Zpedia
/ What Is Secure Remote Access?
Безопасный удаленный доступ — это общий термин, который относится к мерам безопасности, политикам и технологиям, используемым организациями для предоставления доступа к сети, устройствам и приложениям из мест за пределами корпоративного офиса с высоким уровнем безопасности.
Как это работает?
Безопасный удаленный доступ позволяет сотрудникам, находящимся вне офиса, использовать ресурсы, необходимые им для эффективной работы. Он предоставляет им возможность подключаться к центру обработки данных, сети, приложениям или облачным ресурсам со своих удаленных устройств через незащищенные домашние или общедоступные сети Wi-Fi, а не через корпоративную сеть.
Безопасный удаленный доступ обеспечивает современным гибридным сотрудникам буфер между их конечной точкой и интернетом, позволяя устанавливать удаленные соединения при минимальном риске несанкционированного доступа.
Технологии и политики безопасного удаленного доступа различаются в разных компаниях, так как у каждого ИТ-отдела есть свои собственные инсталляции, требования и бюджет для обеспечения безопасного доступа из любой точки мира.
Почему безопасный удаленный доступ важен?
Сегодня многие компании нанимают сотрудников по принципу квалификации, а не местоположения. Удаленная и гибридная работа прочно вошли в нашу жизнь, и в условиях постоянно растущего числа киберугроз и уязвимостей безопасный удаленный доступ вышел на первое место в списках приоритетов ИТ-отделов и отделов безопасности по всему миру, независимо от отрасли.
В прошлом сотрудники организации находились в ее сети, а все приложения располагались в центре обработки данных, подключенном к этой же сети. Но с началом пандемии COVID-19 компании были вынуждены быстро перейти на удаленную работу, чтобы сохранять продуктивность и прибыльность. Это означало внедрение решений для удаленного доступа, которые позволяли бы пользователям работать с внутренними приложениями, такими как Microsoft 365, путем предоставления к ним доступа удаленным пользователям через сеть или другими методами.
Современные стандарты безопасности кардинально отличаются от тех, что были даже пять лет назад, и парадигма, окружающая технологии безопасного удаленного доступа, быстро меняется.
Какие технологии используются для безопасного удаленного доступа?
На рынке представлен широкий спектр решений для удаленного доступа. Давайте рассмотрим некоторые из тех, которые наиболее часто используются современными организациями.
Виртуальная частная сеть (VPN)
Это прародитель всех решений для безопасного удаленного доступа. VPN обеспечивает доступ к корпоративной сети компании через туннель, который располагается между сетью и удаленным пользователем. После прохождения аутентификации пользователи получают неограниченный сетевой доступ и могут перемещаться по сети в латеральном направлении.
Двухфакторная / многофакторная аутентификация (2FA/MFA)
С помощью этого метода пользователь получает доступ к корпоративной сети или ресурсам, выполняя аутентификацию как минимум двумя способами. Это может быть любая комбинация пароля, адреса электронной почты, удаленного рабочего стола, мобильного устройства или даже биометрии, например отпечатка пальца. Если пользователь не может пройти аутентификацию по обоим или всем фронтам, запрос отклоняется.
Единый вход (SSO)
SSO позволяет пользователю получать доступ к любым ресурсам с помощью одной формы аутентификации (отсюда и «единый»). Он часто используется компаниями любого размера, а также частными лицами, чтобы не управлять множеством имен пользователей и паролей.
Управление привилегированным доступом (PAM)
PAM относится к объединению людей, процессов и технологий для управления доступом. Это дает ИТ-специалистам большую прозрачность в отношении учетных записей за счет их мониторинга в режиме реального времени, а также остановки кибератак и внутренних угроз, оптимизации операционной эффективности и обеспечения соответствия требованиям. С помощью PAM пользователям предоставляется доступ только к тем ресурсам, на которые у них есть разрешение, а управление доступом становится намного более жестким.
Преимущества безопасного удаленного доступа
Решения для безопасного удаленного доступа — ценный актив для вашей организации, который помогает:
- Обеспечить безопасность конфиденциальных данных. Защитите данные вашей организации, ограничив доступ из внешних источников и предоставляя его только безопасным и контролируемым способом. Это значительно снижает профиль риска вашей организации, что крайне важно в условиях множества современных продвинутых угроз.
