A ZTNA-val a vállalat szabályozhatja, ki mihez fér hozzá

Röviden

• A hagyományos VPN helyett a ZTNA az egyes alkalmazásokhoz rendelt, ellenőrzött hozzáférést helyezi előtérbe.
• A szűkebb jogosultság mérsékelheti a támadási felületet, miközben a felhőalapú védelem átalakítja az infrastruktúra költségeit.
• A vezetésnek a hozzáférési igényeket, a meglévő rendszereket és a szállítófüggőség kockázatait együtt érdemes felmérnie.

Egy külsős fejlesztőnek hozzá kell férnie a vállalat egyik alkalmazásához. A hagyományos megoldás szerint VPN-kapcsolatot kap, majd a belső hálózaton kialakított jogosultságai szabják meg, merre mehet tovább. A DIG-IT Podcastban bemutatott másik megközelítés ennél szűkebbre szabja a hozzáférést. A fejlesztő csak azt az alkalmazást érheti el, amelyre a munkájához szüksége van. Ha a számítógépe megfertőződik, a támadó mozgástere is korlátozottabb lehet. A különbség nem pusztán informatikai részlet, hanem a vállalat kockázatvállalásáról szóló döntés.

A ZTNA VPN helyett történő bevezetése éppen ezért többet jelent egy távoli hozzáférési szolgáltatás cseréjénél. A bizalom alapja változik meg. A vállalati hálózatra történő sikeres belépés önmagában nem adhat általános felhatalmazást a belső erőforrások használatára. A zéró bizalmon alapuló hálózati hozzáférés (Zero Trust Network Access, ZTNA) a felhasználóhoz, az eszközhöz és a szükséges alkalmazáshoz igazítja az engedélyeket. Ez különösen fontos ott, ahol a munkatársak otthonról dolgoznak, a partnerek saját eszközökkel kapcsolódnak, az alkalmazások pedig többféle felhőkörnyezetben működnek. A kérdés már nem az, hol húzódik a vállalati hálózat határa, hanem az, hogy egy adott kapcsolat pontosan mire jogosít.

A ZTNA VPN helyett szűkebb hozzáférést ad

A klasszikus VPN titkosított kapcsolatot biztosíthat a távoli felhasználó és a vállalati környezet között. Ez azonban nem azonos a részletes jogosultságkezeléssel. A VPN mellett is kialakítható erős hitelesítés, szegmentálás és alkalmazásszintű védelem. A problémát az okozza, ha a sikeres csatlakozás után indokolatlanul sok hálózati erőforrás válik elérhetővé. A DIG-IT Podcast külsős fejlesztőkről szóló beszélgetésében a résztvevők pontosan ezt a különbséget emelték ki. Az alkalmazásra korlátozott kapcsolat lényegesen szűkebb mozgásteret adhat, mint a kiterjedt hálózati hozzáférés.

Az alapelv mögött nem kizárólag gyártói érvelés áll. A Strategy for Implementing of Zero Trust Architecture című, az IEEE Transactions on Reliability folyóiratban megjelent tanulmány a pontos hitelesítést, a minimális jogosultságot és a folyamatos ellenőrzést emeli ki. A szerzők a távoli munkavégzés terjedésével összefüggő biztonsági kihívásokat is vizsgálják. A megközelítés lényege, hogy a felhasználó korábbi hitelesítése vagy hálózati helyzete nem indokolhat tartós, feltétel nélküli bizalmat. Ebből a vezetői gyakorlat számára világos következmény adódik. Először azt kell tisztázni, melyik munkakörnek milyen erőforrásra van szüksége. A technológiai választás csak erre épülhet.

Az új hozzáférési modell bevezetése ugyanakkor nem teszi feleslegessé a már működő biztonsági eszközöket. A tűzfalak, a hálózati szegmentálás és a végpontvédelem továbbra is elláthatnak fontos feladatokat. A ZTNA más ponton avatkozik be. Már a kapcsolat létrehozásakor korlátozhatja az elérhető erőforrásokat. Egy kompromittált felhasználói fiók így nem feltétlenül nyit utat a teljes belső hálózathoz. A védelem eredményessége azonban a helyesen kialakított jogosultságoktól is függ. Hibás szabályok mellett egy korszerű hozzáférési rendszer sem jelent automatikus biztonságot.

A felhőalapú védelem átrajzolja a költségeket

A távoli munkavégzés hagyományos kialakításában a forgalom gyakran a vállalat központi hálózatán halad át. A munkatárs innen éri el a szükséges szolgáltatást, esetenként még akkor is, ha az eleve az interneten található. A DIG-IT Podcast költségekről szóló részében a résztvevők ennek az infrastruktúrának a terhelését vizsgálták. A felhőalapú biztonsági szolgáltatás bizonyos forgalmat közvetlenebb útvonalon kezelhet. Emiatt kisebb központi tűzfalkapacitásra lehet szükség, és a telephelyi infrastruktúra fejlesztési igénye is változhat.

