Εταιρικές πύλες VPN: ασφαλής απομακρυσμένη πρόσβαση και μηδενική εμπιστοσύνη

Μια εταιρική πύλη VPN παρέχει στους εργαζομένους ή στα υποκαταστήματα κρυπτογραφημένη πρόσβαση στο δίκτυο ενός οργανισμού. Παραμένει χρήσιμη για συστήματα που απαιτούν συνδεσιμότητα σε επίπεδο δικτύου, αλλά η κρυπτογράφηση είναι μόνο ένα μέρος της ασφαλούς πρόσβασης. Οι έλεγχοι ταυτότητας, η διαχείριση συσκευών, η εγκατάσταση ενημερώσεων και οι περιορισμοί στους πόρους στους οποίους μπορεί να έχει πρόσβαση κάθε σύνδεση είναι εξίσου σημαντικοί.

Το ουσιαστικό ερώτημα κατά την επιλογή είναι πρακτικό: ποιος χρειάζεται πρόσβαση σε ποιους πόρους, από ποιες συσκευές και πώς θα περιορίσει ο οργανισμός τις συνέπειες ενός παραβιασμένου λογαριασμού; Ξεκινήστε από αυτά πριν συγκρίνετε συσκευές, υπηρεσίες cloud ή εντυπωσιακά στοιχεία για τη μέγιστη ταχύτητα διεκπεραίωσης.

VPN απομακρυσμένης πρόσβασης και VPN μεταξύ τοποθεσιών

Ένα VPN απομακρυσμένης πρόσβασης συνδέει μια μεμονωμένη συσκευή με το περιβάλλον του οργανισμού. Ένα VPN μεταξύ τοποθεσιών συνδέει δίκτυα, όπως ένα υποκατάστημα με ένα κέντρο δεδομένων. Αυτές οι λύσεις αντιμετωπίζουν διαφορετικά προβλήματα και θα πρέπει να διέπονται από διαφορετικές πολιτικές πρόσβασης. Η σύνδεση ενός υποκαταστήματος δεν θα πρέπει να παρέχει αυτόματα σε κάθε συσκευή απεριόριστη πρόσβαση σε κάθε εφαρμογή.

Οι λύσεις που βασίζονται σε IPsec και TLS είναι συνηθισμένες επιλογές, αλλά το όνομα του πρωτοκόλλου από μόνο του δεν εγγυάται την ασφάλεια μιας υλοποίησης. Η διαμόρφωση, οι υποστηριζόμενες εκδόσεις λογισμικού, η διαχείριση πιστοποιητικών και η ανταπόκριση του προμηθευτή σε ευπάθειες επηρεάζουν όλες το τελικό αποτέλεσμα.

Ενσωματώστε τους ελέγχους ταυτότητας και συσκευών στον σχεδιασμό

Απαιτήστε έλεγχο ταυτότητας πολλαπλών παραγόντων για την απομακρυσμένη πρόσβαση και, όπου υποστηρίζονται, προτιμήστε μεθόδους ανθεκτικές στο ηλεκτρονικό ψάρεμα. Διαχωρίστε την πρόσβαση των διαχειριστών από τη συνήθη χρήση των εργαζομένων, ανακαλέστε την πρόσβαση αμέσως μόλις αποχωρούν μέλη του προσωπικού και περιορίστε τους χρήστες στους πόρους που χρειάζονται για τον ρόλο τους. Οι διαχειριζόμενες συσκευές προσφέρουν επίσης στον οργανισμό μεγαλύτερο έλεγχο των ενημερώσεων, της προστασίας τερματικών συσκευών και των τοπικά αποθηκευμένων δεδομένων.

Αυτοί οι έλεγχοι θα πρέπει να συνεχίζονται και μετά την εγκατάσταση της σύνδεσης. Ακόμη και ένας χρήστης του οποίου η ταυτότητα έχει επαληθευτεί μπορεί να χρησιμοποιεί παραβιασμένη συσκευή ή να έχει υπερβολικά ευρεία δικαιώματα. Η τμηματοποίηση του δικτύου και η εξουσιοδότηση σε επίπεδο εφαρμογής συμβάλλουν στο να μην εξελιχθεί μία παραβιασμένη συνεδρία σε ανεμπόδιστη μετακίνηση σε όλο το περιβάλλον.

VPN και πρόσβαση μηδενικής εμπιστοσύνης

Η μηδενική εμπιστοσύνη είναι μια αρχιτεκτονική προσέγγιση, όχι ένα μεμονωμένο προϊόν που καθιστά ασφαλές ένα δίκτυο. Το NIST SP 800-207 περιγράφει μια προσέγγιση που εστιάζει στους πόρους και στις αποφάσεις πρόσβασης, αντί στην έμμεση εμπιστοσύνη βάσει της θέσης στο δίκτυο. Μια σήραγγα VPN μπορεί να αποτελεί μέρος αυτού του περιβάλλοντος, αλλά η απλή σύνδεση μέσω μιας πύλης δεν θα πρέπει να θεωρείται επαρκής εξουσιοδότηση.

