ZTNA di rangkaian rumah: akses jauh selamat dan Sifar Kepercayaan

Informatec Digital » Sumber » ZTNA di rangkaian rumah: akses jauh selamat dan Sifar Kepercayaan

Apakah ZTNA dan mengapa ia begitu penting dalam rangkaian rumah?

Akses Rangkaian Sifar Kepercayaan (ZTNA) ialah seni bina keselamatan yang menghapuskan kepercayaan tersirat dalam rangkaian. Setiap permintaan akses disahkan seolah-olah ia datang dari internet, tidak kira sama ada pengguna berada di pejabat, di rumah atau bersambung dari kedai kopi. Idea terasnya jelas: "jangan sesekali percaya, sentiasa sahkan ," dengan menggunakan kawalan terperinci yang diulang sepanjang sesi, bukan hanya pada permulaannya.

Daripada menyediakan akses umum kepada rangkaian dalaman , ZTNA hanya menerbitkan aplikasi khusus yang diperlukan oleh setiap orang: CRM, ERP, intranet, pengurusan tiket, repositori kod, dan sebagainya. Infrastruktur yang lain—pelayan, pangkalan data, perkhidmatan dalaman—kekal tersembunyi seolah-olah ia tidak wujud, sekali gus mengurangkan permukaan serangan secara drastik, yang penting apabila akses berasal daripada rangkaian rumah yang tidak dikawal dengan baik.

Model ini biasanya bergantung pada perimeter yang ditakrifkan perisian (SDP) , yang bertindak sebagai "awan gelap": aplikasi tidak dapat dilihat oleh sesiapa sahaja yang tidak disahkan dan dibenarkan. Ini menghalang penyerang daripada bergerak secara mendatar, yang biasanya berlaku selepas menjejaskan komputer riba rumah atau mencuri kelayakan melalui pancingan data.

ZTNA ditadbir oleh prinsip yang sangat jelas yang melanggar logik VPN tradisional: memisahkan akses aplikasi daripada akses rangkaian, menjadikan infrastruktur tidak kelihatan kepada mereka yang tidak dibenarkan, memberikan akses aplikasi demi aplikasi dan menggantikan "perimeter korporat" lama dengan logik yang berpusat pada pengguna, peranti dan konteks, menggunakan mikroterowong yang disulitkan dan bukannya litar MPLS yang tegar.

Dalam rangkaian rumah, di mana peranti yang diurus dan tidak diurus wujud bersama , pendekatan ini membolehkan komputer riba korporat akses jauh dikawal ketat, manakala gajet rumah yang lain (TV Pintar, konsol, pembesar suara pintar) tidak boleh digunakan sebagai jambatan untuk mencapai sistem syarikat yang kritikal.

Cara model ZTNA berfungsi langkah demi langkah

Aliran asas ZTNA sentiasa bermula dengan pengesahan pengguna terhadap perkhidmatan ZTNA atau broker akses. Ia biasanya disepadukan dengan penyedia identiti perusahaan (IdP) seperti Azure AD, Active Directory, Okta atau lain-lain dan memerlukan pengesahan berbilang faktor (MFA) untuk memberikan perlindungan tambahan terhadap kecurian kelayakan.

Selepas mengenal pasti pengguna, perkhidmatan ZTNA akan menilai peranti yang mereka gunakan untuk berhubung. Di sinilah apa yang dipanggil "postur peranti" memainkan peranan: sama ada ia peranti korporat atau peribadi, sama ada sistem pengendalian telah ditambal, sama ada antivirus dan perlindungan titik akhir aktif, sama ada penyulitan cakera diaktifkan, dan sebagainya. Dengan penyelesaian berasaskan ejen, pemeriksaan ini dilakukan walaupun sebelum membenarkan sambungan.

