Моделът за отдалечен достъп се променя от мрежова свързаност към проверка на идентичността
В продължение на години VPN беше стандартното решение за отдалечен достъп. Моделът беше сравнително прост – потребителят се удостоверява, създава защитен тунел към корпоративната мрежа и получава достъп до необходимите ресурси. Този подход работеше добре в свят, в който служителите основно работеха от офиса и се свързваха дистанционно само при необходимост.
Този свят вече не съществува.
Днес приложенията са разпределени между SaaS платформи, публични и частни облаци и локални центрове за данни. Потребителите работят от домове, хотели, летища и клиентски обекти. В същото време атакуващите все по-често насочват вниманието си към VPN шлюзовете, защото те са директно изложени към интернет и представляват входна точка към корпоративната инфраструктура.
Проблемът не е криптирането, а моделът на доверие
Съвременните VPN решения могат да осигурят надеждно криптиране. Основният проблем е друг – след успешна автентикация потребителят често получава мрежов достъп, който е по-широк от реално необходимия.
Това създава сериозен риск. Ако идентификационни данни бъдат откраднати или самият VPN шлюз бъде компрометиран, атакуващият може да получи възможност за странично придвижване, ескалация на привилегии и последващо разгръщане на рансъмуер.
Традиционният модел до голяма степен пита: „Кой се удостоверява?“. Zero Trust моделът задава много повече въпроси – кой е потребителят, от какво устройство се свързва, до кое приложение иска достъп и какъв е рискът на конкретната сесия.
Zero Trust заменя мрежовия достъп с достъп до конкретен ресурс
Това е фундаменталната промяна. Вместо потребителят да бъде поставян „вътре“ в мрежата, той получава достъп само до приложенията и ресурсите, за които има разрешение.
Идентичността се превръща в основата на сигурния достъп, а не местоположението на потребителя или принадлежността му към определена мрежа.
Този подход е особено важен за хибридните организации, в които традиционният корпоративен периметър практически е изчезнал. MFA, принципът на най-малките привилегии, непрекъснатата проверка и детайлното регистриране на активността естествено се вписват в Zero Trust архитектурата.
VPN носи и оперативна тежест
Проблемът не е само в сигурността. За ИТ екипите и доставчиците на управлявани услуги VPN инфраструктурата означава постоянна поддръжка – управление на сертификати, правила на защитни стени, отстраняване на проблеми със свързаността, аварийно пачване и реакция при новооткрити уязвимости.
За MSP доставчиците този модел се мащабира трудно, особено когато трябва да се управляват десетки клиенти с различни среди и политики.
Затова Security Service Edge платформите все по-често се използват като по-широка алтернатива. Те комбинират защитен интернет достъп, Zero Trust Network Access, облачно управление и политики, базирани на идентичността.
FireCloud и преходът към SSE
WatchGuard развива FireCloud именно в тази посока. Платформата започва като решение за защитен интернет достъп чрез Secure Web Gateway и Firewall-as-a-Service, но постепенно се разширява до по-пълна Security Service Edge архитектура.
Днес подходът включва Zero Trust достъп до частни приложения, интеграция с идентичности, глобални точки на присъствие, централизирано управление чрез WatchGuard Cloud и интеграция с ThreatSync.
VPN няма да изчезне незабавно. Той ще остане необходим за определени наследени системи и site-to-site свързаност. Но при отдалечения достъп тенденцията е ясна – бъдещето не принадлежи на по-силния VPN, а на архитектури, които проверяват всяка сесия и предоставят достъп само до това, което потребителят действително трябва да използва.