Η πρόσβαση με επίκεντρο τις εφαρμογές μπορεί να περιορίσει την ανάγκη έκθεσης ενός ευρέος εσωτερικού δικτύου σε απομακρυσμένους χρήστες. Μπορεί να ταιριάζει καλύτερα σε ορισμένες διαδικτυακές εφαρμογές, ενώ τα παλαιότερα συστήματα ή η συνδεσιμότητα υποκαταστημάτων εξακολουθούν να απαιτούν σήραγγα δικτύου. Οι κατευθυντήριες οδηγίες του UK NCSC για το ZTNA προσφέρουν ένα χρήσιμο πλαίσιο για την αξιολόγηση αυτής της μετάβασης. Οι οργανισμοί μπορούν να υιοθετήσουν μια μεικτή προσέγγιση όσο αντικαθιστούν παλαιότερες εξαρτήσεις.

Αξιολογήστε την απόδοση σε ρεαλιστικές συνθήκες

Συγκρίνετε την ταχύτητα διεκπεραίωσης κρυπτογραφημένων δεδομένων, τον αριθμό ταυτόχρονων συνεδριών, τον ρυθμό εγκατάστασης συνδέσεων και τη συμπεριφορά κατά τη μετάβαση σε εφεδρική λειτουργία, με βάση τις ρυθμίσεις ασφαλείας που σκοπεύετε να χρησιμοποιήσετε. Η ακατέργαστη ταχύτητα της διασύνδεσης δεν ταυτίζεται με την αξιοποιήσιμη ταχύτητα διεκπεραίωσης κρυπτογραφημένων δεδομένων. Κανένα επίπεδο δικτύωσης δεν μπορεί να εγγυηθεί μηδενική καθυστέρηση: η κρυπτογράφηση, η δρομολόγηση, η συμφόρηση και η φυσική απόσταση συμβάλλουν όλες στην καθυστέρηση.

Δοκιμάστε τις εφαρμογές που έχουν σημασία για την επιχείρηση, όπως τις κλήσεις, τις μεταφορές αρχείων και τα διαδραστικά συστήματα. Ένας σχεδιασμός που διαχειρίζεται άνετα τη μεταφορά μεγάλων αρχείων μπορεί παρ’ όλα αυτά να προσφέρει προβληματική εμπειρία κατά τη διάρκεια μιας βιντεοκλήσης με μεγάλη κίνηση. Συμπεριλάβετε μια δοκιμή μετάβασης σε εφεδρική λειτουργία, ώστε η ομάδα να γνωρίζει τι συμβαίνει στις ενεργές συνεδρίες όταν παρουσιάζεται βλάβη σε μια πύλη ή σύνδεση.

Αντιμετωπίστε την πύλη ως κρίσιμο σύστημα

Οι πύλες που είναι προσβάσιμες από το διαδίκτυο χρειάζονται σαφώς ορισμένο υπεύθυνο, υποστηριζόμενη έκδοση λογισμικού και ταχεία διαδικασία εγκατάστασης ενημερώσεων ασφαλείας. Περιορίστε την πρόσβαση στις διεπαφές διαχείρισης, παρακολουθείτε τα συμβάντα πρόσβασης και διατηρείτε δοκιμασμένη διαδικασία αποκατάστασης. Η κοινή καθοδήγηση της CISA για τη σύγχρονη ασφάλεια πρόσβασης στο δίκτυο εξηγεί γιατί οι οργανισμοί θα πρέπει να επανεξετάζουν τις παραδοσιακές λύσεις απομακρυσμένης πρόσβασης παράλληλα με τις νεότερες προσεγγίσεις.

Προγραμματίστε την ανανέωση πιστοποιητικών, τη δημιουργία αντιγράφων ασφαλείας των ρυθμίσεων και την πρόσβαση έκτακτης ανάγκης πριν από μια διακοπή λειτουργίας. Ο εφεδρικός εξοπλισμός είναι χρήσιμος μόνο όταν έχουν συνυπολογιστεί και οι εξαρτήσεις που τον περιβάλλουν, όπως οι υπηρεσίες ταυτοποίησης, η τροφοδοσία ρεύματος και οι συνδέσεις στο διαδίκτυο. Οι διαχειριζόμενες υπηρεσίες μπορούν να μειώσουν τον φόρτο εργασιών, αλλά ο οργανισμός εξακολουθεί να χρειάζεται σαφώς καθορισμένες αρμοδιότητες και εικόνα των αλλαγών και των συμβάντων.

Επιλογή μιας βιώσιμης προσέγγισης

Διατηρήστε ένα εταιρικό VPN όπου απαιτείται συνδεσιμότητα σε επίπεδο δικτύου και χρησιμοποιήστε πιο περιορισμένη πρόσβαση σε εφαρμογές όπου αυτή ταιριάζει καλύτερα στην εργασία. Ο αποτελεσματικότερος σχεδιασμός συνδυάζει την κατάλληλη μέθοδο σύνδεσης με αξιόπιστους ελέγχους ταυτότητας, τμηματοποίηση και συνεχή συντήρηση. Μια συνδρομή σε καταναλωτικό VPN εξυπηρετεί διαφορετικό σκοπό και δεν θα πρέπει να παρουσιάζεται ως υποκατάστατο της διαχειριζόμενης πρόσβασης στα εταιρικά συστήματα.