Шағын командалар Zero Trust-мен жиі ретсіз, практикалық сұрақ арқылы кездеседі: «Біз қашықтан жұмыс істеу үшін VPN қолданамыз. Оны ауыстыруымыз керек пе?»
Жақсы сұрақ әдетте тар. VPN әлі де не істеуі керек және оның айналасындағы идентификацияға, құрылғыға, саясатқа, бақылауға және кіру ережелеріне не ауысуы керек?
Дәл осы жерден практикалық Zero Trust көшіру басталады. Ол ұранмен немесе алып платформа шешімімен басталмайды. Ол әрбір қашықтағы қосылымды мәтінмәнді қажет ететін сұрау ретінде қарастырудан басталады: кім қосылып жатыр, қай құрылғыдан, қай ресурсқа және қандай мақсатта.
Қашықтан қол жеткізуге қатысты Zero Trust нені өзгертеді
NIST Zero Trust тұрақты желі периметріне сенуден бас тарту және пайдаланушыларды, активтерді және ресурстарды қорғауға қарай жылжу ретінде сипаттайды. Қарапайым ағылшын тілінде «желіде» болу автоматты түрде адамның немесе құрылғының кең қол жетімділігін білдірмеуі керек.
Шағын команда үшін бұл идея маңызды, өйткені қашықтан жұмыс бір таза кеңсе желісінен сирек орындалады. Адамдар үйден, қонақүйлерден, коворкингтерден, мобильді хотспоттардан, клиенттік сайттардан және жеке құрылғылардан қосылады. Мердігерлерге бір бақылау тақтасы қажет болуы мүмкін, бірақ компания ортасының қалған бөлігі қажет емес. Саяхаттау кезінде құрылтайшыға әкімші панелі қажет болуы мүмкін. Қолдау көрсету тобының серіктесіне тұрақты кіру жолы қажет болуы мүмкін, бірақ шектеулі құралдар жиынтығы үшін ғана.
Бұл нөлдік сенімді қашықтан қол жеткізудің артындағы нақты бизнес мәселесі: командаға әрбір сәтті қосылымды кең сенім ретінде қарастырмай-ақ пайдалы қашықтан қосылу қажет.
VPN әлі де сәйкес келетін жерде
VPN бұл үлгіде әлі де пайдалы болуы мүмкін. Ол шифрланған желі жолын жасай алады, қатынау бағыттарын болжамды етуге көмектеседі және тұрақты бастапқы IP немесе қорғалған қосылым жұмыс тәртібінің бөлігі болып табылатын жұмыс процестерін қолдайды.
Мысалы, шағын команда VPN сөзін келесі жағдайларда пайдалана алады:
- жалпы немесе ортақ желілерден әкімші бақылау тақталарына қол жеткізу;
- анықталған қашықтан қол жеткізу жолы арқылы мердігерлерді қосу;
- SaaS рұқсат етілген тізім әрекетін болжамды түрде сақтау;
- жергілікті Wi-Fi әсерінен жұмыс трафигін бөлу;
- қонақ үйлерден, әуежайлардан немесе коворкинг кеңістіктерінен кірудің кездейсоқтығын азайту.
Маңызды мәселе — vpn және нөлдік сенім барлығын жеңетін таңдау ретінде қарастырылмауы керек. VPN рұқсат сұрағының бір бөлігіне жауап береді: трафик пайдаланушы мен ресурс арасында қалай жүреді. Zero Trust ойлау осы байланыс болғанға дейін және одан кейін қосымша сұрақтар қояды.
VPN-нен нені талап етпеу керек
Мәселелер VPN жалғыз қақпаға айналғанда басталады.
Егер барлығы бір тіркелгі деректерін бөліссе, топ кімнің қосылғанын оңай анықтай алмайды. Қосылғаннан кейін әрбір пайдаланушы әрбір ішкі ресурсқа жетсе, VPN жолы тым кең. Құрылғылар түзетілмеген, қорғалмаған немесе өшірілмеген болса, соңғы нүкте қауіпті болып қала бергенде, қосылым заңды болып көрінуі мүмкін. Кімге рұқсат қажет екендігі туралы шолу болмаса, ескі рұқсаттар жиналады.
