Zero Trust, VPN và kiểm tra TLS đảm nhận những việc khác nhau

Hồ sơ mua sắm coi zero trust, VPN và kiểm tra TLS như cùng một khoản mua, và mỗi thứ trả lời một câu hỏi mà những thứ còn lại không thể. Đường hầm dựng một lối đi được bảo vệ, cổng kiểm tra đọc lưu lượng mà nó có thể kết thúc, và chính sách quyết định liệu một danh tính được nêu tên có được thực hiện một thao tác được nêu tên trên một tài nguyên được nêu tên hay không. Chỉ cái cuối cùng là quyết định cấp quyền. Một sản phẩm có thể làm hoàn hảo hai việc đầu và vẫn để câu hỏi thật mở.

Ba cơ chế, ba câu hỏi

Đường hầm trả lời lưu lượng đến mạng bằng cách nào. Cổng kiểm tra trả lời một thiết bị trung gian có thể thấy và làm gì ở nơi nó được phép kết thúc TLS. Bộ máy chính sách trả lời ai được làm gì với tài nguyên nào, rồi sau đó cần một điểm thực thi có thể áp dụng câu trả lời đó. Kiến trúc zero trust của NIST đặt tài nguyên vào trung tâm và từ chối suy ra niềm tin từ việc gói tin đến từ đâu.

Khuôn khổ đó khó đáp ứng hơn một nhãn dán, và khó làm giả hơn nhiều trong một cuộc đánh giá. Nó cũng chuyển câu hỏi từ việc sản phẩm nào được triển khai sang việc quyết định nào được thực thi và bằng gì.

Quyết định thực sự được áp dụng ở đâu

Lấy một yêu cầu: một kỹ sư hỗ trợ mở bảng điều khiển dịch vụ, và một máy cá nhân cắm vào cùng bộ chuyển mạch không được thừa hưởng quyền đó chỉ vì ở gần. Hãy ghi lại thao tác được phép, điều kiện thiết bị và thành phần thực thi chúng. Vị trí quyết định mọi thứ: một cổng ứng dụng, một proxy dịch vụ, một kiểm soát máy chủ hay một ranh giới khác mà tổ chức thực sự hỗ trợ. Dù thành phần đó là gì, nó phải nằm trên đường đi của cả nỗ lực từ xa lẫn tại chỗ.

Lưu lượng không bao giờ đi qua cửa vào VPN không bị chi phối bởi một kiểm tra thực hiện ở đó, dù kiểm tra đó kỹ đến đâu. Chính khoảng trống duy nhất ấy giải thích phần lớn khoảng cách giữa một sơ đồ zero trust và một triển khai hoạt động được. Hãy vẽ đường đi của yêu cầu trước khi vẽ kiến trúc.

Giải mã không phải cấp quyền

Việc chặn bắt phục vụ những mục tiêu kiểm tra hẹp và mang theo gánh nặng riêng của chứng chỉ, gốc tin cậy, rà soát quyền riêng tư và những ứng dụng vỡ dưới nó. Không điều nào trong đó là ý nghĩa của zero trust, và không điều nào thay thế một quyết định chính sách. Xác thực một người và cấp quyền cho một dịch vụ hoàn toàn có thể làm được mà không giải mã một gói tin nào. Một luồng đã giải mã không nói gì về việc người dùng có quyền với thao tác được mang bên trong hay không.

Chính sách cần một loại bằng chứng, và giải mã không phải là nó. Tình trạng thiết bị là một đầu vào bên cạnh danh tính, độ nhạy cảm của tài nguyên và ngữ cảnh, và vượt qua nó một lần không trao cho máy đó phần còn lại của mạng. Trộn hai thứ lại biến một câu hỏi cấp quyền thành một dự án chứng chỉ.

Khi cổng không nằm ở đâu trên đường đi

Kiểm kê những gì di chuyển mà không chạm vào cổng từ xa: liên kết giữa các máy trong phân đoạn cục bộ, lời gọi từ khối lượng công việc này sang khối lượng công việc khác, và các điểm cuối được tiếp cận trực tiếp bên trong một tài khoản đám mây. Với mỗi đường đi, hãy nêu một phương thức thực thi thực sự có thể triển khai hôm nay. Thiết bị không thể chạy một tác nhân vẫn cần một kiểm soát khác được hỗ trợ rõ ràng, và giả định rằng tác nhân sẽ đến sau không đóng lại được gì ngay bây giờ. Truy cập dịch vụ-tới-dịch vụ thường phù hợp hơn với danh tính khối lượng công việc và một kiểm tra viết theo tài nguyên so với một mạng lớp phủ khác.

Chấp nhận thiết kế theo hành vi chứ không theo sơ đồ: thao tác nào được cho phép, thao tác nào bị từ chối, và mỗi câu trả lời được thực thi ở đâu. Hãy phê duyệt những thao tác được phép và bị từ chối cụ thể, và bao gồm một tuyến cục bộ không bao giờ đến được cổng. Ghi lại ai sở hữu chính sách, nó thay đổi thế nào và việc thu hồi hoạt động ra sao.

Một đường hầm được dán nhãn mới vẫn là đường hầm. Chính sách quyết định, và phải có thứ gì đó thực thi nó.