Cổng VPN doanh nghiệp: Truy cập từ xa an toàn và mô hình zero trust

Cổng VPN doanh nghiệp cung cấp cho nhân viên hoặc văn phòng chi nhánh một tuyến kết nối được mã hóa vào mạng của tổ chức. VPN vẫn hữu ích cho những hệ thống cần kết nối ở cấp độ mạng, nhưng mã hóa chỉ là một phần của việc bảo đảm truy cập an toàn. Việc xác minh danh tính, quản lý thiết bị, cập nhật bản vá và giới hạn tài nguyên mà mỗi kết nối có thể truy cập cũng quan trọng không kém.

Câu hỏi thiết thực khi chọn mua là: ai cần truy cập những tài nguyên nào, từ những thiết bị nào, và tổ chức sẽ khoanh vùng một tài khoản bị xâm phạm ra sao? Hãy bắt đầu từ đó trước khi so sánh thiết bị chuyên dụng, dịch vụ đám mây hay các con số thông lượng nổi bật.

VPN truy cập từ xa và VPN kết nối giữa các địa điểm

VPN truy cập từ xa kết nối một thiết bị cá nhân với môi trường của tổ chức. VPN kết nối giữa các địa điểm kết nối các mạng với nhau, chẳng hạn như mạng của văn phòng chi nhánh và trung tâm dữ liệu. Hai phương thức này giải quyết những vấn đề khác nhau và cần có chính sách truy cập riêng. Kết nối của một chi nhánh không nên tự động cấp cho mọi thiết bị quyền truy cập không hạn chế vào mọi ứng dụng.

Các giải pháp dựa trên IPsec và TLS là những phương thức phổ biến, nhưng chỉ riêng tên giao thức không quyết định mức độ an toàn của một hệ thống triển khai. Cấu hình, phiên bản phần mềm được hỗ trợ, việc quản lý chứng chỉ và cách nhà cung cấp ứng phó với các lỗ hổng đều ảnh hưởng đến kết quả.

Tích hợp việc xác minh danh tính và thiết bị vào thiết kế

Yêu cầu xác thực đa yếu tố khi truy cập từ xa và ưu tiên các phương thức chống lừa đảo qua mạng nếu được hỗ trợ. Tách quyền truy cập của quản trị viên khỏi hoạt động thường ngày của nhân viên, nhanh chóng thu hồi quyền khi nhân viên nghỉ việc và giới hạn người dùng ở những tài nguyên cần thiết cho vai trò của họ. Thiết bị được quản lý cũng giúp tổ chức kiểm soát tốt hơn việc cập nhật, bảo vệ thiết bị đầu cuối và dữ liệu lưu trữ cục bộ.

Các biện pháp kiểm soát này cần tiếp tục được duy trì sau khi kết nối đã thiết lập. Người dùng đã xác thực vẫn có thể đang sử dụng một thiết bị bị xâm phạm hoặc được cấp bộ quyền quá rộng. Phân đoạn mạng và phân quyền ở cấp ứng dụng giúp ngăn một phiên làm việc bị xâm phạm dẫn đến việc di chuyển không bị hạn chế trong toàn bộ môi trường.

VPN và truy cập theo mô hình zero trust

Zero trust là một phương pháp tiếp cận về kiến trúc, không phải một sản phẩm đơn lẻ có thể giúp mạng an toàn. NIST SP 800-207 mô tả phương pháp lấy tài nguyên và các quyết định truy cập làm trọng tâm, thay vì mặc nhiên tin cậy dựa trên vị trí mạng. Đường hầm VPN có thể là một phần của môi trường đó, nhưng không nên xem việc kết nối qua cổng VPN đơn thuần là sự cấp quyền đầy đủ.

Cách tiếp cận tập trung vào ứng dụng có thể giảm nhu cầu cho người dùng từ xa truy cập vào một mạng nội bộ rộng. Cách này có thể phù hợp hơn với một số ứng dụng web, trong khi các hệ thống cũ hoặc kết nối chi nhánh vẫn cần đường hầm mạng. Hướng dẫn ZTNA của UK NCSC cung cấp một khuôn khổ hữu ích để đánh giá quá trình chuyển đổi đó. Trong khi thay thế các thành phần phụ thuộc cũ, tổ chức có thể áp dụng phương thức kết hợp.

Đánh giá hiệu năng trong điều kiện thực tế

Hãy so sánh thông lượng mã hóa, số phiên đồng thời, tốc độ thiết lập kết nối và cách hệ thống chuyển đổi dự phòng trong điều kiện sử dụng các thiết lập bảo mật dự kiến. Tốc độ cổng giao tiếp thô không đồng nghĩa với thông lượng mã hóa có thể sử dụng. Không lớp mạng nào có thể bảo đảm độ trễ bằng không: mã hóa, định tuyến, tắc nghẽn và khoảng cách vật lý đều góp phần gây ra độ trễ.

Hãy thử nghiệm các ứng dụng quan trọng đối với doanh nghiệp, bao gồm cuộc gọi, truyền tệp và các hệ thống tương tác. Một thiết kế xử lý tốt việc truyền tệp dung lượng lớn vẫn có thể khiến trải nghiệm trong cuộc gọi video đông người trở nên khó chịu. Hãy tiến hành thử nghiệm chuyển đổi dự phòng để nhóm hiểu điều gì sẽ xảy ra với các phiên đang hoạt động khi cổng VPN hoặc kết nối gặp sự cố.

Xem cổng VPN là một hệ thống trọng yếu

Các cổng kết nối có thể truy cập từ Internet cần có người chịu trách nhiệm rõ ràng, phiên bản phần mềm còn được hỗ trợ và quy trình cập nhật bản vá nhanh chóng. Hạn chế quyền truy cập vào giao diện quản lý, theo dõi các sự kiện truy cập và duy trì một phương án khôi phục đã được kiểm thử. Hướng dẫn chung của CISA về bảo mật truy cập mạng hiện đại giải thích vì sao các tổ chức nên đánh giá lại thiết kế truy cập từ xa truyền thống song song với những phương pháp mới hơn.

Hãy lên kế hoạch gia hạn chứng chỉ, sao lưu cấu hình và duy trì quyền truy cập khẩn cấp trước khi xảy ra sự cố mất dịch vụ. Thiết bị dự phòng chỉ hữu ích khi các yếu tố phụ thuộc xung quanh, bao gồm dịch vụ định danh, nguồn điện và kết nối Internet, cũng đã được tính đến. Dịch vụ được quản lý có thể giảm khối lượng công việc vận hành, nhưng tổ chức vẫn cần phân định rõ trách nhiệm và nắm được thông tin về các thay đổi cũng như sự cố.

Lựa chọn phương án bền vững

Hãy duy trì VPN doanh nghiệp ở những nơi cần kết nối mạng và sử dụng phương thức truy cập ứng dụng có phạm vi hẹp hơn khi phù hợp với công việc. Thiết kế hiệu quả nhất kết hợp phương thức kết nối phù hợp với các biện pháp kiểm soát danh tính chặt chẽ, phân đoạn mạng và bảo trì liên tục. Gói thuê bao VPN dành cho người tiêu dùng phục vụ mục đích khác và không nên được xem là phương án thay thế cho việc quản lý quyền truy cập vào các hệ thống của công ty.