Attālinātais darbs uzņēmumos ir kļuvis par normu, un kopā ar to arī VPN. Grāmatvede no mājām savienojas ar grāmatvedības serveri, projektu vadītājs no klienta biroja ar failu serveri, piegādātājs ar noliktavas sistēmu, lai atjauninātu lietojumprogrammu. Visi iet caur vienu un to pašu VPN, bieži ar to pašu paroli, ko kāds iestatīja pirms četriem gadiem.
Vienlaikus dzirdams, ka VPN ir „novecojis” un visi pāriet uz Zero Trust. Patiesība ir vienkāršāka: VPN joprojām ir pilnīgi labs risinājums daudziem uzņēmumiem, ja tas ir pareizi iestatīts, taču tam ir robežas, ko vērts zināt, uzņēmumam augot.
Šajā rakstā skaidrojam, kā uzņēmuma VPN patiesībā darbojas, kāpēc bez otra autentifikācijas faktora tas ir bīstamāks nekā neesošs, kur beidzas tā iespējas, ko Zero Trust nozīmē bez žargona un kā izlemt, kurš modelis jums piemērots tagad.
Kā uzņēmuma VPN darbojas un ko tas patiesībā dara
VPN (virtuālais privātais tīkls) izveido šifrētu tuneli starp darbinieka datoru un uzņēmuma tīklu. Pēc savienojuma darbinieks faktiski sēž birojā: viņš redz serverus, printerus, koplietošanas mapes un iekšējās lietojumprogrammas. Tas atrisina divas problēmas. Pirmkārt, dati ceļā ir šifrēti, tāpēc publisks viesnīcas Wi-Fi vairs nav drauds. Otrkārt, iekšējās sistēmas nav jāatklāj internetam, jo tās ir sasniedzamas tikai caur tuneli.
Taču ir svarīgi saprast, ko VPN nedara. Tas pārbauda, kas savienojas, tikai pieteikšanās brīdī. Tas nepārbauda, vai izmantotais dators ir drošs. Un savienotais darbinieks parasti saņem piekļuvi visam tīklam, ne tikai sistēmām, kas viņam vajadzīgas. Grāmatvedei, kurai vajadzīgs grāmatvedības serveris, redzams arī failu serveris, noliktavas sistēma un katrs cits biroja dators.
Kāpēc VPN bez 2FA ir vaļā durvis
Šī ir biežākā problēma, ko atrodam, pārņemot VPN uzturēšanu. VPN ir aizsargāts tikai ar lietotājvārdu un paroli. Parole bieži ir tā pati, kas e-pastam. E-pasta parole pirms gada noplūda kādā ārējā portālā, kurā darbinieks reģistrējās ar darba adresi.
Rezultāts: uzbrucējs ar noplūdušu paroli savienojas ar VPN no jebkuras pasaules vietas un nonāk jūsu tīklā ar tādām pašām tiesībām kā darbinieks. Tieši tā sākas lielākā daļa izspiedējvīrusu uzbrukumu: ne ar sarežģītu ielaušanos, bet ar VPN, kura parole ir zināma.
Otrais autentifikācijas faktors (2FA) šo nosacījumu novērš: bez apstiprinājuma tālrunī vai aparatūras atslēgas parole ir bezvērtīga. Tas nav papildu ieteikums, bet minimālā prasība, bez kuras VPN nedrīkst ieslēgt. Mūsu pārvaldītajos VPN risinājumos 2FA ir obligāta jau no pirmās dienas, un ERP mitināšanas klientiem VPN ar 2FA ir iekļauts pakalpojumā.
Kopā ar 2FA jābūt vēl divām lietām: atsevišķiem kontiem katram cilvēkam (nevis „kopīgam grāmatvedības VPN kontam”) un piekļuves atsaukšanai tajā pašā dienā, kad darbinieks vai piegādātājs aiziet.
Kur ir VPN robežas
Pat pareizi konfigurētam VPN ir robežas, kas kļūst redzamas, uzņēmumam augot.
Plakans tīkls. Savienotais darbinieks redz visu. Ja viņa dators ir inficēts, ļaunprogrammatūra caur tuneli redz to pašu. Tīkla segmentēšana to samazina, taču prasa pastāvīgu uzturēšanu.
Nepārbaudīta ierīce. VPN ielaiž darbinieka personīgo datoru ar novecojušu sistēmu un bez antivīrusa tieši tāpat kā uzņēmuma pārvaldītu portatīvo datoru.
Mākoņsistēmas. Aizvien vairāk uzņēmuma lietojumprogrammu darbojas nevis biroja serverī, bet mākonī: Microsoft 365, CRM, grāmatvedība. Tām VPN nav vajadzīgs, taču tās paliek sasniedzamas ar vienu paroli, ja neviens nav iestatījis piekļuves politiku.
Piegādātāji un partneri. Katrs ārējais piegādātājs saņem VPN kontu, kas vienas sistēmas dēļ dod piekļuvi visam tīklam. Pēc gada tādu kontu ir desmit, un neviens nezina, kuri vēl vajadzīgi.
Ja atpazīstat vismaz divas no šīm situācijām, VPN vairs nav galvenais drošības risinājums, tikai viena tā daļa.
