ZTNA namų tinkle: saugi nuotolinė prieiga ir nulinis pasitikėjimas

Informatec Digital » Ištekliai » ZTNA namų tinkle: saugi nuotolinė prieiga ir nulinis pasitikėjimas

Kas yra ZTNA ir kodėl jis toks svarbus namų tinkle?

„Zero Trust Network Access“ (ZTNA) – tai saugumo architektūra , kuri panaikina numanomą pasitikėjimą tinklu. Kiekviena prieigos užklausa patvirtinama taip, lyg ji būtų gauta iš interneto, nepriklausomai nuo to, ar vartotojas yra biure, namuose, ar jungiasi iš kavinės. Pagrindinė idėja aiški: „niekada nepasitikėkite, visada patikrinkite “, taikant išsamius valdiklius, kurie kartojami viso seanso metu, o ne tik pradžioje.

Užuot suteikusi bendrą prieigą prie vidinio tinklo , ZTNA skelbia tik konkrečias programas, kurių reikia kiekvienam asmeniui: CRM, ERP, intranetą, bilietų valdymą, kodų saugyklas ir kt. Likusi infrastruktūros dalis – serveriai, duomenų bazės, vidinės paslaugos – lieka paslėpta, tarsi jos nebūtų, todėl smarkiai sumažėja atakų paviršius, o tai labai svarbu, kai prieiga gaunama iš prastai kontroliuojamo namų tinklo.

Šis modelis paprastai remiasi programinės įrangos apibrėžtu perimetru (SDP) , kuris veikia kaip „tamsus debesis“: programos yra nematomos visiems, kurie nėra autentifikuoti ir autorizuoti. Tai neleidžia užpuolikams judėti į šonus, o tai dažniausiai nutinka įsilaužus į namų nešiojamąjį kompiuterį arba pavogus prisijungimo duomenis sukčiavimo būdu.

ZTNA vadovaujasi labai aiškiais principais, kurie laužo tradicinio VPN logiką: atskirti programų prieigą nuo tinklo prieigos, padaryti infrastruktūrą nematomą tiems, kurie neturi leidimo, suteikti prieigą kiekvienai programai atskirai ir pakeisti senąjį „įmonės perimetrą“ logika, orientuota į vartotoją, įrenginį ir kontekstą, naudojant užšifruotus mikrotunelius vietoj standžių MPLS grandinių.

Namų tinkle, kuriame kartu egzistuoja valdomi ir nevaldomi įrenginiai , šis metodas leidžia griežtai kontroliuoti nuotolinės prieigos įmonės nešiojamąjį kompiuterį, o kiti namų įrenginiai (išmanusis televizorius, konsolė, išmanioji garsiakalbė) negali būti naudojami kaip tiltas, skirtas pasiekti svarbiausias įmonės sistemas.

Kaip žingsnis po žingsnio veikia ZTNA modelis

Pagrindinis ZTNA srautas visada prasideda nuo vartotojo autentifikavimo naudojant ZTNA paslaugą arba prieigos tarpininką. Paprastai jis integruojamas su įmonės tapatybės teikėju (IdP), pvz., „Azure AD“, „Active Directory“, „Okta“ ar kitais, ir reikalauja daugiafaktorinio autentifikavimo (MFA), kad būtų užtikrinta papildoma apsauga nuo kredencialų vagystės.

Identifikavusi vartotoją, ZTNA paslauga įvertina įrenginį, iš kurio jis jungiasi. Čia svarbus vadinamasis „įrenginio statusas“: ar tai įmonės, ar asmeninis įrenginys, ar operacinė sistema yra pataisyta, ar aktyvios antivirusinės ir galinių įrenginių apsaugos programos, ar įjungtas disko šifravimas ir pan. Naudojant agentais pagrįstus sprendimus, šis patikrinimas atliekamas dar prieš autorizuojant ryšį.

