Interne Systeme erreichen, ohne sie offenzulegen
Vexaro Mesh, derzeit in Entwicklung, soll Admin-Oberflächen, Datenbanken und Industrieknoten von der Außenwelt abschotten und nur über das Mesh erreichbar machen: nach Rolle, mit authentifizierter und protokollierter Sitzung. Keine öffentlichen Ports, kein implizites Vertrauen.
Warum offengelegter Zugriff riskant ist
Die üblichen Wege, interne Systeme zu erreichen, vergrößern jeweils die Angriffsfläche.
Wer einen Port öffnet oder eine Admin-Oberfläche veröffentlicht, stellt sie ins gesamte Internet. Dort wird sie laufend gescannt und sondiert, ob sie nun jemand nutzen soll oder nicht.
Bastion-Hosts und Jump-Hosts vermehren sich mit jedem Team und jeder Umgebung, und jeder bringt weitere Zugangsdaten, eine weitere Maschine zum Patchen und einen weiteren Prüfpunkt fürs Audit mit.
Ein flaches VPN, das Nutzer direkt ins Netzwerk lässt, gibt jedem Verbundenen breite Reichweite. So kann sich ein einzelner gestohlener Laptop oder Token lateral zu Systemen bewegen, die er nie brauchte.
Wie Zero-Trust-Zugriff funktionieren wird
Der Plan: interne Systeme von außen unerreichbar, mit Pfaden nach dem Least-Privilege-Prinzip über das Mesh.
- 1
Systeme aus dem öffentlichen Internet nehmen
Admin-Oberflächen, Datenbanken und interne Dienste sollen nicht mehr direkt exponiert sein: nur von innerhalb des Mesh erreichbar, nicht aus dem offenen Internet.
- 2
Jeden Knoten und jede Sitzung authentifizieren
Die Anwesenheit im Netzwerk soll für sich allein nichts gewähren: Jeder Knoten und jede Sitzung soll authentifiziert und gegen Richtlinien geprüft werden, bevor irgendeine Verbindung zustande kommt.
- 3
Zugriff nach Rolle gewähren
Zugriff nach dem Least-Privilege-Prinzip ist nach Rollen geplant, sodass Personen und Dienste nur die Systeme erreichen, die ihre Aufgabe erfordert.
- 4
Jede Verbindung protokollieren und exportieren
Jede Verbindung (wer und wann) soll für das Audit aufgezeichnet und in Ihr SIEM exportierbar sein. So haben Sie einen Nachweis ohne eigenen Bastion-Host.
Was sicherer Zugriff bieten soll
Least-Privilege-Reichweite zu internen Systemen, ohne offene Ports oder wuchernde Bastions.
Keine öffentliche Exposition
Admin-Oberflächen, Datenbanken und OT-Knoten sollen von der Außenwelt abgeschottet und nur über das Mesh erreichbar sein. Das verkleinert die Angriffsfläche.
Rollenbasierter Zugriff
Zugriff auf sensible Systeme ist nach Abteilung und Standort geplant, nach dem Least-Privilege-Prinzip statt netzwerkweit.
Sitzungs-Audit
Jede Verbindung zu einem geschützten System soll authentifiziert und protokolliert werden, mit einem Nachweis, der sich in Ihr SIEM exportieren lässt, und ohne separaten Jump-Host.
Warum Vexaro Mesh für sicheren Zugriff ausgelegt ist
Zero Trust als Konzept: Jeder Knoten und jede Sitzung soll authentifiziert und per Richtlinie geprüft werden, sodass eine Verbindung mit dem Netzwerk nicht bedeutet, dort vertrauenswürdig zu sein.
Geplanter rollenbasierter Zugriff gibt Least-Privilege-Zugang zu bestimmten Systemen, statt eines flachen VPN, das das ganze Netzwerk jedem öffnet, der beitritt.
Systeme sollen ohne öffentliche Ports hinter dem Mesh liegen. Damit entfallen die offenen Oberflächen und Ports, die Bastion-Hosts und Portweiterleitungen hinterlassen.
Jede Sitzung soll protokolliert und in Ihr SIEM exportierbar sein. Sie erhalten den Audit-Nachweis eines Bastion-Hosts, ohne einen betreiben zu müssen.