Virksomheders VPN-gateways: sikker fjernadgang og nul tillid

En VPN-gateway til virksomheder giver medarbejdere eller filialer en krypteret forbindelse til organisationens netværk. Den er stadig nyttig til systemer, der kræver netværksforbindelse, men kryptering er kun én del af sikker adgang. Kontrol af identitet, enhedsadministration, sikkerhedsopdateringer og begrænsninger på, hvad hver forbindelse kan få adgang til, er lige så vigtige.

Det afgørende spørgsmål ved valg af løsning er praktisk: Hvem skal have adgang til hvilke ressourcer, fra hvilke enheder, og hvordan vil organisationen begrænse skaderne, hvis en konto kompromitteres? Tag udgangspunkt i det, før I sammenligner enheder, cloudtjenester eller tal for maksimal gennemstrømning.

VPN til fjernadgang og VPN mellem lokaliteter

En VPN til fjernadgang forbinder en enkelt enhed med organisationens miljø. En VPN mellem lokaliteter forbinder netværk, f.eks. et filialkontor og et datacenter. De to løsninger håndterer forskellige behov og bør derfor have forskellige adgangspolitikker. En forbindelse til en filial bør ikke automatisk give alle enheder ubegrænset adgang til alle applikationer.

IPsec- og TLS-baserede løsninger er almindelige metoder, men protokolnavnet alene er ingen garanti for, at en implementering er sikker. Konfigurationen, de understøttede softwareversioner, certifikathåndteringen og leverandørens reaktion på sårbarheder har alle betydning for resultatet.

Indarbejd kontrol af identitet og enheder i designet

Kræv multifaktorgodkendelse ved fjernadgang, og foretræk phishing-resistente metoder, hvor de understøttes. Adskil administratoradgang fra medarbejdernes almindelige brug, fjern adgang hurtigt, når medarbejdere fratræder, og begræns brugerne til de ressourcer, de har brug for i deres roller. Administrerede enheder giver også organisationen bedre kontrol over opdateringer, endpointbeskyttelse og lokale data.

Disse kontroller bør fortsætte, efter at forbindelsen er oprettet. En godkendt bruger kan stadig have en kompromitteret enhed eller for brede tilladelser. Netværkssegmentering og autorisation på applikationsniveau bidrager til at forhindre, at én kompromitteret session giver mulighed for uhindret bevægelse rundt i miljøet.

VPN og adgang med nul tillid

Nul tillid er en arkitektonisk tilgang, ikke et enkelt produkt, der gør et netværk sikkert. NIST SP 800-207 beskriver en tilgang, der tager udgangspunkt i ressourcer og adgangsbeslutninger frem for implicit tillid baseret på netværksplacering. En VPN-tunnel kan indgå i dette miljø, men det bør ikke betragtes som tilstrækkelig autorisation blot at oprette forbindelse via en gateway.

Adgang med fokus på applikationer kan mindske behovet for at give fjernbrugere adgang til et bredt internt netværk. Det kan være bedre egnet til visse webapplikationer, mens ældre systemer eller forbindelser mellem filialer stadig kræver en netværkstunnel. UK NCSC’s vejledning om ZTNA giver en nyttig ramme for at vurdere denne overgang. Organisationer kan benytte en blandet tilgang, mens de udskifter ældre afhængigheder.

Vurder ydeevnen under realistiske forhold

Sammenlign krypteret gennemstrømning, samtidige sessioner, hastigheden for oprettelse af forbindelser og failover-adfærd med de sikkerhedsindstillinger, I har tænkt jer at bruge. Den rå grænsefladehastighed er ikke det samme som den brugbare, krypterede gennemstrømning. Ingen netværksarkitektur kan garantere nul forsinkelse: Kryptering, routing, overbelastning og fysisk afstand bidrager alle til latenstiden.

Afprøv de applikationer, der er vigtige for virksomheden, herunder opkald, filoverførsler og interaktive systemer. Et design, der uden problemer håndterer overførsel af store filer, kan stadig give en dårlig oplevelse under et travlt videoopkald. Gennemfør også en failover-test, så teamet ved, hvad der sker med aktive sessioner, hvis en gateway eller forbindelse svigter.

Behandl gatewayen som et kritisk system

Gateways, der er tilgængelige fra internettet, skal have en tydeligt ansvarlig ejer, en understøttet softwareversion og en hurtig proces for sikkerhedsopdateringer. Begræns adgangen til administrationsgrænseflader, overvåg adgangshændelser, og sørg for en afprøvet gendannelsesvej. CISA’s fælles vejledning om moderne sikkerhed for netværksadgang forklarer, hvorfor organisationer bør revurdere traditionelle løsninger til fjernadgang sideløbende med nyere tilgange.

Planlæg fornyelse af certifikater, konfigurationssikkerhedskopier og nødadgang, før der opstår et driftsstop. Redundant udstyr er kun nyttigt, hvis der også er taget højde for de tilknyttede afhængigheder, herunder identitetstjenester, strømforsyning og internetforbindelser. Administrerede tjenester kan mindske det operationelle arbejde, men organisationen skal stadig have tydeligt placeret ansvar og indsigt i ændringer og hændelser.

Vælg en bæredygtig tilgang

Behold en VPN til virksomheden, hvor netværksforbindelse er nødvendig, og brug mere afgrænset applikationsadgang, hvor det passer bedre til opgaven. Det stærkeste design kombinerer den rette forbindelsesmetode med solide identitetskontroller, segmentering og løbende vedligeholdelse. Et VPN-abonnement til privat brug tjener et andet formål og bør ikke fremstilles som en erstatning for administreret adgang til virksomhedens systemer.