Kiçik komandalar tez-tez Zero Trust ilə qarışıq, praktiki sual vasitəsilə qarşılaşırlar: “Biz artıq uzaqdan iş üçün VPN istifadə edirik. Onu əvəz etməliyikmi?”
Daha yaxşı sual adətən daha dardır. VPN hələ də nəyi idarə etməlidir və onun ətrafında şəxsiyyət, cihaz, siyasət, monitorinq və giriş qaydalarına nə keçməlidir?
Praktiki Zero Trust miqrasiya buradan başlayır. Şüar və ya nəhəng platforma qərarı ilə başlamır. O, hər bir uzaq əlaqəni kontekst tələb edən sorğu kimi nəzərdən keçirməklə başlayır: kim, hansı cihazdan, hansı resursa və hansı məqsədlə qoşulur.
Zero Trust Uzaqdan Erişim Haqqında Nə Dəyişikliklər
NIST Zero Trust-ni statik şəbəkə perimetrinə güvənməkdən və istifadəçiləri, aktivləri və resursları qorumaqdan uzaqlaşma kimi təsvir edir. Sadə ingilis dilində, “şəbəkədə” olmaq avtomatik olaraq şəxsin və ya cihazın geniş giriş əldə etməsi mənasına gəlməməlidir.
Kiçik bir komanda üçün bu fikir vacibdir, çünki uzaqdan iş bir təmiz ofis şəbəkəsindən nadir hallarda baş verir. İnsanlar evdən, otellərdən, kovorkinq məkanlarından, mobil qaynar nöqtələrdən, müştəri saytlarından və şəxsi cihazlardan qoşulur. Podratçılara bir tablosuna ehtiyac ola bilər, lakin şirkət mühitinin qalan hissəsinə ehtiyac yoxdur. Təsisçiyə səyahət zamanı admin panel lazım ola bilər. Dəstək komanda yoldaşının sabit giriş yoluna ehtiyacı ola bilər, ancaq məhdud alətlər dəsti üçün.
Sıfır etibarın uzaqdan girişinin arxasında duran əsl iş problemi budur: komanda hər bir uğurlu əlaqəni geniş etimad kimi qəbul etmədən faydalı uzaqdan bağlantıya ehtiyac duyur.
VPN Hələ Uyğundur
VPN hələ də bu modeldə faydalı ola bilər. O, şifrələnmiş şəbəkə yolu yarada, giriş marşrutlarını daha proqnozlaşdırıla bilən etməyə kömək edə və sabit mənbə IP-nin və ya qorunan əlaqənin əməliyyat rejiminin bir hissəsi olduğu iş axınlarını dəstəkləyə bilər.
Məsələn, kiçik komanda aşağıdakı hallarda VPN istifadə edə bilər:
- ictimai və ya paylaşılan şəbəkələrdən admin panellərinə daxil olmaq;
- müəyyən edilmiş uzaqdan giriş yolu ilə podratçıların birləşdirilməsi;
- SaaS icazə siyahısı davranışını daha proqnozlaşdırıla bilən saxlamaq;
- iş trafikinin yerli Wi-Fi təsirindən ayrılması;
- otellərdən, hava limanlarından və ya kovorkinq məkanlarından təsadüfi girişin azaldılması.
Əhəmiyyətli məqam odur ki, vpn və sıfır etibar, qalib hər şeyi götürən seçim kimi çərçivəyə salınmamalıdır. VPN giriş sualının bir hissəsinə cavab verir: trafik istifadəçi və resurs arasında necə hərəkət edir. Zero Trust təfəkkür əlaqə mövcud olmamışdan əvvəl və sonra əlavə suallar verir.
VPN-dən nə tələb edilməməlidir
Problemlər VPN yeganə qapıya çevrildikdə başlayır.
Hər kəs bir etimadnaməsini paylaşırsa, komanda kimin qoşulduğunu asanlıqla deyə bilməz. Əgər hər bir istifadəçi qoşulduqdan sonra hər bir daxili resursa çatırsa, VPN yolu çox genişdir. Cihazlar yamaqlanmasa, qorunmasa və ya kənarlaşdırılmasa, son nöqtə riskli qalarkən əlaqə qanuni görünə bilər. Kimin girişə ehtiyacı olduğuna dair heç bir araşdırma yoxdursa, köhnə icazələr yığılır.