VPN да ауыстырмайды:
- көп факторлы аутентификация;
- пароль менеджері және бірегей құпия сөздер;
- құрылғыны жаңарту және соңғы нүкте гигиенасы;
- шоттан шығару;
- рөлге негізделген рұқсаттар;
- фишингтен хабардар болу;
- бақылау және журналды тексеру;
- мердігерге және әкімшіге кіруге арналған нақты ережелер.
Бұл VPN ескірмейді. Бұл VPN кеңірек қол жеткізу жоспарында анықталған тапсырма болуы керек дегенді білдіреді.
Шағын командаға арналған артық күрделендірілмеген Zero Trust көші-қоны
Ірі ұйымдар егжей-тегжейлі жетілу үлгілерін және қауіпсіз қол жеткізу архитектурасының кеңірек бағдарламаларын пайдалана алады. Шағын командалар бірдей персонал, бюджет немесе инфрақұрылым бар деп көрсетпестен принциптерді қарызға ала алады.
Осы қадамдардан бастаңыз.
1. Адамдар шынымен қол жеткізе алатын ресурстарды тізімдеңіз
Қашықтағы жұмысшылар, әкімшілер, мердігерлер және құрылтайшылар қол жеткізе алатын жүйелерді жазыңыз. Оны нақты ұстаңыз:
- басқару тақталары;
- код репозиторийлері немесе кезеңдік орталар;
- қаржы құралдары;
- тұтынушыларды қолдау жүйелері;
- мазмұнды басқару жүйелері;
- ортақ бұлтты сақтау;
- ішкі қолданбалар;
- SaaS құпия параметрлері бар тіркелгілер.
Бір үлкен нәрсе ретінде «желіден» бастамаңыз. Ресурстардан бастаңыз. Бұл Zero Trust идеясына сәйкес, қорғаныс адамдар қай жерден қосылса ғана емес, нені пайдаланғысы келетініне назар аудару керек.
2. Әрбір ресурс кімге қажет екенін картадан көрсетіңіз
Содан кейін кімге шынымен кіру керек екенін сұраңыз. Өнімнің көшірмесін өңдейтін мердігер төлем бақылау тақтасын қажет етпеуі мүмкін. Қолдау көрсету тобының әріптесіне тұтынушы құралы қажет болуы мүмкін, бірақ домен тіркеушісінің рұқсаты қажет емес. Әзірлеушіге кезеңдік қатынас қажет болуы мүмкін, бірақ әрбір өндірістік басқару тақтасы емес.
Бұл жерде ең аз артықшылыққа қол жеткізу практикалық болады. Мақсат — жұмысты ауыртпау. Мақсат — ешкім қорғай алмайтын рұқсаттарды жою.
Әрбір ресурс үшін мыналарды анықтаңыз:
- иесі;
- бекітілген пайдаланушылар немесе рөлдер;
- қол жеткізу себебі;
- қалыпты қол жеткізу әдісі;
- қарау кестесі;
- оффбордтың иесі.
Тіпті қарапайым электрондық кесте де жадқа сүйенгеннен жақсы.
3. Сезімтал қатынас алдында сәйкестендіру тексерулерін қойыңыз
Zero Trust сәйкестікті негізгі кіру сигналы ретінде қарастырады. Шағын команда үшін бірінші жақсарту жиі қарапайым, бірақ құнды: бірегей тіркелгілер, көп факторлы аутентификация және сезімтал құралдар үшін ортақ логиндердің болмауы.
VPN тіркелгі деректерін бүкіл топ ортақ пайдаланса, күрделілікті қоспас бұрын сол үлгіні түзетіңіз. Ортақ қол жеткізу офбортты қиындатады және жауапкершілікті әлсіретеді. Құрал мүмкіндік беретін жерде адамдарға жеке шоттарды беріңіз және қалпына келтіру әдістерін компанияның бақылауында ұстаңыз.
4. Құрылғы күтулерін анықтаңыз
Zero Trust сонымен қатар сұралған жұмыс үшін құрылғыға сену керектігін сұрайды. Шағын топ кәсіпорын құрылғысының қалпын тексеруді орындамауы мүмкін, бірақ ол әлі де ең аз күтулерді анықтай алады:
- операциялық жүйенің ағымдағы жаңартулары;
- экран құлпы қосулы;
- әкімші жұмысы үшін ортақ отбасы немесе қоғамдық құрылғы жоқ;
- пароль менеджері орнатылған;
- браузер және жұмыс қолданбалары жаңартылды;
- құрылғының жоғалу процесі белгілі;
- біреу кеткен кезде қол жеткізуден жойылған жеке құрылғылар.