Hanya apabila identiti dan peranti memenuhi dasar yang ditetapkan , ZTNA akan mencipta mikrotunnel yang disulitkan antara pengguna dan aplikasi khusus yang mereka minta. Ia tidak membuka sesi kepada keseluruhan rangkaian, sebaliknya saluran yang sangat terhad kepada perkhidmatan yang diluluskan. Secara praktikal, seolah-olah pengguna hanya "melihat" aplikasi itu, walaupun terdapat keseluruhan rangkaian di sebaliknya.

Sepanjang sesi, pengesahan kepercayaan berterusan dilakukan . Sistem memantau perubahan dalam status peranti (contohnya, jika perisian antivirus dinyahdayakan), tingkah laku pengguna (percubaan memuat turun sejumlah besar data, akses luar biasa dari lokasi geografi yang berbeza) dan trafik aplikasi. Sekiranya berlaku sebarang anomali, ia boleh mengurangkan keistimewaan, memaksa pengesahan semula atau menyekat akses dalam masa nyata.

Keseluruhan aliran kerja ini bergantung pada segmentasi aplikasi asli . Setiap pengguna hanya menerima kebenaran minimum yang diperlukan untuk peranan mereka (prinsip keistimewaan paling rendah atau PoLP). Contohnya, jurujual jarak jauh mungkin mempunyai akses baca sahaja kepada data pelanggan dalam Salesforce, manakala ahli pasukan DevOps akan mempunyai kebenaran untuk mengekod repositori tetapi bukan kepada pangkalan data pengebilan. Pendekatan ini menjamin keselamatan rangkaian rumah dengan lebih baik di mana tiada kawalan ke atas siapa lagi yang disambungkan ke penghala.

ZTNA vs. VPN: Mengapa VPN tidak lagi mencukupi

Selama bertahun-tahun, VPN merupakan penyelesaian standard untuk kerja jarak jauh : terowong yang disulitkan daripada peranti pekerja ke rangkaian korporat, memberikan mereka tahap akses yang hampir sama seperti jika mereka duduk di pejabat. Mudah dan berkesan apabila semuanya berada di pusat data korporat, tetapi sangat terhad dalam persekitaran hibrid dan berbilang awan hari ini.

Masalah utama pertama dengan VPN ialah terlalu yakin . Setelah disahkan, pengguna memasuki LAN dan boleh melihat lebih banyak sumber daripada yang mereka perlukan. Jika komputer riba mereka dijangkiti di rumah atau seseorang mendapatkan kelayakan mereka, penyerang itu bebas bergerak secara mendatar merentasi pelayan, fail kongsi dan aplikasi dalaman.

VPN juga terjejas dari segi fleksibiliti dan kebolehskalaan . Ia memaksa semua trafik melalui hab pusat, mewujudkan kesesakan apabila anda mempunyai ratusan atau ribuan pekerja yang berhubung dari rumah, selalunya ke aplikasi yang sudah ada di awan. Pengalaman pengguna terjejas, latensi meningkat, dan pengurusan menjadi rumit.

ZTNA menangani batasan ini dengan beberapa penambahbaikan utama : akses terperinci bagi setiap aplikasi, pengesahan identiti dan peranti berterusan, segmentasi yang menghalang pergerakan lateral dan keupayaan untuk menyesuaikan diri dengan persekitaran hibrid (di premis, awan, SaaS) tanpa memaksa penyematan berterusan ke pusat data. Tambahan pula, ia mengurangkan pergantungan pada teknologi tambahan seperti perlindungan DDoS khusus, pengimbang beban global atau tembok api khusus di perimeter tradisional.

Dalam rangkaian rumah, di mana VPN sering wujud bersama peranti peribadi yang tidak selamat , ZTNA membuat semua perbezaan. Walaupun penghala atau komputer rumah dikompromi, penyerang akan menghadapi masa yang lebih sukar untuk menggunakan kedudukan itu sebagai batu loncatan kepada sumber korporat kerana mereka tidak akan pernah melihat keseluruhan rangkaian terdedah.