A VPN də əvəz etmir:
- çox faktorlu autentifikasiya;
- parol meneceri və unikal parollar;
- cihaz yeniləmələri və son nöqtə gigiyenası;
- hesabın silinməsi;
- rol əsaslı icazələr;
- fişinq məlumatlılığı;
- monitorinq və jurnalın nəzərdən keçirilməsi;
- podratçı və admin girişi üçün aydın qaydalar.
Bu, VPN-i köhnəlmir. Bu o deməkdir ki, VPN daha geniş giriş planı daxilində müəyyən edilmiş işə malik olmalıdır.
Kiçik Komanda Zero Trust Həddindən artıq tikinti olmadan miqrasiya
Böyük təşkilatlar ətraflı yetkinlik modellərindən və daha geniş təhlükəsiz giriş arxitektura proqramlarından istifadə edə bilər. Kiçik komandalar eyni heyətə, büdcəyə və ya infrastruktura malik olduqlarını iddia etmədən prinsipləri götürə bilərlər.
Bu addımlarla başlayın.
1. İnsanların həqiqətən əldə etdiyi resursları sadalayın
Uzaqdan işçilərin, adminlərin, podratçıların və təsisçilərin daxil olduğu sistemləri yazın. Konkret saxlayın:
- idarəetmə panelləri;
- kod anbarları və ya quruluş mühitləri;
- maliyyə alətləri;
- müştəri dəstək sistemləri;
- məzmun idarəetmə sistemləri;
- paylaşılan bulud yaddaşı;
- daxili proqramlar;
- SaaS həssas parametrləri olan hesablar.
Böyük bir şey kimi “şəbəkə” ilə başlamayın. Resurslarla başlayın. Bu, Zero Trust ideyasına uyğun gəlir ki, qorunma insanların qoşulduğu yerdən deyil, nədən istifadə etməyə çalışdığına diqqət yetirməlidir.
2. Hər bir resursa ehtiyacı olan xəritə
Sonra kimin həqiqətən girişə ehtiyacı olduğunu soruşun. Məhsulun nüsxəsini redaktə edən podratçının faktura tablosuna ehtiyacı olmaya bilər. Dəstək komanda yoldaşının müştəri alətinə ehtiyacı ola bilər, lakin domen qeydiyyatçısı girişinə ehtiyac yoxdur. Tərtibatçının səhnələşdirmə girişinə ehtiyacı ola bilər, lakin hər istehsal admin panelinə deyil.
Ən az imtiyaz girişinin praktiki olduğu yer budur. Məqsəd işi ağrılı etmək deyil. Məqsəd heç kimin müdafiə edə bilməyəcəyi icazələri silməkdir.
Hər bir resurs üçün müəyyən edin:
- sahibi;
- təsdiq edilmiş istifadəçilər və ya rollar;
- giriş səbəbi;
- normal giriş metodu;
- baxış cədvəli;
- offboarding sahibi.
Hətta sadə bir cədvəl yaddaşa güvənməkdən daha yaxşıdır.
3. Həssas girişdən əvvəl şəxsiyyət yoxlamaları qoyun
Zero Trust şəxsiyyəti əsas giriş siqnalı kimi qəbul edir. Kiçik bir komanda üçün ilk təkmilləşdirmə çox vaxt əsas, lakin dəyərlidir: unikal hesablar, çoxfaktorlu autentifikasiya və həssas alətlər üçün ortaq girişlərin olmaması.
Əgər VPN etimadnaməsi bütün komanda tərəfindən paylaşılırsa, mürəkkəblik əlavə etməzdən əvvəl həmin nümunəni düzəldin. Paylaşılan giriş offboardingi çətinləşdirir və məsuliyyəti zəiflədir. Alətin icazə verdiyi yerdə insanlara fərdi hesablar verin və bərpa üsullarını şirkətin nəzarəti altında saxlayın.
4. Cihaz gözləntilərini müəyyənləşdirin
Zero Trust həmçinin tələb olunan iş üçün cihaza etibar edilib-edilmədiyini soruşur. Kiçik bir komanda müəssisənin cihaz duruş yoxlamalarını həyata keçirməyə bilər, lakin o, yenə də minimum gözləntiləri müəyyən edə bilər:
- cari əməliyyat sistemi yeniləmələri;
- ekran kilidi aktivdir;
- idarəçi işi üçün ortaq ailə və ya ictimai cihaz yoxdur;
- parol meneceri quraşdırılıb;
- brauzer və iş proqramları yeniləndi;
- itirilmiş cihaz prosesi məlumdur;
- kimsə ayrıldıqda şəxsi cihazlar girişdən çıxarıldı.