Мәселе құрылғының мінсіз қауіпсіздігін талап ету емес. Бұл қол жеткізудің жалғыз шарты ретінде «құпия сөз бар» деп қарауды тоқтату.
5. Ол көмектесетін жолдар үшін VPN пайдаланыңыз
Сәйкестік және құрылғы негіздері анық болғаннан кейін, VPN қай жерге жататынын шешіңіз.
Көптеген шағын командалар үшін VPN Unlimited by KeepSolid командаға қорғалған қосылым жолы қажет болғанда қашықтан жұмыс істеу тәртібіндегі VPN қабаты ретінде сәйкес келуі мүмкін. Айналадағы ережелер әлі де маңызды: оны кім пайдалана алады, ол қандай ресурстарды қолдайды, қашан қосулы болуы керек және басқа қандай тексерулер қажет.
Бұл «VPN қосыңыз және бәрі өңделеді» дегеннен гөрі пайдалы модель.
Практикалық қатынас үлгісі
Қашықтан қол жеткізуді қауіпсіз жоспарлау үшін шағын командалар пайдалана алатын қарапайым үлгі:
- Пайдаланушы жеке тіркелгімен кіреді.
- Сезімтал ресурстар үшін көп факторлы аутентификация қажет.
- Пайдаланушы қоғамдық Wi-Fi, саяхат желілері немесе анықталған қашықтан қол жеткізу сценарийлері арқылы жұмыс істегенде VPN арқылы қосылады.
- Сезімтал бақылау тақталары бекітілген пайдаланушылармен немесе рөлдермен шектеледі.
- Әкімші рұқсаты кесте бойынша қаралады.
- Кететін қызметкерлер мен мердігерлер тіркелгілерден, VPN рұқсатынан және рұқсат етілген тізімдерден жойылады.
- Оқиғалар мен күдікті кіру сұраулары еленбеудің орнына құжатталады.
Бұл үлгі толық Zero Trust архитектурасы емес. Бұл «бізде VPN бар» дегеннен «біз кімнің не, қандай жағдайдан және неге қол жеткізе алатынын білеміз» деген басқарылатын көпір.
Zero Trust көші-қон кезіндегі жалпы қателер
Zero Trust өнімді айырбас ретінде қарастыру
Zero Trust — жай ғана жаңа қолжетімді өнім емес. CISA жетілгендік шеңбері көші-қонды саяхат ретінде қарастырады, бұл кішірек командалар үшін пайдалы еске салу. Құралдар көмектесе алады, бірақ операциялық үлгі маңызды: түгендеу, сәйкестік, құрылғылар, кіру саясаты, көріну және ағымдағы шолу.
Бұрынғы ортақ қол жеткізу әдеттерін сақтау
Біреу кеткенше, құрылғы жоғалғанша немесе топ не болғанын түсінгенше ортақ тіркелгілер ыңғайлы. Ресурс маңызды болса, жеке қатынас әдепкі болуы керек.
VPN тым көп өкілеттік беру
VPN қосылымы әрбір ресурстың құлпын автоматты түрде ашпауы керек. Жалғыз ереже «қосылған сенімдіге тең» болса, топ өзінің қатынас үлгісін шынымен өзгерткен жоқ.
Мердігерлерді ұмыту
Мердігерлер жиі тар жұмысқа жылдам қол жеткізуді қажет етеді. Бұл оларды жақсырақ ережелер үшін жақсы сынақ жағдайына айналдырады: шектеулі ресурстар, нақты басталу және аяқталу күндері, атаулы иесі және жұмыс аяқталған кезде таза жою.
Жазу ережелерін ешкім ұстана алмайды
Шағын командаларға жалықтыратын, қайталанатын әдеттер қажет. Процесс әрбір кіру шешімі үшін қауіпсіздік маманын қажет етсе, адамдар оны айналып өтеді. Сіз шынымен сақтай алатын басқару элементтерінен бастаңыз.
Шағын командаларға арналған қарапайым бақылау тізімі
Қашықтан қол жеткізуді кеңейту алдында осы бақылау тізімін пайдаланыңыз:
- Қандай ресурстар сезімтал екенін білеміз бе?
