Мали тимови се често сусрећу са Zero Trust кроз неуредно, практично питање: „Већ користимо VPN за даљински рад. Да ли морамо да га заменимо?“
Боље питање је обично уже. Шта би VPN и даље требало да ради, а шта би требало да се премести у идентитет, уређај, политику, надгледање и правила приступа око њега?
Ту почиње практична Zero Trust миграција. Не почиње слоганом или огромном одлуком платформе. Почиње третирањем сваке удаљене везе као захтева којем је потребан контекст: ко се повезује, са ког уређаја, на који ресурс и за коју сврху.
Шта Zero Trust мења у вези са даљинским приступом
NIST описује Zero Trust као помак од ослањања на статички мрежни периметар и ка заштити корисника, имовине и ресурса. На једноставном енглеском, „на мрежи“ не би требало аутоматски да значи да особа или уређај добијају широк приступ.
За мали тим, та идеја је важна јер се даљински рад ретко дешава из једне чисте канцеларијске мреже. Људи се повезују од куће, хотела, цоворкинг простора, мобилних приступних тачака, клијентских сајтова и личних уређаја. Извођачима је можда потребна једна контролна табла, али не и остатак окружења компаније. Оснивачу ће можда требати админ панел док путује. Тим за подршку можда треба стабилан приступни пут, али само за ограничен скуп алата.
То је прави пословни проблем који стоји иза даљинског приступа без поверења: тиму је потребна корисна даљинска повезаност без третирања сваке успешне везе као широког поверења.
Где VPN још увек одговара
VPN и даље може бити користан у овом моделу. Може да креира шифровану мрежну путању, да помогне да приступне руте буду предвидљивије и да подржи токове посла где је стабилна изворна ИП адреса или заштићена веза део оперативне рутине.
На пример, мали тим би могао да користи VPN када:
- приступ администраторским контролним таблама са јавних или заједничких мрежа;
- повезивање извођача кроз дефинисану путању даљинског приступа;
- одржавање SaaS листе дозвољених понашања предвидљивијим;
- одвајање радног саобраћаја од локалног Ви-Фи излагања;
- смањење случајног приступа из хотела, аеродрома или цоворкинг простора.
Важна ствар је да впн и нулто поверење не треба да буду уоквирени као избор који победник узима све. VPN одговара на један део приступног питања: како саобраћај путује између корисника и ресурса. Zero Trust размишљање поставља додатна питања пре и после постојања те везе.
Шта од VPN не треба тражити да уради
Проблеми почињу када VPN постане једина капија.
Ако сви деле један акредитив, тим не може лако рећи ко се повезао. Ако сваки корисник дође до сваког интерног ресурса након повезивања, VPN путања је преширока. Ако уређаји нису закрпљени, заштићени или искључени, веза може изгледати легитимно док крајња тачка остаје ризична. Ако нема прегледа коме је потребан приступ, старе дозволе се гомилају.
VPN такође не замењује:
- вишефакторска аутентификација;
- менаџер лозинки и јединствене лозинке;
- ажурирања уређаја и хигијена крајње тачке;
- укидање рачуна;
- дозволе засноване на улози;
- пхисхинг свест;
- праћење и преглед евиденције;
- јасна правила за приступ извођача и администратора.
Ово не чини VPN застарелим. То значи да VPN треба да има дефинисан посао унутар ширег плана приступа.
Миграција малог тима ка Zero Trust моделу без прекомерне изградње
Велике организације могу користити детаљне моделе зрелости и шире програме архитектуре безбедног приступа. Мали тимови могу да позајмљују принципе без претварања да имају исто особље, буџет или инфраструктуру.
Почните са овим корацима.
1. Наведите ресурсе до којих људи заиста долазе
Запишите системе којима приступају удаљени радници, администратори, извођачи радова и оснивачи. Нека буде конкретно:
- администраторске контролне табле;
- спремишта кодова или окружења за постављање;
- финансијски алати;
- системи подршке корисницима;
- системи за управљање садржајем;
- дељено складиште у облаку;
- интерне апликације;
- SaaS налози са осетљивим подешавањима.
