A kis csapatok gyakran találkoznak a Zero Trust kifejezéssel egy zűrös, gyakorlatias kérdésen keresztül: „Már használunk egy VPN-t távmunkához. Ki kell cserélni?”
A jobb kérdés általában szűkebb. Mit kell még kezelnie a VPN-nak, és mi kerüljön át az identitás-, eszköz-, házirend-, megfigyelési és hozzáférési szabályokba?
Itt kezdődik a gyakorlati Zero Trust migráció. Nem egy szlogennel vagy egy óriási platformdöntéssel kezdődik. Úgy kezdődik, hogy minden távoli kapcsolatot kérésként kezel, amelynek kontextusra van szüksége: ki csatlakozik, melyik eszközről, melyik erőforráshoz és milyen célból.
Mit változtat a Zero Trust a távelérésben?
A NIST a Zero Trust kifejezést úgy írja le, mint egy elmozdulást a statikus hálózati peremre támaszkodva a felhasználók, eszközök és erőforrások védelme felé. Magyarán, a „hálózaton” való tartózkodás nem jelentheti automatikusan azt, hogy egy személy vagy eszköz széles körű hozzáférést kap.
Egy kis csapat számára ez az ötlet számít, mert a távmunka már ritkán történik egyetlen tiszta irodai hálózatról. Az emberek otthonról, szállodákból, közös munkahelyekről, mobil hotspotokról, ügyféloldalakról és személyes eszközökről csatlakoznak. A vállalkozóknak szükségük lehet egy irányítópultra, de a vállalati környezet többi részére nem. Egy alapítónak szüksége lehet adminisztrátori panelre utazás közben. Előfordulhat, hogy a támogató csapattársnak stabil hozzáférési útvonalra van szüksége, de csak korlátozott eszközkészlethez.
Ez a valódi üzleti probléma a bizalom nélküli távoli hozzáférés mögött: a csapatnak hasznos távoli kapcsolatra van szüksége anélkül, hogy minden sikeres kapcsolatot széleskörű bizalomként kezelne.
Ahol a VPN még mindig elfér
A VPN továbbra is hasznos lehet ebben a modellben. Létrehozhat egy titkosított hálózati utat, segít kiszámíthatóbbá tenni a hozzáférési útvonalakat, és támogatja azokat a munkafolyamatokat, ahol a stabil forrás IP vagy védett kapcsolat része a működési rutinnak.
Például egy kis csapat használhat egy VPN kifejezést, amikor:
- az adminisztrátori irányítópultok elérése nyilvános vagy megosztott hálózatokról;
- a vállalkozók összekapcsolása meghatározott távoli elérési útvonalon keresztül;
- az SaaS engedélyezési lista viselkedésének kiszámíthatóbban tartása;
- a munkahelyi forgalom elkülönítése a helyi Wi-Fi kitettségtől;
- a szállodákból, repülőterekről vagy coworking terekből való bejutás véletlenszerűségének csökkentése.
A lényeg az, hogy a vpn-t és a nulla bizalmat nem szabad úgy beállítani, hogy a győztes mindent visz. A VPN a hozzáférési kérdés egy részére válaszol: hogyan halad a forgalom a felhasználó és az erőforrás között. A Zero Trust gondolkodás további kérdéseket tesz fel a kapcsolat fennállása előtt és után.
Mit nem szabad megkérni egy VPN kifejezésre
A problémák akkor kezdődnek, amikor egy VPN lesz az egyetlen kapu.
Ha mindenki megoszt egy hitelesítő adatot, a csapat nem tudja könnyen megmondani, ki csatlakozott. Ha a csatlakozás után minden felhasználó elér minden belső erőforrást, akkor a VPN elérési út túl széles. Ha az eszközök nincsenek javítva, védve vagy offboardon, a kapcsolat legitimnek tűnhet, miközben a végpont kockázatos marad. Ha nem vizsgálják meg, hogy kinek van szüksége hozzáférésre, felhalmozódnak a régi engedélyek.