Kelebihan utama model ZTNA

Manfaat utama ZTNA adalah peningkatan keselamatan yang dramatik . Dengan mendasarkan kawalan akses pada identiti dan konteks, bukannya alamat IP statik, permukaan serangan dapat dikurangkan, dan penggunaan kelayakan yang dicuri menjadi jauh lebih sukar. Setiap percubaan log masuk disemak terhadap dasar yang mempertimbangkan identiti pengguna, lokasi mereka, dan keadaan peranti mereka.

Tonggak utama kedua ialah kawalan akses terperinci . Hasil daripada model seperti kawalan akses berasaskan peranan (RBAC), organisasi boleh menentukan aplikasi dan operasi yang dibenarkan untuk setiap peranan, orang atau kumpulan. Ketelitian ini memudahkan pematuhan dengan peraturan keselamatan dan privasi (GDPR, ISO 27001, NIST) dan meninggalkan jejak audit yang jelas tentang siapa yang mengakses apa dan bila.

ZTNA juga secara drastik mengurangkan permukaan serangan . Oleh kerana rangkaian dan aplikasi dalaman tidak didedahkan secara terbuka, alamat IP sumber kritikal tidak dapat dilihat oleh internet. Bagi penyerang luaran, infrastruktur ini pada asasnya "tidak kelihatan", sekali gus mengurangkan kemungkinan pengimbasan besar-besaran dan eksploitasi kerentanan.

Satu lagi kekuatan ialah keserasian semula jadinya dengan kerja jarak jauh dan hibrid . ZTNA direka bentuk untuk persekitaran teragih, di mana pengguna dan aplikasi berada di mana-mana sahaja: rangkaian rumah, ruang kerja bersama, awan awam, pusat data di premis, dan sebagainya. Dasar-dasar digunakan secara konsisten merentasi semua senario ini, tanpa perbezaan.

Akhir sekali, ZTNA meningkatkan produktiviti pengguna akhir . Daripada memaksa pengguna untuk mewujudkan sambungan VPN yang rumit dan tidak stabil, ia membolehkan mereka mengakses aplikasi yang dibenarkan secara langsung melalui mikro-terowong yang dioptimumkan. Ini menghasilkan kependaman yang lebih rendah, kurang geseran pengesahan dan prestasi yang dipertingkatkan dengan ketara apabila sumber berada di awan—satu faedah yang dialu-alukan apabila bekerja dari rumah dengan sambungan yang terhad.

ZTNA 1.0 lawan ZTNA 2.0: evolusi yang diperlukan

Generasi pertama ZTNA, yang dikenali sebagai ZTNA 1.0 , mewakili satu langkah ke hadapan berbanding VPN, tetapi ia telah ketinggalan dalam landskap semasa. Kerja hibrid adalah kebiasaan, aplikasi kebanyakannya berasaskan awan atau SaaS, dan serangan semakin canggih dan bertujuan untuk mengeksploitasi akses yang sah.

ZTNA 2.0 telah dicipta untuk menutup jurang yang ditinggalkan oleh pelaksanaan awal . Ia mengintegrasikan keupayaan pengenalpastian aplikasi Lapisan 7 (App-ID), yang membolehkan definisi dasar pada peringkat aplikasi dan sub-aplikasi, bebas daripada IP, port atau protokol. Ini menghasilkan kawalan akses yang lebih tepat dan lebih tahan terhadap teknik pengelakan.

Satu lagi penambahbaikan utama dalam ZTNA 2.0 ialah pengesahan berterusan yang dipertingkatkan . Tidak mencukupi untuk hanya menilai pengguna dan peranti semasa permulaan; kepercayaan dikira semula sepanjang sesi berdasarkan perubahan postur titik akhir, corak tingkah laku dan isyarat risiko. Jika ada yang menyimpang daripada norma, akses boleh dihadkan atau disekat dengan pantas.

