Что такое сетевой доступ с нулевым доверием (ZTNA)?

• Глоссарий IAM
• Что такое сетевой доступ с нулевым доверием (ZTNA)?

Сетевой доступ с нулевым доверием (ZTNA) — это концепция сетевой безопасности, фокусирующаяся на поддержании строгого контроля доступа и механизмов аутентификации, независимо от того, находится ли пользователь или устройство внутри или за пределами периметра сети.

Как работает ZTNA

Не так давно большинство сотрудников работали почти исключительно локально, на территории организации, и там же располагалась большая часть компьютерного оборудования. По этим причинам модели сетевой безопасности исторически основывались на мерах безопасности на основе периметра, в которых предполагалось, что можно доверять любому устройству или пользователю, пытающемуся подключиться изнутри сетевого периметра.

Однако с ростом популярности облачных сервисов, мобильных устройств и удаленной работы современные сети больше не имеют «периметров». Теперь пользователи и устройства могут получать доступ к сетям практически из любого места.

В концепции ZTNA предполагается, что ни одному пользователю или устройству нельзя доверять изначально, даже если они уже находятся внутри периметра сети. Можно сказать, что исповедуется принцип «никогда не доверяй, всегда проверяй». Такой подход гарантирует, что каждый запрос на доступ аутентифицируется и авторизуется, независимо от местоположения пользователя или сети, которую он использует. ZTNA смещает акцент с защиты периметра сети на защиту отдельных ресурсов и данных.

Внедряя ZTNA, организации могут свести к минимуму поверхность атаки, улучшить обзорность и контроль доступа, а также повысить общий уровень безопасности. ZTNA также предоставляет пользователям более гибкий и безопасный удаленный доступ, поддерживает внедрение облачных сервисов и обеспечивает более эффективную модель безопасности для современных облачных сред данных.

Преимущества ZTNA

ZTNA — это современная и надежная концепция безопасности, которая соответствует современным гибридным рабочим ресурсам и средам данных и обеспечивает гораздо лучшую защиту, чем устаревшие модели доступа на основе периметра.

Вот основные преимущества внедрения ZTNA:

Повышенная безопасность

Вместо того чтобы проверять, откуда пользователь подключается, ZTNA проверяет, является ли он тем, за кого себя выдает. Это снижает риск несанкционированного доступа и помогает предотвратить горизонтальное перемещение внутри сети в случае взлома.

Уменьшенная поверхность атаки

С концепцией ZTNA периметр сети становится менее важным, поскольку акцент смещается на защиту отдельных ресурсов и данных. Внедряя контроль доступа и микросегментацию, организации могут ограничивать доступ к определенным ресурсам на основе идентификатора пользователя, контекста и других факторов. Это уменьшает поверхность атаки, затрудняя для злоумышленников горизонтальное перемещение внутри сети.

Улучшенная обзорность и контроль

Решения ZTNA обеспечивают большую обзорность действий пользователей и сетевого трафика. Контроль доступа и политики вводятся на детальном уровне, что позволяет организациям более эффективно контролировать и отслеживать поведение пользователей. Это помогает организациям обнаруживать потенциальные угрозы безопасности и реагировать на них в режиме реального времени.

Упрощенное соответствие требованиям

Решения ZTNA обычно включают в себя такие функции, как аутентификация пользователей, проверка устройств и журналы аудита, которые могут помочь организациям соответствовать нормативным требованиям. Внедряя ZTNA, организации могут легче внедрять средства контроля доступа, отслеживать действия пользователей и демонстрировать соответствие требованиям.

Гибкий и безопасный удаленный доступ

ZTNA обеспечивает безопасный удаленный доступ к ресурсам независимо от местонахождения пользователя. Сотрудники могут безопасно подключаться к сети и получать доступ к необходимым ресурсам из любого места, используя различные устройства. Решения ZTNA часто включают брокеров безопасного доступа или шлюзы, которые предоставляют зашифрованные соединения, обеспечивая конфиденциальность и целостность данных, передаваемых по сети.

Плавное внедрение облачных сервисов

Поскольку организации все чаще внедряют облачные сервисы, ZTNA может предоставить безопасное и масштабируемое решение. Это позволяет организациям аутентифицировать и авторизовать пользователей, получающих доступ к облачным ресурсам, гарантируя, что только авторизованные пользователи могут получить доступ к конфиденциальным данным и приложениям.

Большее удобство для пользователей

ZTNA может улучшить взаимодействие с пользователями, предоставляя простой и удобный доступ к ресурсам. С ZTNA пользователи могут получать доступ к необходимым им ресурсам и поддерживать высокий уровень безопасности без сложных и отнимающих много времени процессов аутентификации.

Сравнение ZTNA с VPN: в чем разница?

ZTNA и виртуальные частные сети (VPN) используются для безопасного удаленного доступа, но их реализация и варианты использования значительно различаются.

Вот основные различия между ZTNA и VPN:

Продукт против концепции

VPN – это определенный тип продукта, обычно клиентское приложение, установленное на устройстве конечного пользователя, которое устанавливает защищенный зашифрованный туннель между устройством пользователя и корпоративной сетью.

ZTNA фокусируется на идентификации пользователей и устройств, независимо от их местоположения или сети. ZTNA применяет средства контроля доступа на детализированном уровне, защищая отдельные ресурсы и данные, а не полагаясь исключительно на безопасность на сетевом уровне.

Модель безопасности

Решение VPN основано на концепции доверенного сетевого периметра. После подключения к VPN пользователь рассматривается как часть доверенной сети.

ZTNA фокусируется на идентификации пользователей и устройств, независимо от их местоположения или сети. ZTNA применяет средства контроля доступа на детализированном уровне, защищая отдельные ресурсы и данные, а не полагаясь исключительно на безопасность на сетевом уровне.