Немојте почињати са „мрежом“ као једном великом ствари. Почните са ресурсима. Ово се поклапа са идејом Zero Trust да заштита треба да се фокусира на оно што људи покушавају да користе, а не само на то одакле се повезују.
2. Мапирајте коме је потребан сваки ресурс
Затим питајте коме је заиста потребан приступ. Извођачу који уређује копију производа можда неће бити потребна контролна табла за обрачун. Тим за подршку ће можда требати кориснички алат, али не и приступ регистру домена. Програмеру ће можда требати приступ фази, али не и сваки производни административни панел.
Овде приступ са најмањим привилегијама постаје практичан. Циљ није учинити рад болним. Циљ је да се уклоне дозволе које нико не може да брани.
За сваки ресурс дефинишите:
- власник;
- одобрени корисници или улоге;
- разлог приступа;
- нормалан начин приступа;
- распоред прегледа;
- власник ван брода.
Чак је и једноставна табела боља од ослањања на меморију.
3. Ставите проверу идентитета пре осетљивог приступа
Zero Trust третира идентитет као основни приступни сигнал. За мали тим, прво побољшање је често основно, али драгоцено: јединствени налози, вишефакторска аутентификација и нема заједничких пријава за осетљиве алате.
Ако цео тим дели VPN акредитив, поправите тај образац пре додавања сложености. Заједнички приступ отежава искључивање и слаби одговорност. Дајте људима индивидуалне налоге где год алат то дозвољава и држите методе опоравка под контролом компаније.
4. Дефинишите очекивања уређаја
Zero Trust такође пита да ли уређају треба веровати за тражени посао. Мали тим можда неће покренути проверу положаја уређаја предузећа, али и даље може да дефинише минимална очекивања:
- актуелна ажурирања оперативног система;
- закључавање екрана омогућено;
- нема заједничког породичног или јавног уређаја за рад администратора;
- инсталиран менаџер лозинки;
- прегледач и радне апликације ажурирани;
- познат процес изгубљеног уређаја;
- лични уређаји уклоњени из приступа када неко оде.
Поента није тражити савршену сигурност уређаја. То је да престанете да третирате „има лозинку“ као једини услов за приступ.
5. Користите VPN за путање где помаже
Када су основе идентитета и уређаја јасније, одлучите где припада VPN.
За многе мале тимове, VPN Unlimited by KeepSolid може да стане као VPN слој у рутини рада на даљину када је тиму потребна заштићена путања везе. Околна правила су и даље важна: ко може да га користи, које ресурсе подржава, када треба да буде укључен и које друге провере су потребне.
То је здравији модел од „укључите VPN и све је решено“.
Практични образац приступа
Ево једноставног обрасца који мали тимови могу да користе за планирање безбедног даљинског приступа:
- Корисник се пријављује са индивидуалним налогом.
- Вишефакторска аутентификација је потребна за осетљиве ресурсе.
- Корисник се повезује преко VPN када ради са јавне Ви-Фи мреже, путних мрежа или дефинисаних сценарија даљинског приступа.
- Осетљиве контролне табле су ограничене на одобрене кориснике или улоге.
- Приступ администратора се прегледа према распореду.
- Запослени и извођачи који одлазе се уклањају са налога, приступа VPN и листа дозвољених.
- Инциденти и сумњиви упити за пријаву се документују уместо да се игноришу.
Овај образац није потпуна Zero Trust архитектура. То је мост којим се може управљати од „имамо VPN“ до „знамо ко шта може да стигне, под којим условима и зашто“.
Уобичајене грешке током Zero Trust миграције
Третирање Zero Trust-а као замене производа
Zero Trust није само нови приступни производ. Уоквиривање зрелости CISA третира миграцију као путовање, што је користан подсетник за мање тимове. Алати могу помоћи, али оперативни модел је битан: инвентар, идентитет, уређаји, политика приступа, видљивост и текући преглед.