Ehhez kapcsolódik a biztonságos hozzáférési szolgáltatásperem (Secure Access Service Edge, SASE) megközelítés. A modell hálózati kapcsolódási és biztonsági funkciókat fog össze, jellemzően felhőből nyújtott szolgáltatásokkal. A ZTNA ennek egyik hozzáférésvédelmi eleme lehet. A két fogalmat ezért nem érdemes egymás szinonimájaként használni. A ZTNA azt szabályozza, ki milyen erőforráshoz kapcsolódhat. A SASE ennél szélesebb infrastruktúra- és szolgáltatási keret, amely a forgalom kezelését és védelmét is érinti. A vezetői döntésnek ezt a különbséget is követnie kell.

Az adásban elhangzott egy gyártói anyagból származó állítás, amely 60 százalékos költségcsökkenést és akár tízszer gyorsabb böngészést említett. Ezek nem tekinthetők általánosan igazolt vállalati eredménynek. A leirat nem tartalmaz olyan összehasonlító módszertant, amelyből a számok alkalmazhatósága megítélhető lenne. A Control IT oldaláról megszólaló szakember a költségelőnyt a központi infrastruktúra kisebb terhelésével magyarázta. Ez érdemi műszaki érv, de önmagában nem bizonyít meghatározott megtakarítási arányt. A teljes tulajdonlási költség (TCO) megítéléséhez az előfizetéseket, az átállást, az üzemeltetést és a meglévő eszközök költségeit egyaránt számításba kell venni.

A közvetlenebb kapcsolódás a felhasználói élményt is befolyásolhatja. A beszélgetésben elhangzott példa szerint egy külföldön dolgozó munkatárs földrajzilag közelebbi szolgáltatási ponthoz kapcsolódhat. Így nem minden forgalomnak kell a magyar központon keresztül haladnia. A kisebb késleltetés azonban nem következik automatikusan minden felhőalapú kialakításból. Számít a szolgáltatási pontok elhelyezkedése, az alkalmazások helye és a hálózati útvonal is. Egy több telephellyel működő vállalatnak ezért a tényleges adatforgalom és a felhasználói igények alapján érdemes összehasonlítania a lehetőségeket.

Az ipari hálózatok más kompromisszumot kívánnak

Az irodai alkalmazásokhoz kialakított megoldás nem ültethető át változtatás nélkül minden üzemi környezetbe. A DIG-IT Podcast ipari rendszerekről szóló szakaszában külön felmerült a termelési és irányítási rendszerek védelme. A résztvevők óvatosságot sürgettek a felhő irányába történő átalakítással kapcsolatban. Az ilyen rendszereknél a rendelkezésre állás és a működési követelmények más hozzáférési megoldásokat indokolhatnak. Ebből azonban nem következik, hogy a zéró bizalom elve kizárólag irodai környezetben alkalmazható.

Tóth Ádám a Hadmérnök folyóiratban közölt, ipari ZTNA-hozzáférésről szóló tanulmánya kifejezetten ezt a területet vizsgálja. A szakirodalmi áttekintés szerint a ZTNA növelheti az ipari rendszerek kiberbiztonságát. A bevezetés eredménye ugyanakkor az infrastruktúra előkészítésétől, a fokozatosságtól és a költség-haszon mérlegeléstől függ. A tanulmány az ipari hálózatok rétegzett felépítését is figyelembe veszi. Ez árnyalja azt az elképzelést, hogy az ipari környezetnek feltétlenül kívül kell maradnia a hozzáférésvédelem átalakításán. Az irodai és üzemi rendszerekhez eltérő megvalósítás lehet indokolt, miközben a jogosultságok szűkítése közös cél marad.

Hasonló különbségek jelennek meg a külső partnerek kezelésében. Egy alkalmazásfejlesztőnek szüksége lehet meghatározott webes felületre vagy parancssori kapcsolatra. Ettől még nincs üzleti indok arra, hogy a vállalat teljes hálózata elérhető legyen számára. A DIG-IT Podcastban bemutatott megoldás elkülönített erőforrásokhoz és konkrét alkalmazásokhoz kapcsolja az engedélyezést. A beszélgetés kitér a saját eszközök használatára (Bring Your Own Device, BYOD) is. Az eszköz megfelelősége és a felhasználó jogosultsága együtt befolyásolhatja a hozzáférési döntést. A szigorúbb korlátozás ugyanakkor gondos tervezést igényel, különben a jogos munkavégzés is akadályokba ütközhet.

A böngészőben dőlhet el az adatok sorsa

A hálózati hozzáférés kérdése önmagában nem fedi le a teljes problémát. A DIG-IT Podcastban elhangzott megfigyelés szerint a böngésző sok munkavállalónál már a napi munkakörnyezet központi eleme. Ezen keresztül használják a levelezést, a CRM-rendszereket és a generatív mesterségesintelligencia-alkalmazásokat. A böngészővédelemről szóló beszélgetés arra hívta fel a figyelmet, hogy a vállalati ellenőrzés nélküli böngésző jelentős vakfoltot hagyhat. A hálózati kapcsolat biztonsága ugyanis nem garantálja, hogy a felhasználó megfelelő helyre másolja az adatokat. A böngészőben végzett műveletek ezért külön figyelmet érdemelnek.

