Vieninga tinklo ir saugumo architektūra šiuolaikinei organizacijai

Tradicinė IT infrastruktūra keičiasi. Darbuotojai dirba iš biuro, namų ir kitų vietų, aplikacijos veikia debesijoje, o organizacijos duomenys paskirstyti tarp duomenų centrų, SaaS platformų ir viešosios debesijos.

Tokioje aplinkoje tradicinis saugumo modelis, kai visas duomenų srautas nukreipiamas per centrinį organizacijos tinklą ir apsaugomas perimetro ugniasiene, tampa vis mažiau efektyvus.

SASE (Secure Access Service Edge) apjungia tinklo ryšio ir kibernetinio saugumo funkcijas į vieningą, debesijos principu veikiančią architektūrą.

AVEDUS projektuoja, diegia ir integruoja SASE sprendimus, padedančius organizacijoms saugiai sujungti darbuotojus, padalinius, aplikacijas ir debesijos paslaugas nepriklausomai nuo jų fizinės vietos.

Kas yra SASE?

SASE – tai architektūrinis modelis, kuriame tinklo ir saugumo funkcijos teikiamos kaip integruota paslauga.

Vietoje daugybės atskirų tinklo ir saugumo sprendimų SASE leidžia centralizuotai valdyti vartotojų, įrenginių ir padalinių prieigą prie organizacijos išteklių.

SASE architektūra dažniausiai apjungia:

• SD-WAN;

• Zero Trust Network Access (ZTNA);

• Secure Web Gateway (SWG);

• Cloud Access Security Broker (CASB);

• Firewall as a Service (FWaaS);

• DNS saugumą;

• aplikacijų kontrolę;

• grėsmių prevenciją;

• duomenų apsaugos funkcijas.

Pagrindinis principas – saugumas turi būti taikomas ten, kur yra vartotojas ir aplikacija, o ne tik organizacijos tinklo perimetre.

Kodėl tradicinio tinklo perimetro nebepakanka?

Anksčiau didžioji dalis organizacijos sistemų veikė vidiniame duomenų centre, o darbuotojai prie jų jungdavosi iš biuro tinklo.

Šiandien situacija kitokia.

Darbuotojas gali dirbti iš namų ir tiesiogiai naudotis Microsoft 365, Salesforce ar kita SaaS paslauga. Tuo pačiu metu jam gali reikėti prieigos prie organizacijos duomenų centro ar aplikacijos viešojoje debesijoje.

Jeigu visas toks srautas pirmiausia nukreipiamas į centrinį biurą, o tik tada į internetą ar debesiją, atsiranda papildomas vėlinimas, sudėtingėja infrastruktūra ir didėja priklausomybė nuo centrinio tinklo.

SASE leidžia saugumo politiką priartinti prie vartotojo ir suteikti saugią prieigą nepriklausomai nuo jo vietos.

SSE – saugumo paslaugų dalis

SSE (Security Service Edge) yra SASE saugumo funkcijų dalis.

Jeigu SASE apjungia tinklo ryšį ir saugumą, SSE koncentruojasi būtent į saugią vartotojų prieigą prie interneto, SaaS ir organizacijos aplikacijų.

SSE dažniausiai apima:

ZTNA – saugią prieigą prie organizacijos aplikacijų;

SWG – interneto srauto apsaugą;

CASB – debesijos aplikacijų naudojimo kontrolę;

FWaaS – debesijos principu teikiamas ugniasienės funkcijas;

DLP – jautrių duomenų apsaugą.

Organizacija gali pradėti nuo SSE ir vėliau plėsti architektūrą iki pilno SASE modelio.

Zero Trust Network Access – ZTNA

Tradicinis VPN suteikia vartotojui prieigą prie vidinio organizacijos tinklo.

ZTNA veikia kitu principu.

Vartotojui suteikiama prieiga ne prie viso tinklo, o tik prie konkrečių aplikacijų, kurias jis turi teisę naudoti.

Prieš suteikiant prieigą gali būti tikrinama:

• vartotojo tapatybė;

• daugiafaktorė autentifikacija;

• įrenginio būklė;

• vartotojo lokacija;

• prieigos kontekstas;

• organizacijos saugumo politika.

Tai leidžia taikyti Zero Trust principą – nepasitikėti vartotoju ar įrenginiu vien todėl, kad jis yra organizacijos tinkle.

Secure Web Gateway – SWG

Didelė dalis šiuolaikinio vartotojo darbo vyksta internete.

Secure Web Gateway (SWG) analizuoja vartotojų interneto srautą ir padeda apsaugoti juos nuo kenkėjiškų svetainių, phishing atakų, pavojingų failų ir kitų interneto grėsmių.