- Сократить поверхность атаки. Защищайтесь еще эффективнее от сложных угроз, уменьшая количество векторов атак, которые киберпреступники могут использовать для проникновения в удаленные конечные точки. Это помогает улучшить состояние безопасности вашей организации.
- Достигать и поддерживать соответствие требованиям. Помогите своей организации избежать несоблюдения требований в условиях растущего числа нормативных актов по защите данных и конфиденциальности, предотвращая утечки и потерю данных.
Меняющиеся тенденции
Уже несколько десятилетий ИТ-специалисты полагаются на VPN для обеспечения безопасного удаленного доступа. Эта практика сохранялась даже тогда, когда все больше пользователей стали работать вне сети и получать доступ к корпоративным ресурсам со своих ноутбуков или мобильных устройств, а все больше приложений и инфраструктуры перемещалось в облако.
В конце концов ИТ-отделам и отделам безопасности пришлось задать себе сложный вопрос: когда так много пользователей находятся вне сети, а так много приложений — в облаке, имеет ли вообще смысл подключать удаленных пользователей к внутренней сети?
Привязка безопасности к сети — суть проблем старой модели удаленного доступа. В дополнение к более высокой задержке организации, полагающиеся на устаревшую технологию VPN, сталкиваются с повышенным риском в двух ключевых областях:
- Присущее им, зачастую чрезмерное доверие
- Повышенный риск доступа к внешней сети
В отличие от подхода с нулевым доверием (zero trust), старые архитектуры по принципу «крепости и рва», которые сильно зависят от VPN, часто доверяют слишком легко. Эта ошибочная философия создает «плоскую» сеть, которая зависит от IP-адресов, элементов контроля доступа на основе конечных точек и других факторов для определения аутентификации в корпоративной сети. Как только пользователь попадает в одну из таких плохих сетей, он может перемещаться по всей корпоративной сети.
Это позволяет злоумышленникам использовать поверхность атаки VPN для проникновения в сеть и запуска программ-вымогателей, фишинговых атак, отказа в обслуживании и других средств эксфильтрации критически важных бизнес-данных.
В отличие от этого, подход с нулевым доверием рассматривает весь трафик, включая трафик, уже находящийся внутри периметра, как враждебный. Если рабочие нагрузки не были идентифицированы с помощью набора контекстных атрибутов, они считаются ненадежными, и связь с ними блокируется.
Как мы рассмотрим ниже, безопасный удаленный доступ эволюционировал, чтобы удовлетворить требования сегодняшнего мира, ориентированного в первую очередь на облака (cloud-first).
Переосмысление безопасного удаленного доступа с помощью технологии ZTNA (Zero Trust Network Access)
В ответ на современные потребности ИТ-команды используют платформу доступа с нулевым доверием (ZTNA), также известную как программно-определяемый периметр [SDP], для обеспечения безопасного удаленного доступа для пользователей, находящихся вне сети. ZTNA обеспечивает безопасный доступ к частным корпоративным приложениям независимо от того, размещены ли они в публичных облаках, частных облаках или вашем центре обработки данных, без необходимости использования VPN.
ZTNA основана на модели адаптивного доверия, где доверие никогда не является неявным, а доступ предоставляется на основе служебной необходимости (need-to-know) и минимальных привилегий, определяемых детализированными политиками безопасности. Эти решения безопасности не требуют физических устройств и могут быть развернуты в любой среде для поддержки всех приложений REST API.
Чтобы решение считалось ZTNA, оно должно соответствовать следующим четырем принципам:
- ZTNA отделяет предоставление доступа к приложениям от доступа к сети. Это снижает риски для вашей сети, такие как заражение скомпрометированными устройствами, и предоставляет доступ к приложениям только авторизованным пользователям.
- Исходящие соединения от приложения к пользователю гарантируют, что как сетевая инфраструктура, так и инфраструктура приложений остаются невидимыми для неавторизованных пользователей. IP-адреса никогда не раскрываются в интернете, что создает «темную сеть» (darknet), делая сеть невозможной для обнаружения.
- Сегментация приложений гарантирует, что после авторизации пользователей доступ к приложениям предоставляется на индивидуальной основе, так что авторизованные пользователи имеют доступ только к конкретным приложениям, а не полный доступ к сети.
- ZTNA использует подход «от пользователя к приложению», а не сетецентричный подход к безопасности. Сеть уходит на второй план, а интернет становится новой корпоративной сетью, в которой вместо MPLS используются сквозные зашифрованные микротуннели TLS.