Tik tada, kai tapatybė ir įrenginys atitinka apibrėžtas taisykles, ZTNA sukuria užšifruotą mikrotunelį tarp vartotojo ir konkrečios programos, kurios jis prašo. Tai neatidaro sesijos visam tinklui, o veikiau labai riboto kanalo patvirtintai paslaugai. Praktiškai tai tarsi vartotojas „mato“ tik tą programą, nors už jos yra visas tinklas.

Viso seanso metu atliekamas nuolatinis pasitikėjimo tikrinimas . Sistema stebi įrenginio būsenos pokyčius (pavyzdžiui, ar išjungta antivirusinė programinė įranga), naudotojo elgesį (bandymus atsisiųsti didelius duomenų kiekius, neįprastą prieigą iš skirtingų geolokacijų) ir programų srautą. Bet kokio anomalijos atveju ji gali sumažinti privilegijas, priverstinai atlikti pakartotinį autentifikavimą arba blokuoti prieigą realiuoju laiku.

Visas šis darbo eigas pagrįstas vietinių programų segmentavimu . Kiekvienas vartotojas gauna tik minimalius leidimus, būtinus jo vaidmeniui (mažiausių privilegijų principas arba PoLP). Pavyzdžiui, nuotolinis pardavėjas gali turėti tik skaitymo prieigą prie klientų duomenų „Salesforce“ sistemoje, o „DevOps“ komandos narys turėtų leidimus pasiekti kodo saugyklas, bet ne atsiskaitymo duomenų bazę. Toks metodas geriau apsaugo namų tinklą, kuriame negalima kontroliuoti, kas dar prisijungęs prie maršrutizatoriaus.

ZTNA ir VPN: kodėl VPN nebepakanka

Daugelį metų VPN buvo standartinis nuotolinio darbo sprendimas : užšifruotas tunelis iš darbuotojo įrenginio į įmonės tinklą, suteikiantis jiems praktiškai tokį patį prieigos lygį, lyg jie sėdėtų biure. Paprasta ir efektyvu, kai viskas buvo įmonės duomenų centre, tačiau labai ribota šiandieninėje hibridinėje ir daugiadebesėje aplinkoje.

Pirmoji pagrindinė VPN problema yra per didelis pasitikėjimas savimi . Autentifikavęsis vartotojas patenka į vietinį tinklą ir gali matyti daug daugiau išteklių, nei jam reikia. Jei namuose užkrečiamas jų nešiojamasis kompiuteris arba kas nors gauna jų prisijungimo duomenis, užpuolikas gali laisvai judėti tarp serverių, bendrinamų failų ir vidinių programų.

VPN taip pat kenčia dėl lankstumo ir mastelio keitimo galimybių . Jie nukreipia visą srautą per centrinį mazgą, sukurdami kliūtis, kai šimtai ar tūkstančiai darbuotojų jungiasi iš namų, dažnai prie programų, jau esančių debesyje. Nukenčia naudotojo patirtis, padidėja delsa, o valdymas tampa sudėtingas.

„ZTNA“ šiuos apribojimus sprendžia keliais svarbiais patobulinimais : detalia prieiga kiekvienai programai, nuolatinis tapatybės ir įrenginio patvirtinimas, segmentavimas, neleidžiantis judėti horizontaliai, ir galimybė prisitaikyti prie hibridinių aplinkų (vietinės, debesijos, SaaS) nereikalaujant nuolatinio duomenų centro suvaržymo. Be to, ji sumažina priklausomybę nuo papildomų technologijų, tokių kaip speciali DDoS apsauga, pasauliniai apkrovos balansavimo įrenginiai arba specialios užkardos tradiciniame perimetre.

Namų tinkluose, kur VPN dažnai egzistuoja kartu su nesaugiais asmeniniais įrenginiais , ZTNA yra labai svarbus. Net jei maršrutizatorius ar namų kompiuteris yra pažeistas, užpuolikui bus daug sunkiau pasinaudoti šia pozicija kaip tramplinu į įmonės išteklius, nes jis niekada nematys viso tinklo, kuris yra pažeidžiamas.

