Zéró bizalmi távoli elérés (ZTNA)
A hagyományos VPN-t alkalmazásszintű hozzáféréssel váltjuk ki: a felhasználó csak azt látja, amihez jogosult, és csak ellenőrzött eszközről csatlakozhat.
VPN és ZTNA
Mi változik a VPN-hez képest
A VPN-nel a távoli felhasználó úgy dolgozik, mintha az irodában ülne. Ha a laptopja kompromittálódik, a támadó is.
Alkalmazásszintű kapcsolat
VPN-kapcsolat után a felhasználó a belső hálózaton van. ZTNA-val egy adott alkalmazáshoz kapcsolódik, és csak ahhoz.
Minden kérés külön elbírálva
A VPN logikája szerint aki bejutott, megbízható. A ZTNA minden hozzáférési kérést külön ellenőriz, bárhonnan érkezik is.
Nincs mit felderíteni
Ami nincs kifejezetten engedélyezve, az nem látszik, ezért egy kompromittált gépről sem lehet felderíteni.
Az eszköz állapota is számít
A döntés része, hogy ismert-e a gép, titkosított-e a lemeze, fut-e rajta végpontvédelem és naprakész-e az operációs rendszere. Nem felügyelt eszközről nem jár ugyanaz a hozzáférés, mint vállalatiról.
Napló alkalmazás- és műveletszinten
A VPN a kapcsolatot naplózza, a ZTNA azt is, ki melyik alkalmazásban mit csinált. Ez a napló alapból nem kerül a SIEM-be, a bekötését külön be kell állítani.
Az átállás
Lépésenként a VPN-ről
A ZTNA az identitásra épül. Előbb a központi azonosítás és az MFA, aztán az eszközkezelés kerül rendbe, és csak utána jön az átállás, különben a projekt megakad.
-
Alkalmazás-leltár
Felmérjük, mit érnek el ma a felhasználók VPN-en. A lista jellemzően rövidebb a vártnál, és sok olyan elem van rajta, amit már senki nem használ.
-
Az első alkalmazás
Érdemes egy jól körülhatárolt webes alkalmazással indulni, kisebb felhasználói körrel.
-
Külső felek
A szállítók és alvállalkozók következnek. Náluk a legnagyobb a kockázatcsökkenés, és nekik a folyamat úgyis új, ezért kevésbé állnak ellen.
-
Párhuzamos üzem
A VPN élesben marad, amíg a ZTNA le nem fedi a fő használati eseteket. A kikapcsolásáról tudatosan kell dönteni, kényszer nélkül.
-
A VPN kivezetése
Az örökölt alkalmazások miatt ez gyakran sokáig elhúzódik. Amíg a VPN üzemel, rajta is kell MFA és hálózati szegmentálás. A bevezetés utáni üzemeltetés egyedi megállapodás alapján kérhető.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A távoli elérési igények felmérése
- Alkalmazásonkénti hozzáférési szabályok
- Eszközmegfelelőségi ellenőrzés a csatlakozáskor
- Fokozatos átállás a meglévő VPN-ről
Kapcsolódó szolgáltatások
Amire a ZTNA támaszkodik
Ezekre a területekre külön szolgáltatást is vállalunk.
Hozzáférés-kezelés (IAM)
Ki, mihez, milyen hitelesítéssel fér hozzá, és mi történik belépéskor, szerepkörváltáskor és kilépéskor.
Végpontvédelem (EDR/XDR)
Viselkedésalapú védelem a munkaállomásokon és a szervereken.
SIEM és naplókezelés
Valós idejű fenyegetésészlelés és irányítópultok a teljes környezetre.
Gyakori kérdések
Amit a legtöbben kérdeznek
Mikor éri meg a VPN-ről ZTNA-ra váltani?
Ha sok a külső fél, például szállító, alvállalkozó vagy karbantartó: VPN-nel rálátnak a hálózatra, ZTNA-val csak arra, amin dolgozniuk kell. Akkor is, ha a szervezet főleg felhős alkalmazásokat használ, mert a VPN a forgalmat a központon át vezeti a felhőbe. Végül ha a VPN-koncentrátor lett a szűk keresztmetszet, ami a távmunka óta sok helyen így van. A szempontokat a ZTNA és a VPN összehasonlításáról szóló cikkünkben részletesen végigvettük.
Mi a teendő, ha még nincs rendezett identitáskezelés?
Ilyenkor a hozzáférés-kezeléssel érdemes kezdeni, a ZTNA erre épülhet rá. Az elv tágabb hátteréről a Zero Trust architektúráról szóló cikkünkben írtunk.
Minden alkalmazás átvihető ZTNA-ra?
Nem mindegyik. A ZTNA-megoldások jelentős része webes protokollra optimalizált, a régi kliens-szerver alkalmazások támogatása egyenetlen. Az OT-környezet szállítói hozzáféréséhez más eszköz kell: ugródeszka-szerver, munkamenet-rögzítés és igény szerinti aktiválás. Erről az OT távoli karbantartásáról szóló cikkünkben írtunk.
Mire kell még figyelni a bevezetéskor?
A ZTNA nem helyettesíti a végpontvédelmet: ha a gép fertőzött, a fertőzött gépet engedi be az alkalmazáshoz. A ZTNA-átjáró a hozzáférés kritikus útvonalába kerül, és ha kiesik, senki nem tud dolgozni. Ezért redundancia és tesztelt kiesési forgatókönyv kell hozzá.