Különösen érzékeny kérdés az árnyék-MI, amikor a munkatárs a vállalat által nem jóváhagyott mesterségesintelligencia-szolgáltatást használja. A beszélgetésben egy vállalati dokumentum nyilvános szolgáltatásba másolása szolgált szemléltetésként. A probléma nem feltétlenül a technológia használata, hanem az ellenőrizetlen adatátadás. Az adatszivárgás-megelőzés (Data Loss Prevention, DLP) célja az érzékeny információk illetéktelen továbbításának korlátozása. A résztvevők szerint a régebbi, egyszerű kulcsszavas szűrés nem minden esetben elegendő. A teljes tiltás helyett ezért a láthatóságot, az engedélyezési szabályokat és a felhasználói tudatosságot együtt kezelő megközelítést tartották célszerűnek.

Ez a hozzáféréskezelés szempontjából is fontos összefüggés. Egy alkalmazás használatának engedélyezése még nem jelenti, hogy az alkalmazásban minden művelet elfogadható. A ZTNA meghatározhatja az elérhető erőforrásokat, de az adatmozgások ellenőrzéséhez további védelmi képességekre lehet szükség. A vezetés számára ezért a jogosultságkezelés és az adatvédelmi szabályok nem választhatók teljesen külön. Az is lényeges, hogy a megfigyelés és a naplózás milyen munkavállalói adatokat érint. Az ellenőrzés módjának összhangban kell állnia az alkalmazandó adatvédelmi és munkajogi követelményekkel. A konkrét megfelelőség a rendszer kialakításától és a felhasználás körülményeitől függ.

A szállítófüggőség a biztonsági döntés része

Az egységes biztonsági szolgáltatásnak működési előnyei lehetnek. A vállalat kevesebb különálló elemet kezelhet, és egyszerűbbé válhat a szabályok összehangolása. Az integrált kialakítás azonban a szolgáltatótól való függőséget is növelheti. A DIG-IT Podcast szállítófüggőségről szóló vitájában a Check Point képviselői a más gyártók rendszereivel való együttműködést hangsúlyozták. Ez fontos gyártói vállalás, de a tényleges átjárhatóságot az adott vállalati környezetben kell igazolni. Más kérdés, hogy két termék képes együttműködni, és megint más, hogy a vállalat milyen költséggel tud később szolgáltatót váltani.

A hozzáférési szabályok hordozhatósága, a naplóadatok elérhetősége és a meglévő rendszerek integrálhatósága ezért beszerzési szempont is. Az ACM Transactions on Privacy and Security folyóiratban megjelent ZT-SDN kutatás a hozzáférési szabályok kialakításának nehézségére mutat rá. A szerzők szerint a kommunikációs igények hiányos ismerete megnehezíti a szabályok kézi meghatározását. Kutatásuk automatizált szabályalkotási megközelítést vizsgál, hálózati adatokból tanult mintázatokkal. Ez nem bizonyítja egy konkrét kereskedelmi szolgáltatás megfelelőségét. Arra viszont rámutat, hogy a jól működő ZTNA-architektúrához a vállalat saját alkalmazásainak és adatkapcsolatainak pontos ismerete szükséges.

A DIG-IT olvasata szerint a VPN leváltásának legnehezebb része nem feltétlenül a technológia beszerzése. A vállalatnak előbb számot kell vetnie azzal, hogy a munkavállalók és a partnerek valójában milyen hozzáféréseket használnak. A túl széles jogosultság gyakran kényelmesebbnek látszik, mert kevesebb kivételkezelést követel. Ennek ára azonban a nehezebben átlátható kockázat. A zéró bizalom szemlélete ezt a kényelmet helyezi mérlegre. A cél nem az, hogy minden kapcsolat bonyolultabb legyen, hanem hogy a szükséges hozzáférés pontosabban meghatározható és ellenőrizhető maradjon.

A mesterséges intelligencia további nyomást helyez erre a modellre. A DIG-IT Podcast kiberbiztonsági versenyről szóló részében a vendégek a támadói és védekezői MI-eszközök gyors fejlődéséről beszéltek. A beszélgetésből nem állapítható meg, melyik oldal rendelkezik tartós előnnyel. Az viszont világos vezetői kérdés, hogy az automatizált műveletekhez milyen jogosultságok társulnak, és ki ellenőrzi ezeket. A Check Point képviselői az adás végén úgy fogalmaztak, hogy a tűzfal már nem a teljes biztonsági megoldás, hanem annak egyik eleme. A következő döntés így nem pusztán a VPN jövőjéről szól, hanem arról is, ki szabhatja meg a vállalat rendszereiben végzett műveletek határait. A téma részletesebb megértéséhez érdemes meghallgatni a DIG-IT Podcast ZTNA-ról és a VPN utáni vállalati védelemről szóló adását.

DIG-IT Podcast szerkesztőség - All rights Reserved.