ZTNA 2.0 juga menekankan pemeriksaan trafik berterusan , walaupun sambungan yang dibenarkan. Ia menggunakan analisis paket mendalam (DPI) dan pengesanan ancaman lanjutan, termasuk ancaman sifar hari, untuk menghalang penyerang dengan kelayakan yang sah daripada mengeksploitasi kerentanan ini untuk menyerang aplikasi atau infrastruktur dari dalam.

Tambahan pula, pendekatan moden ini meluaskan perlindungan kepada semua data dan aplikasi : SaaS, perkhidmatan persendirian legasi, aplikasi awan asli dan aplikasi yang mempunyai port dinamik atau sambungan yang dimulakan oleh pelayan. Matlamatnya adalah untuk mempunyai dasar pencegahan kehilangan data dan kawalan akses tunggal yang konsisten yang digunakan merentasi keseluruhan persekitaran digital organisasi, tanpa mengira di mana pengguna berada (termasuk rumah mereka).

ZTNA dan SASE: gabungan untuk rangkaian rumah yang lebih selamat

ZTNA sahaja tidak selalunya memeriksa semua trafik yang dijana secara menyeluruh sebaik sahaja sambungan diwujudkan dengan aplikasi. Ini meninggalkan peluang risiko jika peranti dicerobohi selepas akses awal atau jika pengguna dalaman menyalahgunakan keistimewaan mereka untuk merosakkan sistem atau mengekstrak data.

Secure Access Service Edge (SASE) muncul sebagai evolusi semula jadi , menggabungkan SD-WAN, keselamatan awan dan ZTNA ke dalam satu perkhidmatan berpusat. Ia mengintegrasikan firewall sebagai perkhidmatan (FWaaS), gerbang web selamat (SWG), broker akses awan (CASB) dan fungsi lain, mengaturnya dari awan untuk menguatkuasakan dasar bersepadu.

Apabila ZTNA disepadukan ke dalam penyelesaian SASE , organisasi tersebut memperoleh pemeriksaan mendalam terhadap semua trafik, keterlihatan global dan satu titik kawalan untuk akses jauh, termasuk sambungan dari rangkaian rumah. Semua permintaan melalui gerbang selamat yang menguatkuasakan keputusan dasar yang ditakrifkan dalam enjin pusat.

Dalam praktiknya, SASE menetapkan "sempadan pintar" antara pengguna jarak jauh dan sumber korporat, tanpa mengira laluan trafik. Ia menyediakan kebolehskalaan yang tidak terdapat pada VPN tradisional, mengurangkan kerumitan pengurusan dan menyokong senario yang lebih baik di mana aplikasi diedarkan merentasi pelbagai awan awam dan swasta serta pusat data di premis.

Untuk rangkaian rumah, SASE dengan ZTNA 2.0 ialah cara yang sangat berkesan untuk melindungi sebarang peranti yang memerlukan akses korporat, menilai kedudukannya, menghalakan trafiknya melalui gerbang yang diperiksa dan mengehadkan jangkauannya kepada aplikasi yang diperlukan, menghalangnya daripada menjadi pintu belakang kepada seluruh organisasi.

Komponen dan prinsip utama seni bina ZTNA

Seni bina ZTNA yang lengkap bergantung pada beberapa komponen yang berfungsi bersama . Elemen utama biasanya pengawal atau broker ZTNA, yang mengatur semua keputusan akses: menanyakan pembekal identiti, menilai postur peranti, menganalisis konteks sesi dan menggunakan dasar kebenaran.

Di hadapan aplikasi terdapat gerbang ZTNA , yang mengurus trafik sebenar. Ia mewujudkan terowong selamat antara pengguna dan aplikasi, menyekat percubaan tanpa kebenaran dan memastikan infrastruktur kekal tidak kelihatan kepada sesiapa sahaja tanpa kebenaran.

Pembekal identiti (IdP) merupakan satu lagi komponen penting . Mengesahkan identiti sebenar pengguna adalah penting dan ini dicapai dengan mengintegrasikan direktori korporat dengan perkhidmatan IAM yang mendayakan MFA, daftar masuk tunggal (SSO) dan mekanisme pengesahan lanjutan yang lain.