Почему ZTNA эффективнее VPN для безопасного удаленного доступа
Когда речь заходит о безопасном удаленном доступе, цифровизация изменила абсолютно все. Как отмечалось выше, VPN больше не справляются с современными сложными угрозами и объемами пользователей, подключающихся к частным приложениям вне сети. Это может стать причиной серьезных проблем с пользовательским опытом, возможностью подключения, безопасностью и администрированием.
ZTNA, с другой стороны, обеспечивает лучший опыт для удаленных сотрудников. Больше не нужно входить в громоздкий VPN. Вместо этого доступ является непрерывным независимо от изменений сетевого подключения. Кроме того, ZTNA снижает задержку доступа для более быстрой работы — независимо от местоположения.
Более того, ZTNA улучшает ваш уровень безопасности за счет отказа от сетевой безопасности в пользу защиты соединения между пользователем и приложением. Доступ предоставляется на индивидуальной основе, позволяя только авторизованным пользователям работать с конкретными приложениями. Боковое перемещение (lateral movement) становится невозможным, а поверхность атаки уменьшается. Сети и приложения скрыты от неавторизованных пользователей, а IP-адреса никогда не раскрываются, что снижает угрозу атак из интернета.
В отличие от VPN, инструменты ZTNA просты в управлении. Это объясняется тем, что при использовании ZTNA нет необходимости устанавливать, настраивать и обслуживать физические устройства. Решение не привязано к IP-адресам, поэтому нет необходимости управлять списками контроля доступа (ACL), правилами брандмауэра или трансляциями. Кроме того, детализированные политики могут применяться на уровне приложений и пользователей, обеспечивая сверхточную безопасность приложений и предоставление доступа на основе принципа наименьших привилегий.
Выбор сервиса безопасного удаленного доступа для современных потребностей
Хотя все решения ZTNA основаны на идее адаптивного доверия, ZTNA доступна в двух формах: ZTNA как автономный продукт и ZTNA как услуга.
ZTNA в качестве автономного продукта требует самостоятельного развертывания и управления всеми элементами решения. Кроме того, ряд облачных провайдеров IaaS предлагают возможности ZTNA для своих клиентов. Решение ZTNA располагается на периферии вашей среды (в дата-центре или облаке) и выступает в роли посредника для безопасного соединения между пользователем и приложением.
Вот некоторые из преимуществ автономного ZTNA:
- У вас есть прямой контроль и управление инфраструктурой ZTNA, что может потребоваться для соблюдения нормативных требований
- IoT-сервисы, размещенные локально (on-premises), могут работать на более высокой скорости
- Скорость работы может возрасти, если локальным пользователям не нужно выходить в интернет для доступа к приложениям, размещенным локально
Автономный ZTNA дает больше контроля над вашей средой, но при этом можно упустить преимущества облачного сервиса.
Zscaler и ZTNA
Другой вариант — ZTNA как услуга, например Zscaler Private Access™ (ZPA). Это облачный сервис, в котором для принудительного применения политик используется облачная инфраструктура вендора. Ваша организация просто приобретает пользовательские лицензии и развертывает легковесные коннекторы, обслуживающие приложения во всех средах, а вендор обеспечивает необходимую связность, пропускную способность и инфраструктуру.
Доступ устанавливается посредством опосредованных исходящих соединений между пользователем и приложением, что эффективно отделяет доступ к приложениям от доступа к сети, никогда не раскрывая IP-адреса в интернете.
Zscaler Private Access предоставляет множество организационных преимуществ, таких как:
- Более простое развертывание, поскольку нет необходимости развертывать шлюзы ZTNA
- Упрощенное управление, так как сервисы не размещаются локально
- Всегда выбираемый оптимальный путь для глобального охвата удаленной рабочей силы
Как ZPA решает современные задачи безопасного удаленного доступа
ZPA обеспечивает безопасный удаленный доступ к внутренним приложениям в облаке без подключения пользователей к корпоративной сети. Облачный сервис не требует сложных шлюзовых устройств VPN для удаленного доступа и использует облачные политики для аутентификации доступа и маршрутизации трафика пользователей к ближайшему к ним расположению приложения.
ZPA — это программно-определяемое решение, которое может работать в сочетании с технологией прямого доступа. Оно напрямую соединяет дата-центры клиентов с дата-центрами облачных провайдеров через платформу Zscaler Zero Trust Exchange.
