تعیناتی کے درمیان زیادہ تر فاصلے کی وضاحت کرتا ہے۔ معماری کھینچنے سے پہلے درخواست کا راستہ کھینچیں۔

ڈکرپشن اجازت نہیں ہے

درمیان میں آنا تنگ معائنہ مقاصد کی خدمت کرتا ہے اور اپنا بوجھ خود اٹھاتا ہے: سرٹیفکیٹ، قابل اعتماد جڑیں، رازداری کا جائزہ اور ایسی ایپلیکیشنز جو اس کے نیچے ٹوٹ جاتی ہیں۔ ان میں سے کچھ بھی zero trust کا مطلب نہیں ہے، اور کچھ بھی کسی پالیسی فیصلے کا متبادل نہیں ہے۔ ایک بھی پیکٹ ڈکرپٹ کیے بغیر کسی شخص کی تصدیق اور کسی سروس کی اجازت دینا بالکل ممکن ہے۔ ڈکرپٹ شدہ بہاؤ اس بارے میں کچھ نہیں کہتا کہ صارف اس کارروائی کا حقدار تھا جو اس میں لے جائی جا رہی ہے۔

پالیسی کو ایک قسم کا ثبوت چاہیے، اور ڈکرپشن وہ نہیں ہے۔ آلے کی صحت شناخت، وسیلے کی حساسیت اور سیاق و سباق کے درمیان ایک ان پٹ ہے، اور ایک بار اسے پاس کرنے سے اس مشین کو باقی نیٹ ورک نہیں ملتا۔ دونوں کو ملانا اجازت کے سوال کو سرٹیفکیٹ منصوبے میں بدل دیتا ہے۔

جب گیٹ وے راستے میں کہیں نہ ہو

فہرست بنائیں کہ دور دراز گیٹ وے کو چھوئے بغیر کیا سفر کرتا ہے: مقامی حصے کی مشینوں کے درمیان روابط، ایک ورک لوڈ سے دوسرے تک کالز، اور کلاؤڈ اکاؤنٹ کے اندر براہ راست پہنچنے والے آخری مقامات۔ ہر راستے کے لیے ایسا نفاذ کا طریقہ بتائیں جو آج واقعی تعینات کیا جا سکے۔ جو آلات ایجنٹ نہیں رکھ سکتے انہیں پھر بھی کوئی اور واضح طور پر معاون کنٹرول چاہیے، اور یہ سمجھنا کہ ایجنٹ بعد میں آئے گا اب کچھ بند نہیں کرتا۔ سروس سے سروس تک رسائی عام طور پر کسی اور اوورلے نیٹ ورک کے بجائے ورک لوڈ شناخت اور وسیلے کے خلاف لکھی گئی جانچ سے بہتر میل کھاتی ہے۔

ڈیزائن کو خاکوں کے بجائے رویے پر قبول کریں: کون سی کارروائیاں اجازت یافتہ ہیں، کون سی مسترد، اور ہر جواب کہاں نافذ ہوتا ہے۔ مخصوص اجازت یافتہ اور مسترد کارروائیوں کی منظوری دیں، اور ایک مقامی راستہ شامل کریں جو کبھی گیٹ وے تک نہیں پہنچتا۔ درج کریں کہ پالیسی کا مالک کون ہے، وہ کیسے بدلتی ہے اور تنسیخ کیسے کام کرتی ہے۔

نیا لیبل لگی سرنگ بھی سرنگ ہی ہے۔ پالیسی فیصلہ کرتی ہے، اور کسی کو اسے نافذ کرنا ہوتا ہے۔