Enjin dasar merupakan teras logik keputusan . Ini menentukan siapa yang boleh mengakses apa, bila dan dari mana, dengan mengambil kira atribut seperti peranan pengguna, jenis peranti, lokasi, masa dalam sehari, risiko yang dikira melalui analitik dan pembelajaran mesin dan sebagainya. Dasar-dasar ini dinamik dan boleh diselaraskan apabila konteks berubah.

Tambahan pula, ZTNA mengaplikasikan prinsip keistimewaan paling rendah bukan sahaja kepada pengguna manusia, tetapi juga kepada aplikasi, sistem dan proses automatik. Setiap entiti hanya menerima kebenaran yang diperlukan untuk melaksanakan fungsinya, sekali gus mengehadkan potensi bahaya jika mana-mana daripadanya dikompromikan.

Kes penggunaan: akses jauh, awan dan akaun yang dikompromi

Kes penggunaan yang paling jelas untuk ZTNA ialah akses jarak jauh yang selamat untuk pekerja yang bekerja dari rumah atau semasa dalam perjalanan. Daripada bergantung pada VPN yang membuka keseluruhan rangkaian, akses hanya diberikan kepada sumber yang diperlukan oleh setiap peranan, dengan pemantauan berterusan dan kawalan terperinci, meminimumkan pendedahan kepada ancaman.

Satu lagi senario utama ialah akses selamat kepada persekitaran awan . Banyak organisasi menggunakan pelbagai awan awam dan swasta serta aplikasi SaaS. Dengan ZTNA, peranan dan kebenaran khusus diberikan kepada setiap pengguna dan perkhidmatan, jadi mereka hanya boleh mengakses sumber awan yang sebenarnya mereka perlukan, sekali gus mengurangkan permukaan serangan dan meningkatkan pematuhan.

ZTNA juga membantu mengurangkan kesan pencerobohan akaun . Apabila penyerang mencuri kelayakan yang sah, keupayaan mereka untuk menyebabkan bahaya dihadkan oleh dasar keistimewaan paling rendah dan pengasingan aplikasi. Tambahan pula, pengesahan kepercayaan berterusan boleh mengesan tingkah laku anomali (akses dari lokasi luar biasa, corak penggunaan luar biasa) dan menamatkan sesi secara automatik.

Dalam rangkaian rumah, di mana kata laluan yang lemah dan peranti peribadi yang tidak diurus adalah perkara biasa , pendekatan ini mengawal risiko yang berkaitan dengan faktor manusia yang tidak berniat jahat dengan lebih baik: ralat konfigurasi, mengklik pautan pancingan data, versi sistem pengendalian yang ketinggalan zaman atau perisian tidak selamat yang dipasang pada komputer yang digunakan untuk mengakses syarikat.

Secara ringkasnya operasi, ZTNA menjadi cara praktikal untuk menerapkan Zero Trust pada mana-mana persekitaran teragih: ia menapis siapa yang boleh masuk, apa yang mereka boleh lihat, bagaimana mereka bertindak dan berapa lama mereka mengekalkan kepercayaan itu, semuanya tanpa bergantung pada sama ada rangkaian rumah selamat atau sama ada pengguna menjadi pakar keselamatan siber.

Menerima pakai Rangkaian Trend Sifar (ZTNA) dalam rangkaian rumah dan persekitaran hibrid memerlukan perubahan pemikiran: daripada melindungi "rangkaian" kepada melindungi "aplikasi dan data," menilai setiap permintaan akses sebagai berpotensi bermusuhan. Hasilnya ialah model yang lebih mantap dan boleh disesuaikan, sejajar dengan realiti kerja teragih hari ini, yang meminimumkan pendedahan tanpa menghalang ketangkasan perniagaan.

Artikel berkaitan:

Pengurusan Risiko Keselamatan Siber: Cara Memastikan Data Anda Selamat