Контроль доступа

После установления соединения VPN обычно предоставляет пользователям доступ ко всей сети. Пользователи могут получать доступ ко всем ресурсам и службам, доступным в пределах доверенного сетевого периметра.

ZTNA обеспечивает контроль доступа на основе идентификации пользователя, состояния устройства и других контекстуальных факторов. Это обеспечивает более детальный контроль доступа, позволяя организациям ограничивать доступ к определенным ресурсам или приложениям, уменьшая поверхность атаки и предотвращая горизонтальное перемещение внутри сети.

Удобство для пользователей

При использовании VPN устройство пользователя виртуально подключается к корпоративной сети, что создает впечатление физического присутствия в сети. Теоретически это должно обеспечить должное удобство для пользователя. Однако из-за того, что весь трафик направляется через VPN, соединение, как известно, работает медленно.

ZTNA предоставляет более удобный интерфейс, позволяя пользователям напрямую обращаться к определенным ресурсам, не требуя полного подключения к сети. Решения ZTNA часто используют доступ «точно в срок» (JIT), предоставляя временный и ограниченный доступ в зависимости от конкретных требований, что приводит к более оптимизированному и эффективному взаимодействию с пользователями.

Сетевая архитектура

VPN обычно требует, чтобы ИТ-администраторы устанавливали клиентское приложение непосредственно на устройство пользователя, устанавливая прямое подключение к корпоративной сети. Если пользователь будет подключаться с нескольких устройств, приложение должно быть установлено на каждом из них, что создает больше работы для загруженных ИТ-отделов. Кроме того, конечные пользователи часто считают приложения VPN неуклюжими и сложными в работе.

Решения ZTNA обычно используют брокеров безопасного доступа или шлюзы, которые выступают в качестве посредников между пользователем и ресурсами. ZTNA может использовать различные сетевые протоколы и транспортные механизмы для безопасного подключения пользователей к определенным ресурсам, уменьшая зависимость от маршрутизации всего трафика через центральную сеть. Пользователи могут подключаться к сети с любого устройства, работающего под управлением практически любой операционной системы.

Готовность к облачным вычислениям

Изначально VPN были разработаны для защиты относительно кратковременных соединений между удаленными офисами или для подключения удаленных пользователей к центральной сети. Они не были предназначены для предоставления большому числу пользователей прямого доступа к облачным ресурсам и службам и не рассчитаны на то, чтобы оставаться включенными в течение всего рабочего дня пользователя.

ZTNA, наоборот, хорошо подходит для эры облачных вычислений. Эта модель очень хорошо масштабируется и может предоставить большому числу пользователей безопасный доступ к облачным ресурсам и службам организации. ZTNA позволяет организациям аутентифицировать и авторизовывать пользователей, получающих доступ к облачным приложениям, обеспечивая безопасное подключение и защиту данных.

Как внедрить ZTNA

Поскольку ZTNA представляет собой концепцию, а не продукт, ее внедрение будет выглядеть немного по-разному для каждой организации. Хотя специфика меняется в зависимости от конкретных потребностей организации и среды данных, вот общая схема процесса внедрения:

Оцените свою среду

Начните с тщательной оценки существующей сетевой инфраструктуры, включая топологию сети, приложения, ресурсы и схемы доступа пользователей. Определите потенциальные уязвимости и области, нуждающиеся в улучшении с точки зрения безопасности.

Определить политики доступа

Определите политики доступа на основе принципа наименьших привилегий. Определите, какие пользователи или группы должны иметь доступ к определенным ресурсам или приложениям, и на каких условиях предоставляется доступ. Учитывайте такие факторы, как идентификация пользователя, состояние устройства, местоположение и контекстная информация.

Внедрите решения для управления идентификацией и доступом (IAM)

Вам потребуются программные решения, способные обрабатывать процессы IAM, такие как управление паролями, аутентификация пользователей и многофакторная аутентификация. Учитывайте такие факторы, как простота внедрения, масштабируемость, возможности интеграции, удобство для пользователей и совместимость с существующей инфраструктурой.

Внедрите решения для безопасного удаленного доступа

Реализации ZTNA обычно включают в себя брокеров защищенного доступа или шлюзы удаленного подключения, позволяющие ИТ-персоналу и DevOps безопасно подключаться к внутренним машинам и системам.

Микросегментация

Внедрите микросегментацию, чтобы разделить свою сеть на более мелкие сегменты и обеспечить контроль доступа на детальном уровне. Это помогает сдерживать потенциальные бреши в системе безопасности и ограничивает горизонтальное перемещение внутри сети. Сегментируйте свои ресурсы на основе конфиденциальности и принципа наименьших привилегий.

Мониторинг и аудит

Внедрите механизмы мониторинга и аудита для отслеживания действий пользователей, попыток доступа и потенциальных инцидентов безопасности. Используйте журналы и аналитику для выявления аномалий или подозрительного поведения. Регулярно пересматривайте и обновляйте политики доступа в соответствии с меняющимися требованиями и ландшафтом угроз.

Обучение и подготовка пользователей

Информируйте пользователей о реализации ZTNA, ее преимуществах и безопасном доступе к ресурсам. Проведите обучение по передовым методам безопасного удаленного доступа, гигиене паролей и выявлению потенциальных атак с использованием фишинга или социальной инженерии.

Непрерывное улучшение

Внедрение ZTNA представляет собой непрерывный процесс. Регулярно просматривайте и обновляйте свои политики доступа, следите за средствами контроля безопасности и будьте в курсе появляющихся новых угроз и уязвимостей.