- Әр адам жеке аккаунтты пайдалана ма?
- Көп факторлы аутентификация ең маңызды жерде қосылды ма?
- Әкімші жұмысы үшін қандай құрылғылар қолайлы екенін білеміз бе?
- VPN пайдалану жалпыға ортақ Wi-Fi немесе анықталған кіру жолдары үшін қажет пе?
- SaaS рұқсат тізімдері, әкімші бақылау тақталары және ішкі құралдар дұрыс адамдармен шектелген бе?
- Мердігерлердің басталу күндері, аяқталу күндері және рұқсат иелері бар ма?
- Біреу кеткенде рұқсатты тез алып тастаймыз ба?
- Рұқсаттарды анда-санда тексереміз бе?
- Біз VPN не істейтінін және не істемейтінін білеміз бе?
Бірнеше жауап «жоқ» болса, келесі қадам міндетті түрде үлкенірек құрал емес. Бұл нақтырақ иелік және қажетсіз рұқсаттар аз болуы мүмкін.
Жиі қойылатын сұрақтар
VPN Zero Trust бірдей ме?
Жоқ. VPN шифрланған қосылым жолын қамтамасыз ете алады, бірақ Zero Trust пайдаланушыларға, құрылғыларға, ресурстарға, саясатқа және тексеруге бағытталған кеңірек қауіпсіздік тәсілі. VPN бүкіл жүйенің емес, осы тәсілдің ішіндегі бір қабат болуы мүмкін.
Шағын командалар Zero Trust көші-қон кезінде VPN пайдалануды тоқтатуы керек пе?
Автоматты емес. VPN әлі де қашықтағы жұмысты, жалпы Wi-Fi қорғанысын, болжамды кіру жолдарын және әкімші жұмыс үрдістерін қолдай алады. Ең жақсы қадам — VPN қай жерде көмектесетінін анықтау және оның айналасына сәйкестендіру, құрылғы және рұқсатты басқару элементтерін қосу.
Шағын команда үшін бірінші Zero Trust қадамы қандай?
Сезімтал ресурстарды тізімдеуден бастаңыз және олардың әрқайсысы кімге қажет. Содан кейін мүмкіндігінше ортақ қолжетімділікті жойыңыз, маңызды тіркелгілер үшін көп факторлы аутентификацияны қосыңыз және нақты жұмыс қажеттіліктеріне рұқсаттарды тарылтыңыз.
Zero Trust кәсіпорын инфрақұрылымын қажет ете ме?
Басында емес. Жетілген Zero Trust бағдарламалары күрделі болуы мүмкін, бірақ шағын топтар ресурстарды түгендеуден, жеке тіркелгілерден, көп факторлы аутентификациядан, құрылғы күтулерінен, кіру шолуларынан және VPN пайдалану ережелерінен бастай алады.
VPN қауіпсіз қашықтан қол жеткізуге кепілдік бере ала ма?
Жоқ. VPN қашықтан қол жеткізу гигиенасының пайдалы бөлігі болуы мүмкін, бірақ ол қауіпсіздікке кепілдік бере алмайды немесе есептік жазбаны қорғауды, құрылғы жаңартуларын, фишингке қарсы тұруды, рұқсаттарды басқаруды, бақылауды немесе жақсы шығуды алмастыра алмайды.
Төменгі сызық
Нөлдік сенім миграциясы барлық таныс құралдарды тастаудан басталуы керек емес. Кішкентай команда үшін ең пайдалы бастау нүктесі — әрбір құралдың не үшін жауапты екенін анықтау.
Шифрланған, болжамды қашықтан қол жеткізу жолы көмектесетін VPN пайдаланыңыз. Кіру ортақ тіркелгі деректеріне емес, нақты адамдарға тиесілі болуы үшін сәйкестік тексерулерін қосыңыз. Құрылғы күтулерін орнатыңыз. Тар рұқсаттар. Сезімтал ресурстарға кім қол жеткізе алатынын тексеріңіз. Жұмыс аяқталған кезде рұқсатты алып тастаңыз.
Осылайша, VPN Zero Trust бағдарламасының тұтастығын көрсетпей-ақ, Zero Trust ойлауға сәйкес келеді.