Bramy korporacyjnej sieci VPN: bezpieczny dostęp zdalny i model zerowego zaufania

Brama korporacyjnej sieci VPN zapewnia pracownikom lub oddziałom szyfrowane połączenie z siecią organizacji. Nadal przydaje się w przypadku systemów wymagających łączności na poziomie sieci, ale szyfrowanie to tylko jeden z elementów bezpiecznego dostępu. Równie istotne są weryfikacja tożsamości, zarządzanie urządzeniami, instalowanie poprawek oraz ograniczanie zasobów dostępnych przez każde połączenie.

Właściwe pytanie przy zakupie jest praktyczne: kto potrzebuje dostępu do jakich zasobów, z jakich urządzeń i jak organizacja ograniczy skutki przejęcia konta? Zacznij od tego, zanim porównasz urządzenia, usługi chmurowe czy podawane przez producentów wartości przepustowości.

Sieci VPN do zdalnego dostępu i łączenia lokalizacji

Sieć VPN do zdalnego dostępu łączy pojedyncze urządzenie ze środowiskiem organizacji. Sieć VPN łącząca lokalizacje spaja sieci, na przykład sieć oddziału i centrum danych. Te rozwiązania służą różnym celom i powinny podlegać odrębnym zasadom dostępu. Połączenie oddziału nie powinno automatycznie zapewniać każdemu urządzeniu nieograniczonego dostępu do wszystkich aplikacji.

Często stosuje się rozwiązania oparte na protokołach IPsec i TLS, ale sama nazwa protokołu nie przesądza o bezpieczeństwie wdrożenia. Na jego poziom wpływają konfiguracja, obsługiwane wersje oprogramowania, zarządzanie certyfikatami oraz reakcja dostawcy na luki w zabezpieczeniach.

Uwzględnij w projekcie weryfikację tożsamości i urządzeń

Wymagaj uwierzytelniania wieloskładnikowego przy dostępie zdalnym, a tam, gdzie to możliwe, preferuj metody odporne na phishing. Oddziel dostęp administratorów od codziennego dostępu pracowników, niezwłocznie odbieraj uprawnienia osobom odchodzącym z pracy i ograniczaj użytkownikom dostęp do zasobów niezbędnych na ich stanowiskach. Zarządzane urządzenia dają organizacji także większą kontrolę nad aktualizacjami, ochroną punktów końcowych i danymi lokalnymi.

Te zabezpieczenia powinny działać również po nawiązaniu połączenia. Uwierzytelniony użytkownik może nadal korzystać z przejętego urządzenia lub mieć zbyt szeroki zakres uprawnień. Segmentacja sieci i autoryzacja na poziomie aplikacji pomagają zapobiec temu, by jedna przejęta sesja umożliwiła nieograniczone przemieszczanie się po środowisku.

Sieci VPN a dostęp oparty na modelu zerowego zaufania

Model zerowego zaufania to podejście architektoniczne, a nie pojedynczy produkt, który zapewnia bezpieczeństwo sieci. NIST SP 800-207 opisuje podejście skupione na zasobach i decyzjach dotyczących dostępu, a nie na domyślnym zaufaniu wynikającym z lokalizacji w sieci. Tunel VPN może być częścią takiego środowiska, ale samo połączenie przez bramę nie powinno być uznawane za wystarczające uprawnienie do dostępu.

Dostęp ukierunkowany na aplikacje może ograniczyć potrzebę udostępniania użytkownikom zdalnym szerokiego dostępu do sieci wewnętrznej. W przypadku niektórych aplikacji internetowych może to być lepsze rozwiązanie, natomiast starsze systemy lub łączność z oddziałami nadal mogą wymagać tunelu sieciowego. Wytyczne brytyjskiego NCSC dotyczące ZTNA stanowią przydatne ramy do oceny tej zmiany. Organizacje mogą stosować podejście mieszane, dopóki nie zastąpią starszych rozwiązań, od których są zależne.

Oceń wydajność w realistycznych warunkach

Porównaj przepustowość szyfrowanego ruchu, liczbę jednoczesnych sesji, szybkość nawiązywania połączeń oraz działanie przełączania awaryjnego przy ustawieniach zabezpieczeń, których zamierzasz używać. Nominalna szybkość interfejsu to nie to samo co użyteczna przepustowość szyfrowanego ruchu. Żadna warstwa sieci nie może zagwarantować zerowych opóźnień: wpływają na nie szyfrowanie, routing, przeciążenie i odległość fizyczna.

Przetestuj aplikacje istotne dla firmy, w tym połączenia głosowe, przesyłanie plików i systemy interaktywne. Rozwiązanie, które bez problemu obsługuje przesyłanie dużego pliku, może mimo to pogarszać komfort korzystania z rozmowy wideo przy dużym obciążeniu. Przeprowadź też test przełączenia awaryjnego, aby zespół wiedział, co dzieje się z aktywnymi sesjami w razie awarii bramy lub połączenia.

Traktuj bramę jako system o krytycznym znaczeniu

Bramy dostępne z internetu muszą mieć jasno wyznaczonego właściciela, obsługiwaną wersję oprogramowania i sprawny proces instalowania poprawek. Ogranicz dostęp do interfejsów zarządzania, monitoruj zdarzenia związane z dostępem i zachowaj przetestowaną ścieżkę odzyskiwania. Wspólne wytyczne CISA dotyczące nowoczesnego bezpieczeństwa dostępu do sieci wyjaśniają, dlaczego organizacje powinny ponownie ocenić tradycyjne rozwiązania dostępu zdalnego i zestawić je z nowszymi podejściami.

Zaplanuj odnawianie certyfikatów, tworzenie kopii zapasowych konfiguracji i dostęp awaryjny, zanim dojdzie do awarii. Nadmiarowe urządzenia są przydatne tylko wtedy, gdy uwzględniono również zależności w otoczeniu, w tym usługi tożsamości, zasilanie i łącza internetowe. Usługi zarządzane mogą ograniczyć nakład pracy operacyjnej, ale organizacja nadal musi jasno określić zakresy odpowiedzialności i mieć wgląd w zmiany oraz incydenty.

Wybór zrównoważonego podejścia

Korzystaj z korporacyjnej sieci VPN tam, gdzie niezbędna jest łączność sieciowa, a tam, gdzie lepiej odpowiada to potrzebom, stosuj węższy zakres dostępu do aplikacji. Najlepsze rozwiązanie łączy właściwą metodę połączenia z solidnymi mechanizmami kontroli tożsamości, segmentacją i bieżącym utrzymaniem. Subskrypcja konsumenckiej usługi VPN służy innym celom i nie powinna być przedstawiana jako zamiennik zarządzanego dostępu do systemów firmowych.