Корпоративные VPN-шлюзы: безопасный удалённый доступ и нулевое доверие

Корпоративный VPN-шлюз предоставляет сотрудникам или филиалам зашифрованный канал для подключения к сети организации. Он по-прежнему полезен системам, которым требуется сетевое подключение, однако шифрование — лишь один из элементов безопасного доступа. Не менее важны проверка личности, управление устройствами, установка обновлений и ограничение ресурсов, доступных через каждое подключение.

При выборе стоит задать практический вопрос: кому и к каким ресурсам нужен доступ, с каких устройств и как организация будет сдерживать последствия взлома учётной записи? Начните с этого, прежде чем сравнивать аппаратные решения, облачные сервисы или заявленные показатели пропускной способности.

VPN для удалённого доступа и VPN-соединения между площадками

VPN для удалённого доступа подключает отдельное устройство к среде организации. VPN-соединение между площадками объединяет сети, например сеть филиала и центра обработки данных. Эти варианты решают разные задачи, поэтому для них следует устанавливать разные политики доступа. Подключение филиала не должно автоматически предоставлять каждому устройству неограниченный доступ ко всем приложениям.

Распространены решения на базе IPsec и TLS, однако одно лишь название протокола не гарантирует безопасность его реализации. На результат влияют настройки, поддерживаемые версии программного обеспечения, управление сертификатами и скорость реагирования поставщика на уязвимости.

Включите проверку личности и устройств в архитектуру решения

Требуйте многофакторную аутентификацию для удалённого доступа и, если это поддерживается, отдавайте предпочтение методам, устойчивым к фишингу. Отделите доступ администраторов от повседневной работы сотрудников, своевременно закрывайте доступ тем, кто покидает организацию, и предоставляйте пользователям только те ресурсы, которые необходимы им для выполнения своих обязанностей. Управляемые устройства также позволяют организации лучше контролировать обновления, защиту конечных точек и локальные данные.

Эти меры контроля должны действовать и после установления соединения. Даже прошедшее аутентификацию устройство пользователя может быть скомпрометировано, а набор его разрешений — чрезмерно широким. Сегментация сети и авторизация на уровне приложений помогают не допустить, чтобы одна скомпрометированная сессия привела к беспрепятственному перемещению по всей среде организации.

VPN и доступ с нулевым доверием

Нулевое доверие — это архитектурный подход, а не отдельный продукт, который сам по себе обеспечивает безопасность сети. NIST SP 800-207 описывает подход, в центре которого находятся ресурсы и решения о предоставлении доступа, а не безусловное доверие, основанное на местоположении в сети. VPN-туннель может быть частью такой среды, однако само подключение через шлюз не следует считать достаточным основанием для предоставления доступа.

Доступ с ориентацией на приложения позволяет реже открывать удалённым пользователям широкую внутреннюю сеть. Для некоторых веб-приложений такой вариант может подойти лучше, тогда как устаревшим системам и соединениям между филиалами всё ещё может требоваться сетевой туннель. Рекомендации UK NCSC по ZTNA предлагают полезную основу для оценки такого перехода. Организации могут использовать смешанный подход, пока заменяют устаревшие зависимости.

Оценивайте производительность в реалистичных условиях

Сравнивайте пропускную способность при шифровании, количество одновременных сессий, скорость установления соединений и работу переключения на резервные ресурсы при тех настройках безопасности, которые планируете использовать. Номинальная скорость интерфейса — не то же самое, что полезная пропускная способность зашифрованного канала. Ни один уровень сетевой инфраструктуры не может гарантировать нулевую задержку: на неё влияют шифрование, маршрутизация, перегрузка сети и физическое расстояние.

Проверьте работу важных для бизнеса приложений, в том числе звонков, передачи файлов и интерактивных систем. Решение, которое без труда справляется с передачей большого файла, всё же может создавать неудобства во время видеозвонка при высокой нагрузке. Проведите проверку переключения на резервный канал, чтобы команда понимала, что произойдёт с активными сессиями при отказе шлюза или соединения.

Считайте шлюз критически важной системой

У шлюзов, доступных из интернета, должны быть назначенный ответственный, поддерживаемая версия программного обеспечения и отлаженный процесс оперативной установки исправлений. Ограничьте доступ к интерфейсам управления, отслеживайте события доступа и обеспечьте проверенный способ восстановления. Совместные рекомендации CISA по современным подходам к безопасности сетевого доступа объясняют, почему организациям следует пересматривать традиционные решения для удалённого доступа наряду с новыми подходами.

Заранее спланируйте продление сертификатов, резервное копирование конфигураций и экстренный доступ на случай сбоя. Резервное оборудование полезно только тогда, когда учтены и связанные зависимости, включая службы идентификации, электропитание и интернет-каналы. Управляемые сервисы могут снизить объём операционной работы, но организации всё равно необходимы чёткое распределение обязанностей и возможность отслеживать изменения и инциденты.

Выберите устойчивый подход

Используйте корпоративный VPN там, где необходимо сетевое подключение, а для других задач выбирайте более узкий доступ к приложениям, если он подходит лучше. Наиболее надёжное решение сочетает подходящий способ подключения с эффективными средствами контроля доступа, сегментацией и постоянным обслуживанием. Подписка на потребительский VPN-сервис предназначена для других целей и не должна преподноситься как замена управляемому доступу к системам компании.