Firemní brány VPN: zabezpečený vzdálený přístup a nulová důvěra

Firemní brána VPN poskytuje zaměstnancům nebo pobočkám šifrované spojení do sítě organizace. Stále se hodí pro systémy, které potřebují připojení na úrovni sítě, šifrování je však jen jednou ze součástí zabezpečeného přístupu. Stejně důležité jsou kontroly identity, správa zařízení, instalace bezpečnostních záplat a omezení toho, k čemu se lze prostřednictvím jednotlivých připojení dostat.

Při výběru je důležité položit si praktickou otázku: kdo potřebuje přístup ke kterým prostředkům, z jakých zařízení a jak organizace omezí dopady napadeného účtu? Začněte právě tím a teprve potom porovnávejte zařízení, cloudové služby nebo marketingové údaje o propustnosti.

VPN pro vzdálený přístup a VPN propojující lokality

VPN pro vzdálený přístup propojuje jednotlivé zařízení s prostředím organizace. VPN propojující lokality spojuje celé sítě, například pobočku a datové centrum. Každé z těchto řešení slouží jinému účelu, a proto by se pro ně měla uplatňovat odlišná pravidla přístupu. Připojení pobočky by nemělo automaticky poskytovat všem zařízením neomezený přístup ke všem aplikacím.

Mezi běžná řešení patří IPsec a řešení založená na TLS, samotný název protokolu však o zabezpečení konkrétního nasazení nic nevypovídá. Výsledek ovlivňuje konfigurace, podporované verze softwaru, správa certifikátů i to, jak dodavatel reaguje na zranitelnosti.

Zahrňte kontroly identity a zařízení už do návrhu

U vzdáleného přístupu vyžadujte vícefaktorové ověřování a tam, kde je to podporováno, upřednostňujte metody odolné vůči phishingu. Oddělte přístup správců od běžného používání zaměstnanci, po odchodu zaměstnanců přístup bezodkladně odeberte a uživatelům povolte přístup pouze k prostředkům potřebným pro jejich pracovní roli. Spravovaná zařízení navíc organizaci poskytují větší kontrolu nad aktualizacemi, ochranou koncových zařízení a místními daty.

Tyto kontroly by měly pokračovat i po navázání spojení. I ověřený uživatel může mít napadené zařízení nebo příliš rozsáhlá oprávnění. Segmentace sítě a autorizace na úrovni aplikací pomáhají zabránit tomu, aby se jedna napadená relace změnila v neomezený pohyb napříč prostředím.

VPN a přístup na základě nulové důvěry

Nulová důvěra je architektonický přístup, nikoli jediný produkt, který zajistí bezpečnost sítě. NIST SP 800-207 popisuje přístup zaměřený na prostředky a rozhodování o přístupu, nikoli na implicitní důvěru založenou na umístění v síti. Tunel VPN může být součástí takového prostředí, samotné připojení přes bránu by však nemělo být považováno za dostatečné oprávnění k přístupu.

Přístup zaměřený na aplikace může omezit potřebu zpřístupňovat vzdáleným uživatelům rozsáhlou část interní sítě. Pro některé webové aplikace může být vhodnější, zatímco starší systémy nebo připojení poboček mohou stále vyžadovat síťový tunel. Užitečný rámec pro posouzení tohoto přechodu nabízí pokyny UK NCSC k ZTNA. Organizace mohou během nahrazování starších závislostí využívat kombinovaný přístup.

Vyhodnoťte výkon v realistických podmínkách

Při zamýšleném nastavení zabezpečení porovnejte propustnost při šifrování, počet souběžných relací, rychlost navazování spojení a chování při přepnutí na záložní řešení. Nominální rychlost rozhraní není totéž co skutečně dosažitelná propustnost šifrovaného spojení. Žádná vrstva síťové infrastruktury nemůže zaručit nulovou prodlevu: latenci ovlivňuje šifrování, směrování, zahlcení i fyzická vzdálenost.

Otestujte aplikace důležité pro firmu, včetně hovorů, přenosů souborů a interaktivních systémů. Návrh, který bez problémů zvládá přenos velkých souborů, může i tak během vytíženého videohovoru poskytovat neuspokojivý uživatelský zážitek. Proveďte také test přepnutí na záložní řešení, aby tým věděl, co se stane s aktivními relacemi při výpadku brány nebo připojení.

Považujte bránu za kritický systém

Brány dostupné z internetu musí mít jasně určenou odpovědnou osobu, podporovanou verzi softwaru a rychlý proces instalace záplat. Omezte přístup k rozhraním pro správu, sledujte události související s přístupem a mějte připravený a otestovaný postup obnovy. Společné pokyny CISA k zabezpečení moderního síťového přístupu vysvětlují, proč by organizace měly znovu posoudit tradiční řešení vzdáleného přístupu a porovnat je s novějšími přístupy.

Ještě před výpadkem naplánujte obnovování certifikátů, zálohování konfigurace a nouzový přístup. Záložní zařízení jsou užitečná jen tehdy, pokud jste zvážili také závislosti v jejich okolí, včetně služeb pro správu identit, napájení a internetového připojení. Spravované služby mohou omezit provozní zátěž, organizace však stále potřebuje jasně rozdělené odpovědnosti a přehled o změnách a incidentech.

Zvolte udržitelný přístup

Firemní VPN ponechte tam, kde je síťové připojení nezbytné, a tam, kde to lépe odpovídá dané práci, využívejte užší přístup zaměřený na aplikace. Nejlepší návrh kombinuje vhodný způsob připojení se spolehlivým řízením identity, segmentací a průběžnou údržbou. Předplatné spotřebitelské VPN slouží k jinému účelu a nemělo by být představováno jako náhrada za spravovaný přístup k firemním systémům.