Что такое ZTNA?
ZTNA (zero-trust network access, сетевой доступ с нулевым доверием) означает подход, при котором ни пользователь, ни устройство не получают доверия только потому, что находятся в сети. Каждый запрос к ресурсу проверяется по подтверждённой учётной записи и политике, и доступ выдаётся узко, к конкретным приложениям или системам, а не ко всей сети. Так принцип zero trust «никогда не доверяй, всегда проверяй» применяется к вопросу о том, кто и к чему может получить доступ.
ZTNA (zero-trust сетевой доступ) предоставляет доступ к конкретным приложениям на основе подтверждённой учётной записи и политики, никогда не доверяя пользователю или устройству просто за присутствие в сети.
Что определяет ZTNA
- 01
Решения принимаются по учётной записи и политике: доступ зависит от того, кто или что его запрашивает и разрешает ли это политика, а не от сетевого местоположения.
- 02
Наименьшие привилегии: пользователю или сервису предоставляется доступ только к конкретным ресурсам, которые ему нужны, а не широкий охват сети.
- 03
Никакого неявного доверия: подключение к сети само по себе ничего не даёт; каждая сессия проверяется.
- 04
Ресурсы остаются скрытыми: внутренние приложения не открыты в интернет, и добраться до них можно только через слой доступа по авторизованным запросам.
ZTNA против традиционного VPN
Традиционный VPN аутентифицирует пользователя один раз и затем пускает его устройство в сеть, часто с широким доступом: любой подключившийся может прощупывать всё, что позволяет маршрутизация. ZTNA работает наоборот: доступ выдаётся к отдельным ресурсам, для каждой сессии и на основе постоянной проверки, поэтому подключённое устройство может добраться только до того, что явно разрешено политикой. Это резко уменьшает ущерб от украденных учётных данных или скомпрометированного устройства, потому что плоской сети, по которой можно бродить, оказавшись «внутри», просто нет.
Как поставляется ZTNA
ZTNA встречается в разных формах. Крупные вендоры безопасности предлагают его в составе широких облачных SASE-платформ, где глобальный сервис выступает посредником в доступе к приложениям. Другие реализации встраивают zero-trust доступ в сетевую фабрику или оверлей: каждый узел и каждая сессия проходят аутентификацию, а доступ с минимальными привилегиями выдаётся по ролям и сегментам. Объединяет их принцип: проверять, кто подключается, давать минимальный доступ к конкретным ресурсам, держать эти ресурсы вне открытого интернета и записывать каждое подключение.
Как это соотносится с Vexaro Mesh (в разработке)
Vexaro Mesh по замыслу применяет принципы zero trust к доступу в своей mesh-сети, а не в виде отдельной SASE-платформы: каждый узел и каждая сессия проходят аутентификацию и проверку политикой, доступ выдаётся по ролям, а внутренние системы закрыты от публичного интернета и доступны только через фабрику, причём каждое подключение записывается в журнал и экспортируется в ваш SIEM.
Посмотреть планируемые функции