Pagrindiniai ZTNA modelio privalumai

Pagrindinis ZTNA privalumas – didelis saugumo pagerėjimas . Prieigos kontrolę pagrįsdama tapatybe ir kontekstu, o ne statiniais IP adresais, sumažina atakų paviršių ir gerokai apsunkina pavogtų prisijungimo duomenų naudojimą. Kiekvienas prisijungimo bandymas tikrinamas pagal politiką, kuri atsižvelgia į vartotojo tapatybę, jo buvimo vietą ir įrenginio būseną.

Antras pagrindinis ramstis yra detali prieigos kontrolė . Naudodamos tokius modelius kaip vaidmenimis pagrįsta prieigos kontrolė (RBAC), organizacijos gali apibrėžti, kurios programos ir operacijos yra leidžiamos kiekvienam vaidmeniui, asmeniui ar grupei. Toks detalumas palengvina atitiktį saugumo ir privatumo reglamentams (BDAR, ISO 27001, NIST) ir palieka aiškų audito taką, kas prie ko ir kada prisijungė.

ZTNA taip pat smarkiai sumažina atakų paviršių . Kadangi vidinis tinklas ir programos nėra viešai prieinami, kritinių išteklių IP adresai net nematomi internetui. Išoriniam užpuolikui ši infrastruktūra iš esmės yra „nematoma“, todėl sumažėja masinio nuskaitymo ir pažeidžiamumų išnaudojimo tikimybė.

Dar vienas privalumas yra natūralus suderinamumas su nuotoliniu ir hibridiniu darbu . ZTNA buvo sukurta paskirstytoms aplinkoms, kur vartotojai ir programos yra bet kur: namų tinkluose, bendradarbystės erdvėse, viešuosiuose debesyse, vietiniuose duomenų centruose ir kt. Politikos taikomos nuosekliai visuose šiuose scenarijuose, be jokio skirtumo.

Galiausiai, ZTNA pagerina galutinių vartotojų produktyvumą . Užuot versęs vartotojus užmegzti sudėtingus ir nestabilius VPN ryšius, jis leidžia jiems tiesiogiai pasiekti autorizuotas programas per optimizuotus mikrotunelius. Tai sumažina delsą, sumažina autentifikavimo trintį ir žymiai pagerina našumą, kai ištekliai yra debesyje – tai sveikintinas privalumas dirbant iš namų su ribotu ryšiu.

ZTNA 1.0 ir ZTNA 2.0 palyginimas: būtina evoliucija

Pirmosios ZTNA kartos, žinomos kaip ZTNA 1.0 , buvo žingsnis į priekį, palyginti su VPN, tačiau dabartinėje aplinkoje jos nepasiekė reikiamų savybių. Hibridinis darbas yra norma, programos dažniausiai yra debesijos pagrindu sukurtos arba SaaS, o atakos tampa vis sudėtingesnės ir skirtos išnaudoti teisėtą prieigą.

„ZTNA 2.0“ buvo sukurta siekiant užpildyti pradinių diegimų paliktas spragas . Ji integruoja 7 lygio programų identifikavimo (App-ID) galimybes, leidžiančias apibrėžti politikas programų ir antrinių programų lygmenimis, nepriklausomai nuo IP adresų, prievadų ar protokolų. Tai lemia daug tikslesnę prieigos kontrolę, kuri yra atsparesnė apėjimo technikoms.

Dar vienas svarbus ZTNA 2.0 patobulinimas – patobulintas nuolatinis tikrinimas . Nepakanka tiesiog įvertinti naudotojo ir įrenginio paleidimo metu; pasitikėjimas perskaičiuojamas viso seanso metu, atsižvelgiant į galinio taško padėties pokyčius, elgesio modelius ir rizikos signalus. Jei kas nors nukrypsta nuo normos, prieiga gali būti apribota arba blokuojama nedelsiant.