SWG gali užtikrinti:

• interneto turinio filtravimą;

• URL kategorijų kontrolę;

• kenkėjiškų svetainių blokavimą;

• failų analizę;

• aplikacijų kontrolę;

• SSL/TLS srauto inspekciją;

• saugumo politikų taikymą.

Svarbu tai, kad ta pati politika gali būti taikoma vartotojui nepriklausomai nuo to, ar jis dirba biure, namuose ar kelionėje.

Cloud Access Security Broker – CASB

Organizacijos naudoja vis daugiau SaaS ir kitų debesijos paslaugų.

Tačiau IT ir saugumo komandos ne visada turi pakankamą matomumą, kokias debesijos aplikacijas darbuotojai naudoja ir kokius duomenis į jas perduoda.

CASB (Cloud Access Security Broker) suteikia didesnį debesijos paslaugų naudojimo matomumą ir kontrolę.

CASB gali padėti:

• identifikuoti naudojamas debesijos aplikacijas;

• kontroliuoti nepatvirtintų SaaS paslaugų naudojimą;

• taikyti skirtingas prieigos politikas;

• kontroliuoti jautrių duomenų perdavimą;

• aptikti rizikingą vartotojų veiklą.

Tai padeda mažinti vadinamojo Shadow IT riziką.

Firewall as a Service – FWaaS

Tradicinė ugniasienė dažniausiai saugo konkrečią organizacijos lokaciją ar duomenų centrą.

Firewall as a Service (FWaaS) perkelia ugniasienės funkcijas į debesijos saugumo infrastruktūrą.

Tai leidžia vienodas saugumo politikas taikyti:

• biurams;

• nutolusiems darbuotojams;

• padaliniams;

• debesijos infrastruktūrai;

• interneto srautui.

Centralizuotas politikų valdymas padeda sumažinti skirtingų saugumo konfigūracijų kiekį ir supaprastinti infrastruktūros administravimą.

SD-WAN

SD-WAN yra SASE tinklo dalis.

Ši technologija leidžia centralizuotai valdyti organizacijos padalinių ryšius ir efektyviai naudoti skirtingus interneto, MPLS, 4G/5G ar kitus ryšio kanalus.

SD-WAN gali automatiškai parinkti tinkamiausią ryšio kelią pagal aplikaciją, tinklo būklę ir organizacijos nustatytas politikas.

Integravus SD-WAN su SASE saugumo funkcijomis sukuriama vieninga tinklo ir saugumo architektūra.

Saugus nuotolinis darbas

SASE ypač aktualus organizacijoms, kuriose darbuotojai dirba hibridiniu būdu.

Vartotojas turi gauti vienodą apsaugos lygį nepriklausomai nuo to, kur jis dirba.

SASE leidžia saugumo politiką susieti su vartotojo identitetu ir įrenginiu, o ne tik su jo IP adresu ar fizine vieta.

Taip galima vienodai kontroliuoti prieigą prie interneto, SaaS aplikacijų ir vidinių organizacijos sistemų.

SASE ir identiteto saugumas

Identitetas yra vienas pagrindinių SASE architektūros elementų.

Sprendimas, ar vartotojui suteikti prieigą, gali būti priimamas pagal:

Kas yra vartotojas?

Kokį įrenginį jis naudoja?

Kokia įrenginio saugumo būklė?

Kokios aplikacijos jam reikia?

Iš kur jis jungiasi?

Kokia šios prieigos rizika?

Todėl SASE glaudžiai integruojamas su IAM, MFA ir kitomis identiteto bei prieigos valdymo technologijomis.

SASE ir duomenų apsauga

Kai darbuotojai gali tiesiogiai naudotis debesijos paslaugomis, svarbu kontroliuoti ne tik prieigą, bet ir duomenų judėjimą.

SASE architektūroje gali būti integruojamos DLP funkcijos, padedančios identifikuoti jautrią informaciją ir kontroliuoti jos perdavimą.

Tai leidžia taikyti duomenų apsaugos politiką tiek interneto, tiek SaaS ir kitoms debesijos paslaugoms.

Vieninga saugumo politika

Viena didžiausių tradicinės infrastruktūros problemų – skirtingose vietose naudojamos skirtingos saugumo technologijos.

Biurą saugo viena ugniasienė, nuotolinius vartotojus – VPN, interneto srautą – atskiras sprendimas, o debesijos aplikacijas – dar viena platforma.

SASE leidžia šias funkcijas konsoliduoti ir taikyti nuoseklesnę saugumo politiką.

