Zero-trust доступ, заложенный в mesh
Vexaro Mesh, который сейчас в разработке, должен применять zero trust к сетевому доступу: само подключение ничего не даёт. Каждый узел и каждая сессия проходят аутентификацию, доступ выдаётся по ролям с минимальными привилегиями, а внутренние системы остаются вне публичного интернета. Плоский VPN устроен иначе: он доверяет любому подключившемуся.
Что означает zero-trust доступ
Zero trust отказывается от старого допущения «замка и рва», по которому всё внутри сети безопасно. Вместо этого каждое подключение постоянно проверяется, откуда бы оно ни шло.
Никогда не доверять по местоположению
Подключение к сети не делает пользователя или устройство доверенными. Каждый узел и каждая сессия проходят аутентификацию и проверку по политике, прежде чем им откроют доступ к чему-либо.
Доступ с наименьшими привилегиями
Доступ предоставляется к конкретным системам по роли, поэтому пользователи и сервисы получают только то, что нужно для работы, а не всю сеть в момент подключения.
Ничего не открыто по умолчанию
Внутренние системы закрыты от открытого интернета и доступны только через слой доступа, поэтому нет открытых портов и широкого доступа, которые оставляют плоские VPN.
Как Vexaro планирует подходить к zero trust
Механизмы zero trust задуманы как часть самой фабрики.
Аутентифицированные узлы и сессии
Каждый узел и каждая сессия должны проходить аутентификацию и проверку политикой, чтобы само присутствие в сети не давало доверия.
Ролевой доступ
Доступ планируется выдавать по отделам и площадкам из одной консоли, с минимальными привилегиями, а не ко всей сети.
Аудит и экспорт в SIEM
Каждое подключение (кто и когда) планируется записывать и экспортировать в ваш SIEM, чтобы доступ можно было проверить, а не принимать на веру.
Zero-trust mesh против плоского VPN
Сравнение zero-trust доступа на mesh и устаревшего полнотуннельного VPN, который пускает пользователей в плоскую сеть. Это разные модели безопасности, а не рейтинг.
| Vexaro (zero-trust mesh, в планах) | Устаревший плоский VPN | |
|---|---|---|
| Модель доверия | Проверять каждый узел и сессию | Доверять после подключения |
| Область доступа | Минимальные привилегии по роли | Широкий охват сети |
| Доступность из интернета | Системы вне публичной сети | Порты и шлюзы открыты наружу |
| Аудит по сессиям | Журнал с экспортом в SIEM | Ограничен / на уровне подключений |
Чего мы не заявляем
Под «ZTNA» обычно понимают крупные платформы безопасности (например, Zscaler, Palo Alto и Cloudflare), которые дают zero-trust доступ в составе широких SASE-пакетов. Мы не выдаём себя за SASE-платформу и не обещаем заменить её функцию за функцией. Vexaro Mesh пока в разработке и по замыслу применяет принципы zero trust к доступу в собственной mesh-сети: аутентифицированные узлы и сессии, ролевой доступ и аудит. На этой странице мы также не называем протокол туннеля; трафик планируется защищать современной криптографией.
Где уместен zero-trust mesh
Вы хотите отказаться от широкого VPN-доступа, где подключение равно доверию, в пользу доступа с наименьшими привилегиями к конкретным системам.
Вам нужно, чтобы внутренние системы (админ-панели, базы данных, OT) были недоступны из интернета и открывались через mesh только авторизованным ролям.
Вам нужен журнал аудита того, кто к чему получал доступ, с экспортом в ваш SIEM и без развёртывания бастионов.