„ZTNA 2.0“ taip pat pabrėžia nuolatinį srauto tikrinimą , net ir leidžiamų jungčių. Ji naudoja giluminę paketų analizę (DPI) ir pažangų grėsmių, įskaitant nulinės dienos grėsmes, aptikimą, kad užpuolikas, turintis galiojančius prisijungimo duomenis, negalėtų pasinaudoti šia pažeidžiamumu ir atakuoti programų ar infrastruktūros iš vidaus.

Be to, šis modernus požiūris išplečia apsaugą visiems duomenims ir programoms : SaaS, senosioms privačioms paslaugoms, debesijos programoms ir toms, kurios turi dinaminius prievadus arba serverio inicijuotus ryšius. Tikslas – turėti vieną, nuoseklią duomenų praradimo prevencijos ir prieigos kontrolės politiką, taikomą visoje organizacijos skaitmeninėje aplinkoje, nepriklausomai nuo to, kur yra vartotojai (įskaitant jų namus).

ZTNA ir SASE: derinys saugesniems namų tinklams

Vien tik ZTNA ne visada kruopščiai tikrina visą srautą , sugeneruotą užmezgus ryšį su programa. Tai palieka rizikos langą, jei įrenginys pažeidžiamas po pradinės prieigos arba jei vidinis vartotojas piktnaudžiauja savo teisėmis, kad sugadintų sistemas ar išgautų duomenis.

„Secure Access Service Edge“ (SASE) atsirado kaip natūrali evoliucija , sujungianti SD-WAN, debesijos saugumą ir ZTNA į vieną centralizuotą paslaugą. Ji integruoja ugniasienes kaip paslaugą (FWaaS), saugius žiniatinklio šliuzus (SWG), debesijos prieigos tarpininkus (CASB) ir kitas funkcijas, jas koordinuodama iš debesies, kad būtų užtikrinta vieninga politika.

Kai ZTNA integruojama į SASE sprendimą , organizacija gauna išsamią viso srauto kontrolę, matomumą visame pasaulyje ir vieną nuotolinės prieigos valdymo tašką, įskaitant ryšius iš namų tinklų. Visos užklausos praeina per saugų šliuzą, kuris vykdo centriniame modulyje apibrėžtus politikos sprendimus.

Praktiškai SASE nustato „išmaniąją ribą“ tarp nuotolinių vartotojų ir įmonės išteklių, neatsižvelgiant į srauto maršrutą. Ji suteikia mastelio keitimą, kurio trūksta tradiciniams VPN, sumažina valdymo sudėtingumą ir geriau palaiko scenarijus, kai programos yra paskirstytos keliuose viešuosiuose ir privačiuose debesyse bei vietiniuose duomenų centruose.

Namų tinklams SASE su ZTNA 2.0 yra labai efektyvus būdas apsaugoti bet kurį įrenginį, kuriam reikalinga įmonės prieiga, įvertinant jo būseną, nukreipiant srautą per patikrintą šliuzą ir apribojant jo pasiekiamumą iki reikalingų programų, neleidžiant jam tapti visos organizacijos užpakalinėmis durimis.

Pagrindiniai ZTNA architektūros komponentai ir principai

Visapusiška ZTNA architektūra remiasi keliais kartu veikiančiais komponentais . Centrinis elementas paprastai yra ZTNA valdiklis arba tarpininkas, kuris koordinuoja visus prieigos sprendimus: užklausia tapatybės teikėją, įvertina įrenginio būseną, analizuoja seanso kontekstą ir taiko autorizacijos politiką.

Priešais programas yra ZTNA šliuzas , kuris valdo tikrąjį srautą. Jis sukuria saugius tunelius tarp vartotojo ir programos, blokuoja neteisėtus bandymus ir užtikrina, kad infrastruktūra liktų nematoma niekam be leidimo.

Tapatybės teikėjas (IdP) yra dar vienas esminis komponentas . Labai svarbu patvirtinti tikrąją vartotojo tapatybę, ir tai pasiekiama integruojant įmonės katalogus su IAM paslaugomis, kurios įgalina MFA, vienkartinį prisijungimą (SSO) ir kitus pažangius autentifikavimo mechanizmus.