Məsələ mükəmməl cihaz təhlükəsizliyini iddia etmək deyil. Bu, giriş üçün yeganə şərt kimi “parolun var” rəftarını dayandırmaqdır.
5. Kömək etdiyi yollar üçün VPN istifadə edin
Şəxsiyyət və cihaz əsasları daha aydın olduqdan sonra VPN-nin hara aid olduğuna qərar verin.
Bir çox kiçik komandalar üçün, komandanın qorunan əlaqə yoluna ehtiyacı olduqda VPN Unlimited by KeepSolid uzaqdan iş rejimində VPN qatı kimi uyğunlaşa bilər. Ətrafdakı qaydalar hələ də vacibdir: kim istifadə edə bilər, hansı resursları dəstəkləyir, nə vaxt aktiv olmalıdır və başqa hansı yoxlamalar tələb olunur.
Bu, “VPN yandırın və hər şey idarə olunur”dan daha sağlam bir modeldir.
Praktiki Giriş Modeli
Kiçik komandaların təhlükəsiz uzaqdan giriş planlaşdırması üçün istifadə edə biləcəyi sadə nümunə budur:
- İstifadəçi fərdi hesabla daxil olur.
- Çox faktorlu autentifikasiya həssas resurslar üçün tələb olunur.
- İctimai Wi-Fi, səyahət şəbəkələri və ya müəyyən edilmiş uzaqdan giriş ssenariləri ilə işləyərkən istifadəçi VPN vasitəsilə qoşulur.
- Həssas idarə panelləri təsdiq edilmiş istifadəçilər və ya rollarla məhdudlaşır.
- Admin girişi cədvəl üzrə nəzərdən keçirilir.
- İşdən çıxan işçilər və podratçılar hesablardan, VPN girişdən və icazə siyahılarından silinir.
- Hadisələr və şübhəli giriş sorğuları nəzərə alınmaq əvəzinə sənədləşdirilir.
Bu nümunə tam Zero Trust Arxitektura deyil. Bu, “bizdə VPN var”dan “biz kimin nəyə, hansı şərtlərdən və nəyə görə çata biləcəyini bilirik” arasında idarə edilə bilən bir körpüdür.
Zero Trust Miqrasiya zamanı ümumi səhvlər
Zero Trust məhsul mübadiləsi kimi qəbul edilir
Zero Trust sadəcə yeni giriş məhsulu deyil. CISA yetkinlik çərçivəsi miqrasiyaya səyahət kimi yanaşır və bu, kiçik komandalar üçün faydalı xatırlatmadır. Alətlər kömək edə bilər, lakin əməliyyat modeli vacibdir: inventar, şəxsiyyət, cihazlar, giriş siyasəti, görünmə və davamlı nəzərdən keçirmə.
Köhnə ortaq giriş vərdişlərini saxlamaq
Paylaşılan hesablar kimsə tərk edənə, cihaz itirilənə və ya komanda nə baş verdiyini anlamayana qədər rahatdır. Əgər resurs vacibdirsə, fərdi giriş defolt olmalıdır.
VPN həddən artıq səlahiyyət vermək
VPN bağlantısı avtomatik olaraq hər resursun kilidini açmamalıdır. Yeganə qayda “qoşulmuş etibarlıdır”dırsa, komanda həqiqətən giriş modelini dəyişməyib.
Podratçıları unutmaq
Podratçılar tez-tez dar bir iş üçün sürətli girişə ehtiyac duyurlar. Bu, onları daha yaxşı qaydalar üçün yaxşı bir sınaq halına gətirir: məhdud resurslar, aydın başlanğıc və bitmə tarixləri, adı çəkilən sahibi və iş bitdikdə təmiz silinmə.
Yazı qaydalarına heç kəs əməl edə bilməz
Kiçik komandaların darıxdırıcı, təkrarlanan vərdişlərə ehtiyacı var. Proses hər giriş qərarı üçün təhlükəsizlik mütəxəssisi tələb edərsə, insanlar onun ətrafında marşrutlaşdıracaqlar. Həqiqətən qoruya biləcəyiniz nəzarətlərlə başlayın.