A VPN szintén nem helyettesíti a következőket:
- többtényezős hitelesítés;
- jelszókezelő és egyedi jelszavak;
- eszközfrissítések és végponthigiénia;
- fiók leállítása;
- szerep alapú engedélyek;
- adathalászat-tudatosság;
- monitoring és napló áttekintés;
- egyértelmű szabályok a vállalkozói és adminisztrátori hozzáférésre vonatkozóan.
Ez nem teszi a VPNs elavulttá. Ez azt jelenti, hogy a VPN definiált feladattal kell rendelkeznie egy szélesebb hozzáférési tervben.
Kiscsapat Zero Trust Migráció túlépítés nélkül
A nagy szervezetek részletes érettségi modelleket és szélesebb körű biztonságos hozzáférésű architektúra programokat használhatnak. A kis csapatok kölcsönözhetik az alapelveket anélkül, hogy úgy tennék, mintha azonos személyzettel, költségvetéssel vagy infrastruktúrával rendelkeznének.
Kezdje ezekkel a lépésekkel.
1. Sorolja fel azokat a forrásokat, amelyeket az emberek ténylegesen elérnek
Jegyezze fel azokat a rendszereket, amelyekhez a távoli dolgozók, adminisztrátorok, vállalkozók és alapítók hozzáférnek. Legyen konkrét:
- rendszergazdai irányítópultok;
- kódtárak vagy állomásozó környezetek;
- pénzügyi eszközök;
- ügyfélszolgálati rendszerek;
- tartalomkezelő rendszerek;
- megosztott felhőtárhely;
- belső alkalmazások;
- SaaS érzékeny beállításokkal rendelkező fiókok.
Ne kezdje azzal, hogy „a hálózat” egy nagy dolog. Kezdje az erőforrásokkal. Ez megfelel a Zero Trust elképzelésnek, miszerint a védelemnek arra kell összpontosítania, amit az emberek használni próbálnak, nem csak arra, hogy honnan csatlakoznak.
2. Térképezze fel, kinek van szüksége az egyes erőforrásokra
Ezután kérdezze meg, hogy kinek van szüksége valóban hozzáférésre. Előfordulhat, hogy a termékpéldányt szerkesztő vállalkozónak nincs szüksége a számlázási irányítópultra. Előfordulhat, hogy a támogatási csapattársnak ügyféleszközre van szüksége, de nem domainregisztrátori hozzáférésre. Előfordulhat, hogy egy fejlesztőnek szüksége van átmeneti hozzáférésre, de nem minden éles adminisztrációs panelre.
Itt válik gyakorlatiassá a legkevesebb privilégiumhoz való hozzáférés. A cél az, hogy ne legyen fájdalmas a munka. A cél az olyan engedélyek eltávolítása, amelyeket senki sem védhet meg.
Minden erőforráshoz határozza meg:
- tulajdonos;
- jóváhagyott felhasználók vagy szerepkörök;
- hozzáférés oka;
- normál hozzáférési mód;
- felülvizsgálati ütemterv;
- offboard tulajdonos.
Még egy egyszerű táblázat is jobb, mint a memóriára hagyatkozni.
3. Helyezze a személyazonosság-ellenőrzést az érzékeny hozzáférés elé
A Zero Trust az identitást alapvető hozzáférési jelként kezeli. Egy kis csapat számára az első fejlesztés gyakran alapvető, de értékes: egyedi fiókok, többtényezős hitelesítés, és nincs megosztott bejelentkezés az érzékeny eszközökhöz.
Ha a VPN hitelesítő adatot az egész csapat megosztja, javítsa ki a mintát, mielőtt bonyolultabbá tenné. A megosztott hozzáférés megnehezíti a kiszállást és gyengíti az elszámoltathatóságot. Adjon az embereknek egyéni fiókokat, ahol az eszköz ezt lehetővé teszi, és tartsa a helyreállítási módszereket a vállalat ellenőrzése alatt.
4. Határozza meg az eszköz elvárásait
A Zero Trust azt is megkérdezi, hogy az eszközt meg kell-e bízni a kért munkában. Előfordulhat, hogy egy kis csapat nem végez vállalati eszközhelyzet-ellenőrzést, de minimális elvárásokat továbbra is meghatározhat:
- az operációs rendszer aktuális frissítései;
- képernyőzár engedélyezve;
- nincs közös család vagy nyilvános eszköz adminisztrátori munkához;
- jelszókezelő telepítve;
- frissítve a böngésző és a munkahelyi alkalmazások;
- az eszköz elvesztésének folyamata ismert;
- a személyes eszközöket eltávolítják a hozzáférésből, amikor valaki távozik.