Sprendimų logikos centre yra politikos variklis . Jis apibrėžia, kas, kada ir iš kur gali pasiekti informaciją, atsižvelgiant į tokius atributus kaip vartotojo vaidmuo, įrenginio tipas, vieta, paros laikas, rizika, apskaičiuota naudojant analizę ir mašininį mokymąsi, ir kt. Šios politikos yra dinamiškos ir prisitaiko prie konteksto pokyčių.

Be to, ZTNA taiko mažiausių privilegijų principą ne tik žmonėms, bet ir programoms, sistemoms bei automatizuotiems procesams. Kiekvienas subjektas gauna tik tas teises, kurios būtinos jo funkcijai atlikti, taip apribodamas galimą žalą, jei kuris nors iš jų būtų pažeistas.

Naudojimo atvejai: nuotolinė prieiga, debesis ir pažeistos paskyros

Akivaizdžiausias ZTNA naudojimo atvejis – saugi nuotolinė prieiga darbuotojams, dirbantiems iš namų arba kelyje. Užuot pasikliavus VPN, kuris atveria visą tinklą, prieiga suteikiama tik tiems ištekliams, kurių reikia kiekvienam vaidmeniui, užtikrinant nuolatinį stebėjimą ir detalų valdymą, taip sumažinant grėsmių riziką.

Kitas svarbus scenarijus – saugi prieiga prie debesijos aplinkų . Daugelis organizacijų naudoja kelis viešuosius ir privačius debesis bei SaaS programas. Naudojant ZTNA, kiekvienam vartotojui ir paslaugai priskiriami konkretūs vaidmenys ir leidimai, kad jie galėtų pasiekti tik tuos debesijos išteklius, kurių jiems iš tikrųjų reikia, taip sumažinant atakų paviršių ir pagerinant atitiktį reikalavimams.

ZTNA taip pat padeda sušvelninti paskyros pažeidimo poveikį . Kai užpuolikas pavagia galiojančius prisijungimo duomenis, jo galimybes padaryti žalą riboja mažiausių privilegijų politika ir programų izoliacija. Be to, nuolatinis pasitikėjimo tikrinimas gali aptikti anomalų elgesį (prieigą iš neįprastų vietų, neįprastus naudojimo modelius) ir automatiškai nutraukti sesiją.

Namų tinkluose, kur dažni silpni slaptažodžiai ir nekontroliuojami asmeniniai įrenginiai , šis metodas geriau kontroliuoja riziką, susijusią su ne kenkėjiškais žmogiškaisiais veiksniais: konfigūravimo klaidomis, spustelėjimais ant sukčiavimo nuorodų, pasenusiomis operacinių sistemų versijomis arba nesaugia programine įranga, įdiegta kompiuteryje, naudojamame prisijungti prie įmonės.

Apibendrinant galima teigti, kad ZTNA tampa praktišku būdu taikyti nulinį pasitikėjimą bet kurioje paskirstytoje aplinkoje: ji filtruoja, kas gali patekti, ką jie gali matyti, kaip jie elgiasi ir kiek laiko išlaiko tą pasitikėjimą, nepriklausomai nuo to, ar namų tinklas yra saugus, ar vartotojas tampa kibernetinio saugumo ekspertu.

Nulinės tendencijos tinklų (ZTNA) diegimas namų tinkluose ir hibridinėje aplinkoje reikalauja mąstysenos pokyčių: nuo „tinklo“ apsaugos prie „programų ir duomenų“ apsaugos, vertinant kiekvieną prieigos užklausą kaip potencialiai priešišką. Rezultatas – patikimesnis, pritaikomesnis modelis, suderintas su šiandienos paskirstyto darbo realijomis, kuris sumažina pažeidžiamumą netrukdydamas verslo lankstumui.

Susijęs straipsnis:

Kibernetinio saugumo rizikos valdymas: kaip apsaugoti savo duomenis