Zero Trust vienkāršiem vārdiem
Zero Trust nav produkts, ko var nopirkt. Tas ir princips: neuzticēties nevienam tikai tāpēc, ka viņš atrodas tīklā. Katra piekļuve katrai sistēmai tiek pārbaudīta atsevišķi, atbildot uz trim jautājumiem:
- Kas savienojas? Lietotājs tiek pārbaudīts ar paroli un 2FA, un viņa konts ir aktīvs.
- No kuras ierīces? Ierīce ir zināma, atjaunināta, tai ir darbojoša aizsardzība un šifrēts disks.
- Uz ko? Darbinieks saņem piekļuvi tikai sistēmai, kas viņam vajadzīga, nevis visam tīklam.
Praksē tas nozīmē, ka grāmatvede savienojas tieši ar grāmatvedības sistēmu, nevis ar tīklu. Sistēma pārbauda viņas identitāti un datora stāvokli un ielaiž tikai grāmatvedībā. Ja dators prasībām neatbilst, piekļuve tiek liegta neatkarīgi no tā, vai viņa sēž birojā vai mājās.
Microsoft vidē liela šī principa daļa jau ir klāt: Entra ID nosacījumu piekļuve pārbauda lietotāju un ierīci katrā pieteikšanās reizē Microsoft 365 un citās pieslēgtajās lietojumprogrammās. Vecākām iekšējām sistēmām, kas darbojas tikai biroja serverī, izmanto lietojumprogrammu vārtejas, kas atklāj vienu lietojumprogrammu, nevis visu tīklu.
Zero Trust nav VPN pretstats. Daudzos uzņēmumos tie darbojas kopā: Zero Trust piekļuve mākonim un pamatlietojumprogrammām un VPN pārējām iekšējām sistēmām, taču jau ar 2FA, ierīču pārbaudēm un segmentētu tīklu.
Kad VPN pietiek un kad laiks pāriet
VPN ar 2FA pietiek, ja uzņēmumā ir līdz dažām desmitiem darbinieku, viens vai daži iekšējie serveri, visi darbinieki izmanto uzņēmuma pārvaldītus datorus un ārējo piegādātāju piekļuve ir reta un kontrolēta. Tādā gadījumā galvenais nav mainīt tehnoloģiju, bet uzturēt esošo: atjaunināt VPN aprīkojumu, pārskatīt kontus, uzraudzīt pieteikšanās.
Ir vērts domāt par pāreju uz Zero Trust modeli, ja:
- Darbinieku un ierīču skaits aug, un daļa ierīču ir personīgās.
- Jūsu pamatsistēmas jau atrodas mākonī, un VPN izmanto tikai dažiem vecākiem serveriem.
- Jums ir daudz ārējo piegādātāju, kuriem vajadzīga piekļuve vienai konkrētai sistēmai.
- Uz jums attiecas NIS2 vai DORA, un šie noteikumi tieši runā par piekļuves kontroli, minimālo nepieciešamo tiesību principu un ierīču pārvaldību.
- Ir noticis vai gandrīz noticis incidents, kurā kāds pieslēdzās VPN ar svešiem akreditācijas datiem.
Pāreja nav viens projekts. Parasti tā notiek posmos: vispirms 2FA un kontu kārtība, tad nosacījumu piekļuve Microsoft 365, tad ierīču pārvaldība un visbeidzot lietojumprogrammu vārtejas plašā VPN vietā. Katrs posms dod ieguvumu pats par sevi.
Kā MDP CLOUD uztur VPN
VPN nav vienreizēja uzstādīšana, bet sistēma, kas noveco. Mūsu VPN tīkla pārvaldība aptver to, kas visbiežāk paliek nepadarīts: VPN aprīkojuma un programmatūras atjauninājumus, jo VPN vārteju ievainojamības ir starp visbiežāk izmantotajām; ikmēneša kontu pārskatu un aizgājušo darbinieku un piegādātāju noņemšanu; 2FA visiem bez izņēmuma; pieteikšanās uzraudzību, kas ziņo par pieteikšanos neparastā laikā vai no neparastām vietām; un tīkla segmentēšanu, lai VPN lietotājs redzētu tikai to, kas viņam vajadzīgs. Kad uzņēmums ir gatavs, pakāpeniski pievienojam tam pašam VPN nosacījumu piekļuvi un ierīču pārvaldību, nepārtraucot darbu un nesākot no nulles.
Ar ko sākt
- Pārbaudiet, vai jūsu VPN ir 2FA. Ja nav, tas ir pirmais un svarīgākais solis, un to var izdarīt dažu dienu laikā.
- Izgūstiet VPN kontu sarakstu un atvienojiet visus, kuru īpašniekus vairs nevarat nosaukt. Kopīgos kontus aizstājiet ar personīgajiem.
- Pārbaudiet VPN aprīkojuma programmaparatūras versiju un to, vai ražotājs to vēl atbalsta. Neatbalstīts VPN aprīkojums ir vaļā durvis pat ar 2FA.
- Uzskaitiet sistēmas, ar kurām darbinieki caur VPN patiešām savienojas. Bieži izrādās, ka puse no tām jau ir mākonī un VPN nav vajadzīgs.
- Ja neviens to nevar uzturēt nepārtraukti, VPN tīkla pārvaldība vai plašāks IT atbalsts uzņēmumiem pārņem šos darbus kā ikdienas rutīnu.
VPN nav novecojis. Novecojis ir VPN bez 2FA, bez uzturēšanas un ar kontiem, ko neviens nepārskata. Tas ir labs sākumpunkts.