Tai padeda sumažinti administravimo sudėtingumą ir saugumo spragas, atsirandančias dėl skirtingų sistemų konfigūracijų.

Geresnė vartotojo patirtis

Kibernetinis saugumas neturėtų nepagrįstai apsunkinti darbuotojų darbo.

Jeigu nutolusio vartotojo interneto srautas pirmiausia nukreipiamas į centrinį organizacijos duomenų centrą ir tik tada į debesijos aplikaciją, gali padidėti vėlinimas ir sumažėti paslaugos našumas.

SASE leidžia vartotoją prijungti prie artimo saugumo paslaugų taško ir iš jo nukreipti srautą į reikalingą aplikaciją.

Tai gali padėti užtikrinti geresnį našumo ir saugumo balansą.

SASE migracija

Perėjimas prie SASE nebūtinai reiškia, kad visa esama tinklo ir saugumo infrastruktūra turi būti pakeista vienu metu.

Migraciją galima vykdyti etapais.

Pavyzdžiui:

1 etapas – saugus interneto srautas ir SWG

2 etapas – ZTNA nutolusiems vartotojams

3 etapas – CASB ir duomenų apsauga

4 etapas – SD-WAN integracija

5 etapas – vieninga SASE architektūra

Toks modelis leidžia organizacijai modernizuoti infrastruktūrą palaipsniui ir išnaudoti dalį jau turimų technologijų.

Kaip projektuojame SASE architektūrą?1. Analizuojame esamą infrastruktūrą

Vertiname organizacijos padalinius, interneto ryšius, VPN, ugniasienes, nuotolinius vartotojus, debesijos paslaugas ir naudojamas aplikacijas.

2. Įvertiname vartotojų ir aplikacijų srautus

Nustatome, kas, iš kur ir prie kokių sistemų jungiasi.

Tai leidžia suprasti, kur turi būti taikomos saugumo kontrolės.

3. Projektuojame tikslinę architektūrą

Parenkame reikalingus SASE komponentus ir jų integraciją su esama infrastruktūra.

4. Parengiame migracijos planą

Numatome, kokia tvarka bus perkeliami vartotojai, padaliniai ir saugumo funkcijos.

5. Diegiame ir integruojame

SASE integruojame su identiteto sistemomis, galinių įrenginių apsauga, tinklo infrastruktūra, SIEM ir kitomis organizacijos saugumo platformomis.

SASE ir NIS2

SASE nėra NIS2 reikalavimas ar atskira atitikties priemonė.

Tačiau SASE architektūroje naudojamos technologijos gali padėti organizacijai įgyvendinti dalį techninių kibernetinių rizikų valdymo priemonių.

Centralizuota prieigos kontrolė, MFA, Zero Trust principai, interneto srauto apsauga, debesijos paslaugų kontrolė ir duomenų apsauga gali būti platesnės organizacijos NIS2 pasirengimo ir kibernetinio saugumo architektūros dalis.

Nuo tradicinio perimetro iki SASE

Tradiciniame modelyje saugumas koncentruojamas aplink organizacijos tinklą.

SASE modelyje saugumas juda kartu su vartotoju ir aplikacija.

Tradicinis modelis:
Vartotojas → VPN → Centrinis tinklas → Saugumo infrastruktūra → Aplikacija

SASE modelis:
Vartotojas → Identiteto ir įrenginio patikrinimas → Artimiausias SASE saugumo taškas → Aplikacija

Rezultatas – lankstesnė architektūra, pritaikyta debesijos paslaugoms, hibridiniam darbui ir geografiškai išskaidytai organizacijai.

Kodėl AVEDUS?

Tinklo ir kibernetinio saugumo kompetencija

SASE apjungia dvi sritis – tinklo infrastruktūrą ir saugumą. AVEDUS kompetencija apima abi šias sritis, todėl architektūrą galime vertinti kaip vientisą sistemą.

Nuo SD-WAN iki Zero Trust

Projektuojame sprendimus, apimančius SD-WAN, ZTNA, SWG, CASB, FWaaS ir kitus SASE architektūros komponentus.

Integracija su esama infrastruktūra

SASE sprendimus integruojame su organizacijos identiteto, galinių įrenginių, tinklo, debesijos ir saugumo stebėjimo sistemomis.

Etapinė migracija

Padedame pereiti nuo tradicinės tinklo architektūros prie SASE palaipsniui, atsižvelgdami į jau naudojamus sprendimus ir organizacijos prioritetus.

Nuo architektūros iki priežiūros

AVEDUS gali įvertinti esamą infrastruktūrą, suprojektuoti SASE architektūrą, atlikti diegimą ir migraciją bei užtikrinti tolesnę sprendimų priežiūrą.