A lényeg nem az, hogy tökéletes eszközbiztonságot követeljünk. Ez az, hogy ne kezelje a „jelszóval rendelkezik” a hozzáférés egyetlen feltételeként.
5. Használja a VPN kifejezést azokhoz az elérési útokhoz, ahol ez segít
Miután az identitás és az eszköz alapjai tisztábbak, döntse el, hová tartozik a VPN.
Sok kis csapat esetében a VPN Unlimited by KeepSolid elfér VPN rétegként egy távoli munkarutinban, amikor a csapatnak védett kapcsolati útvonalra van szüksége. A környező szabályok továbbra is számítanak: ki használhatja, mely erőforrásokat támogatja, mikor kell bekapcsolni, és milyen egyéb ellenőrzésekre van szükség.
Ez egy egészségesebb modell, mint „kapcsold be a VPN-t, és minden megoldódik.”
Praktikus hozzáférési minta
Íme egy egyszerű minta, amelyet a kis csapatok használhatnak a biztonságos távoli hozzáférés tervezéséhez:
- A felhasználó egyéni fiókkal jelentkezik be.
- Többtényezős hitelesítés szükséges az érzékeny erőforrásokhoz.
- A felhasználó a VPN kifejezésen keresztül csatlakozik, amikor nyilvános Wi-Fi-ről, utazási hálózatokról vagy meghatározott távoli hozzáférési forgatókönyvekről dolgozik.
- Az érzékeny irányítópultok csak jóváhagyott felhasználókra vagy szerepkörökre használhatók.
- Az adminisztrátori hozzáférést ütemezetten felülvizsgálják.
- A távozó alkalmazottak és vállalkozók eltávolításra kerülnek a fiókokból, a VPN hozzáférésből és az engedélyezési listákból.
- Az incidenseket és a gyanús bejelentkezési felszólításokat a rendszer dokumentálja ahelyett, hogy figyelmen kívül hagyná őket.
Ez a minta nem egy teljes Zero Trust architektúra. Ez egy kezelhető híd a „van egy VPN”-tól a „tudjuk, hogy ki mit érhet el, milyen feltételek mellett és miért.”
Gyakori hibák a Zero Trust migráció során
A Zero Trust termékcsereként való kezelése
A Zero Trust nem csak egy új hozzáférési termék. A CISA érettségi keretezése a migrációt utazásként kezeli, ami hasznos emlékeztető a kisebb csapatok számára. Az eszközök segíthetnek, de a működési modell számít: készlet, identitás, eszközök, hozzáférési szabályzat, láthatóság és folyamatos felülvizsgálat.
A régi megosztott hozzáférési szokások megtartása
A megosztott fiókok kényelmesek mindaddig, amíg valaki el nem távozik, egy eszköz elvész, vagy a csapatnak meg kell értenie, mi történt. Ha egy erőforrás számít, az egyéni hozzáférés legyen az alapértelmezett.
Túl nagy felhatalmazás megadása a VPN kifejezésnek
A VPN kapcsolatnak nem szabad automatikusan feloldania minden erőforrás zárolását. Ha az egyetlen szabály az „összekapcsolt egyenlő megbízhatósággal”, a csapat valójában nem változtatott hozzáférési modelljén.
Elfelejtve a vállalkozókat
A vállalkozóknak gyakran szükségük van gyors hozzáférésre egy szűk munkához. Ez jó tesztpéldává teszi őket a jobb szabályokhoz: korlátozott erőforrások, egyértelmű kezdési és befejezési dátumok, megnevezett tulajdonos és tiszta eltávolítás a munka végén.
Az írási szabályokat senki sem tudja betartani
A kis csapatoknak unalmas, megismételhető szokásokra van szükségük. Ha a folyamat minden bejelentkezési döntéshez biztonsági szakembert igényel, az emberek körbejárják. Kezdje a ténylegesen karbantartható vezérlőkkel.
