Добирайтесь до внутренних систем, не выставляя их наружу
Vexaro Mesh, который сейчас в разработке, должен закрыть админ-панели, базы данных и промышленные узлы от внешнего мира и открыть к ним доступ только через mesh: по ролям, с аутентификацией и записью каждой сессии. Без открытых портов и неявного доверия.
Чем опасен доступ, открытый наружу
Каждый из привычных способов добраться до внутренних систем расширяет поверхность атаки.
Если открыть порт или опубликовать админ-панель, её увидит весь интернет: её будут постоянно сканировать и прощупывать, даже если пользоваться ею никто не должен.
Бастионы и jump-хосты множатся вместе с командами и средами, и каждый из них добавляет ещё один набор учётных данных, ещё один сервер для обновлений и ещё один объект для аудита.
Плоский VPN пускает пользователей во всю сеть и даёт каждому подключившемуся широкий доступ. С одним украденным ноутбуком или токеном можно добраться до систем, которые этому пользователю никогда не были нужны.
Как будет работать zero-trust доступ
Замысел: внутренние системы недоступны снаружи, а доступ с минимальными привилегиями выдаётся через mesh.
- 1
Уберите системы из публичного интернета
Админ-панели, базы данных и внутренние сервисы по замыслу перестают быть открытыми напрямую: они доступны только изнутри mesh, а не из открытого интернета.
- 2
Аутентифицируйте каждый узел и сессию
По замыслу присутствие в сети само по себе ничего не даёт: каждый узел и каждая сессия проходят аутентификацию и проверку политикой, прежде чем к чему-либо подключиться.
- 3
Предоставляйте доступ по роли
Доступ с минимальными привилегиями планируется выдавать по ролям, чтобы люди и сервисы получали доступ только к нужным им по работе системам.
- 4
Записывайте и экспортируйте каждое подключение
Каждое подключение (кто и когда) планируется записывать для аудита и экспортировать в ваш SIEM. Так у вас будет журнал доступа без отдельного бастиона.
Что планирует дать безопасный доступ
Доступ к внутренним системам с минимальными привилегиями, без открытых портов и множества бастионов.
Ничего не открыто наружу
Админ-панели, базы данных и OT-узлы должны быть закрыты от внешнего мира и доступны только через mesh, что сокращает поверхность атаки.
Ролевой доступ
Доступ к чувствительным системам планируется выдавать по отделам и площадкам, с минимальными привилегиями, а не ко всей сети.
Аудит сессий
Каждое подключение к защищённой системе должно проходить аутентификацию и записываться в журнал с экспортом в ваш SIEM. Отдельный jump-хост для этого не нужен.
Почему Vexaro Mesh задуман для безопасного доступа
Zero trust заложен в замысел: каждый узел и каждая сессия проходят аутентификацию и проверку политикой, поэтому подключение к сети ещё не означает доверия.
Планируемый ролевой доступ открывает только нужные конкретные системы, в отличие от плоского VPN, который открывает всю сеть любому подключившемуся.
Системы должны находиться за mesh без публичных портов, поэтому исчезают открытые панели и порты, которые остаются при бастионах и пробросе портов.
Каждую сессию планируется записывать с экспортом в ваш SIEM. Вы получаете журнал аудита, как у бастиона, но без самого бастиона.