Задржавање старих навика заједничког приступа
Заједнички налози су згодни док неко не оде, док се уређај не изгуби или тим не треба да разуме шта се догодило. Ако је ресурс битан, индивидуални приступ би требало да буде подразумевани.
Давање VPN превише овлашћења
VPN веза не би требало аутоматски да откључа сваки ресурс. Ако је једино правило „повезан једнако поуздан“, тим заправо није променио свој модел приступа.
Заборављам извођаче радова
Извођачима често је потребан брз приступ за уски посао. То их чини добрим тестним случајем за боља правила: ограничени ресурси, јасни датуми почетка и завршетка, именовани власник и чисто уклањање када се посао заврши.
Правила писања која нико не може да поштује
Малим тимовима су потребне досадне, поновљиве навике. Ако процес захтева стручњака за безбедност за сваку одлуку о пријављивању, људи ће га обилазити. Почните са контролама које заиста можете одржавати.
Једноставна контролна листа за мале тимове
Користите ову контролну листу пре него што проширите даљински приступ:
– Да ли је вишефакторска аутентификација омогућена тамо где је најважнија?
– Да ли су SaaS листе дозвољених, администраторске контролне табле и интерни алати ограничени на праве људе? – Да ли извођачи имају датуме почетка, датуме завршетка и власнике приступа?
- Да ли знамо који су ресурси осетљиви?
- Да ли свака особа користи индивидуални налог?
- Да ли знамо који уређаји су прихватљиви за рад администратора?
- Да ли је VPN потребна употреба за јавни Ви-Фи или дефинисане приступне путање?
- Да ли брзо уклањамо приступ када неко оде?
- Да ли бар повремено прегледамо дозволе?
- Да ли знамо шта VPN ради, а шта не?
Ако је неколико одговора „не“, следећи корак није нужно већи алат. Можда је јасније власништво и мање непотребних дозвола.
ФАК
Да ли је VPN исто што и Zero Trust?
Не. VPN може да обезбеди шифровану путању везе, али Zero Trust је шири безбедносни приступ фокусиран на кориснике, уређаје, ресурсе, смернице и верификацију. VPN може бити један слој унутар тог приступа, а не цео систем.
Да ли мали тимови треба да престану да користе VPN-ове током Zero Trust миграције?
Не аутоматски. VPN и даље може да подржава даљински рад, јавну Ви-Фи заштиту, предвидљиве приступне путање и токове рада администратора. Бољи потез је да дефинишете где VPN помаже и додате контроле идентитета, уређаја и дозвола око њега.
Који је први Zero Trust корак за мали тим?
Почните тако што ћете навести осетљиве ресурсе и коме је сваки потребан. Затим уклоните дељени приступ где је то могуће, омогућите вишефакторску аутентификацију за важне налоге и сузите дозволе на стварне потребе посла.
Да ли Zero Trust захтева инфраструктуру предузећа?
Не на почетку. Зрели Zero Trust програми могу постати сложени, али мали тимови могу почети са инвентаром ресурса, појединачним налозима, вишефакторском аутентификацијом, очекивањима уређаја, прегледима приступа и јаснијим правилима коришћења VPN.
Може ли VPN гарантовати безбедан даљински приступ?
Не. VPN може бити користан део хигијене даљинског приступа, али не може да гарантује безбедност нити да замени заштиту налога, ажурирања уређаја, отпорност на крађу идентитета, управљање дозволама, надгледање или добар оффбоардинг.
Закључак
Миграција без поверења не мора да почне одбацивањем сваког познатог алата. За мали тим, кориснија почетна тачка је дефинисање за шта је сваки алат одговоран.
Користите VPN где помаже шифрована, предвидљива путања за даљински приступ. Додајте провере идентитета тако да приступ припада стварним људима, а не дељеним акредитивима. Поставите очекивања уређаја. Уске дозволе. Прегледајте ко може да дође до осетљивих ресурса. Уклоните приступ када се посао заврши.
Тако се VPN може уклопити у Zero Trust размишљање без претварања да је цео програм Zero Trust.