Egy egyszerű ellenőrzőlista kis csapatok számára
A távoli hozzáférés kiterjesztése előtt használja ezt az ellenőrzőlistát:
- Tudjuk, hogy mely források érzékenyek?
- Mindenki használ egyéni fiókot?
- Engedélyezve van a többtényezős hitelesítés ott, ahol ez a legfontosabb?
- Tudjuk, hogy mely eszközök alkalmasak adminisztrátori munkára?
- Szükséges a VPN használata nyilvános Wi-Fi-hez vagy meghatározott hozzáférési utakhoz?
- A SaaS engedélyezési listák, adminisztrátori irányítópultok és belső eszközök a megfelelő személyekre korlátozódnak?
- Rendelkeznek a vállalkozóknak kezdési dátumokkal, befejező dátumokkal és hozzáférési tulajdonosokkal?
- Gyorsan megszüntetjük a hozzáférést, ha valaki távozik?
- Legalább alkalmanként felülvizsgáljuk az engedélyeket?
- Tudjuk, hogy a VPN mit csinál és mit nem?
Ha több válasz is „nem”, akkor a következő lépés nem feltétlenül egy nagyobb eszköz. Lehet, hogy egyértelműbb a tulajdonjog és kevesebb a szükségtelen engedély.
GYIK
A VPN ugyanaz, mint a Zero Trust?
Nem. A VPN titkosított kapcsolati útvonalat biztosíthat, de a Zero Trust egy szélesebb körű biztonsági megközelítés, amely a felhasználókra, eszközökre, erőforrásokra, irányelvekre és ellenőrzésre összpontosít. Egy VPN lehet egy réteg a megközelítésen belül, nem az egész rendszer.
A kis csapatoknak abba kell hagyniuk a VPNs használatát a Zero Trust migráció során?
Nem automatikusan. A VPN továbbra is támogathatja a távoli munkát, a nyilvános Wi-Fi védelmet, a kiszámítható hozzáférési útvonalakat és a rendszergazdai munkafolyamatokat. A jobb lépés az, ha meghatározza, hol segít a VPN, és identitás-, eszköz- és engedélyvezérlőket ad hozzá.
Mi az első Zero Trust lépés egy kis csapat számára?
Kezdje azzal, hogy felsorolja az érzékeny forrásokat és kinek van szüksége mindegyikre. Ezután távolítsa el a megosztott hozzáférést, ahol lehetséges, engedélyezze a többtényezős hitelesítést a fontos fiókok számára, és szűkítse az engedélyeket a valós munkaigényekre.
A Zero Trust vállalati infrastruktúrát igényel?
Az elején nem. A kiforrott Zero Trust programok bonyolulttá válhatnak, de a kis csapatok kezdhetik az erőforrás-leltárt, az egyéni fiókokat, a többtényezős hitelesítést, az eszközelvárásokat, a hozzáférési felülvizsgálatokat és a világosabb VPN használati szabályokat.
Garantálhatja a VPN a biztonságos távoli hozzáférést?
Nem. A VPN a távelérési higiénia hasznos része lehet, de nem garantálja a biztonságot, és nem helyettesítheti a fiókvédelmet, az eszközfrissítéseket, az adathalászat elleni védelmet, az engedélykezelést, a felügyeletet vagy a megfelelő offboardozást.
A lényeg
A nulla bizalmi migrációt nem kell minden ismerős eszköz kidobásával kezdeni. Egy kis csapat számára hasznosabb kiindulópont annak meghatározása, hogy az egyes eszközök miért felelősek.
Használjon VPN kifejezést, ahol egy titkosított, kiszámítható távoli elérési út segít. Adjon hozzá személyazonosság-ellenőrzéseket, hogy a hozzáférés valós személyekhez férhessen hozzá, ne pedig megosztott hitelesítő adatokhoz. Állítsa be az eszköz elvárásait. Szűk engedélyek. Tekintse át, ki érheti el az érzékeny forrásokat. Távolítsa el a hozzáférést, amikor a munka véget ér.
Így fér bele egy VPN a Zero Trust gondolkodásba anélkül, hogy úgy tesz, mintha az egész Zero Trust program lenne.