Kiçik Komandalar üçün Sadə Yoxlama Siyahısı
Uzaqdan girişi genişləndirməzdən əvvəl bu yoxlama siyahısından istifadə edin:
- Hansı resursların həssas olduğunu bilirikmi?
- Hər kəs fərdi hesabdan istifadə edirmi?
- Çox faktorlu autentifikasiya ən vacib olan yerdə aktivdirmi?
- Admin işi üçün hansı cihazların məqbul olduğunu bilirikmi?
- İctimai Wi-Fi və ya müəyyən edilmiş giriş yolları üçün VPN istifadəsi tələb olunurmu?
- SaaS icazə siyahıları, admin panelləri və daxili alətlər düzgün insanlarla məhdudlaşır?
- Podratçıların başlanğıc tarixləri, bitmə tarixləri və giriş sahibləri varmı?
- Kimsə gedəndə girişi tez aradan qaldırırıq?
- Heç olmasa arabir icazələri nəzərdən keçiririk?
- VPN nə etdiyini və nə etmədiyini bilirik?
Əgər bir neçə cavab “yox”dursa, növbəti addım mütləq daha böyük bir vasitə deyil. Bu, daha aydın sahiblik və daha az lazımsız icazə ola bilər.
Tez-tez verilən suallar
VPN Zero Trust ilə eynidirmi?
Xeyr. VPN şifrələnmiş əlaqə yolunu təmin edə bilər, lakin Zero Trust istifadəçilərə, cihazlara, resurslara, siyasətə və yoxlamaya yönəlmiş daha geniş təhlükəsizlik yanaşmasıdır. VPN bütün sistem deyil, bu yanaşma daxilində bir təbəqə ola bilər.
Kiçik komandalar Zero Trust miqrasiya zamanı VPNs istifadə etməyi dayandırmalıdırlar?
Avtomatik deyil. VPN hələ də uzaqdan işi, ictimai Wi-Fi mühafizəsini, proqnozlaşdırıla bilən giriş yollarını və admin iş axınlarını dəstəkləyə bilər. Daha yaxşı addım VPN-nin harada kömək etdiyini müəyyən etmək və ətrafına şəxsiyyət, cihaz və icazə nəzarətlərini əlavə etməkdir.
Kiçik komanda üçün ilk Zero Trust addımı nədir?
Həssas mənbələri və hər birinə ehtiyacı olanları siyahıya salmaqla başlayın. Mümkünsə, paylaşılan girişi silin, vacib hesablar üçün çoxfaktorlu autentifikasiyanı aktivləşdirin və real iş ehtiyacları üçün icazələri daraltın.
Zero Trust müəssisə infrastrukturu tələb edirmi?
Başlanğıcda deyil. Yetkin Zero Trust proqramları mürəkkəb ola bilər, lakin kiçik komandalar resurs inventarları, fərdi hesablar, çoxfaktorlu autentifikasiya, cihaz gözləntiləri, giriş rəyləri və daha aydın VPN istifadə qaydaları ilə başlaya bilər.
VPN təhlükəsiz uzaqdan girişə zəmanət verə bilərmi?
Xeyr. VPN uzaqdan giriş gigiyenasının faydalı hissəsi ola bilər, lakin o, təhlükəsizliyə zəmanət verə və ya hesabın qorunmasını, cihaz yeniləmələrini, fişinq müqavimətini, icazələrin idarə edilməsini, monitorinqi və ya yaxşı offboardingi əvəz edə bilməz.
Alt xətt
Sıfır etibar miqrasiyasına hər tanış aləti atmaqla başlamaq lazım deyil. Kiçik bir komanda üçün daha faydalı başlanğıc nöqtəsi hər bir alətin nəyə cavabdeh olduğunu müəyyən etməkdir.
Şifrələnmiş, proqnozlaşdırıla bilən uzaqdan giriş yolunun kömək etdiyi yerdə VPN istifadə edin. Şəxsiyyət yoxlamaları əlavə edin ki, giriş paylaşılan etimadnamələrə deyil, real insanlara məxsusdur. Cihaz gözləntilərini təyin edin. Dar icazələr. Həssas resurslara kimin çata biləcəyini nəzərdən keçirin. İş bitdikdə girişi silin.
Beləliklə, VPN bütün Zero Trust proqramı kimi görünmədən Zero Trust düşüncəsinə uyğunlaşa bilər.