Zero Trust استراتيجية أمنية، ولذلك توجد بنيات عديدة ومختلفة يمكن للمقاولات اعتمادها حسب بيئتها التجارية والشبكية والتكنولوجية الخاصة. ومن المهم أن يفهم مهندسو الأمن بنية مقاولتهم الحالية فهماً تاماً لاتخاذ قرارات مستنيرة بشأن التغييرات اللازمة لمبادرات Zero Trust.
اشتركوا حتى لا تفوّتوا نشرتنا الإخبارية كل أسبوع
تغطي بنية المقاولة طيفاً واسعاً من العناصر مثل التطبيقات وطرق الولوج وتدفقات البيانات والبنية التحتية للشبكة، وكذلك طريقة اتصال مختلف الأجهزة والأنظمة ببعضها. أما طوبولوجيا الشبكة فتشير إلى كيفية ارتباط هذه الأجهزة والأنظمة فيما بينها. وغالباً ما تكون شبكات المقاولات معقدة وتضم عناصر عديدة مترابطة مثل DNS وتدبير عناوين IP والتوجيه، موزّعة على مقاطع LAN وWAN والسحابة وSD-WAN. وقد تشمل هذه الشبكات أيضاً أنواعاً جديدة، مثل تلك الموجودة في بيئات IaaS (البنية التحتية كخدمة).
يتطلب مشروع الولوج إلى الشبكة وفق Zero Trust (ZTNA) فهماً جيداً لشبكتكم، ولمواقع الموارد الخاصة بالمقاولة، ولطوبولوجيا الشبكة، ولطريقة عمل هذه الأنظمة المترابطة. ويستلزم ZTNA تغييرات مدروسة في طريقة ولوج المستخدمين إلى الموارد عبر الشبكة، إضافة إلى تغييرات في الشبكة نفسها. ومزايا ZTNA كبيرة، لكن يجب نشره في إطار استراتيجية محكمة.
ما هما النموذجان الرئيسيان لطوبولوجيا شبكة Zero Trust؟
يوجد نموذجان رئيسيان لطوبولوجيا شبكة Zero Trust هما « cloud-routed » (التوجيه عبر السحابة) و« direct-routed » (التوجيه المباشر). وتسميهما Gartner « service-initiated » و« endpoint-initiated »، بينما يستعمل محللون آخرون مصطلحي المحيط المحدَّد برمجياً (SDP) والوكيل المدرك للهوية. ويوضحهما الرسمان أدناه، حيث نستعمل المصطلحين المعياريين في Zero Trust: نقطة قرار السياسة (PDP) لتمثيل مستوى التحكم، ونقطة تطبيق السياسة (PEP) لتمثيل مستوى البيانات. ونشير أيضاً إلى أننا نركّز في هذا المقال فقط على ولوج المستخدمين إلى الموارد الخاصة بالمقاولة، وليس على ولوجهم إلى موارد الويب العامة.
نماذج طوبولوجيا الشبكة الموجَّهة عبر السحابة
نماذج طوبولوجيا الشبكة الموجَّهة مباشرة
في الحالتين، يوجد مستوى التحكم في البنية الأمنية السحابية للمزوّد. وهكذا يقدّم المزوّدون هذه الخدمة، إذ يتكفلون بالتدبير والمراقبة والتحديثات لفائدة العملاء، مما يبسّط العمليات ويقلّص التعقيد.
نماذج طوبولوجيا الشبكة الموجَّهة عبر السحابة مقابل الموجَّهة مباشرة
في نموذج التوجيه عبر السحابة، تعمل سحابة المزوّد كمكان مركزي تلتقي فيه الاتصالات « في المنتصف ». يتصل المستخدمون عن بُعد بأقرب PEP للمزوّد للتحكم في ولوجهم الشبكي إلى الموارد الخاصة بالمقاولة. ويمكن أن تعمل هذه الموارد، سواء كانت تطبيقات أعمال أو بيانات، في مركز بيانات محلي أو في بيئة سحابية IaaS أو في كليهما. ويعمل برنامج الربط الخاص بالمزوّد بجانب الموارد ويُنشئ اتصالاً صادراً نحو أقرب PEP في سحابة المزوّد. وبما أن الموصِّل يُنشئ اتصالاً صادراً، فإنه يبسّط النشر عادة، لكنه كثيراً ما يحصر حالات الاستعمال في الولوج عن بُعد إلى تطبيقات الويب فقط.
أما في نموذج التوجيه المباشر، فلا تُستعمل سحابة مزوّد الخدمة إلا كمستوى تحكم. ولا يكون مستوى البيانات أبداً مرئياً أو متاحاً لمزوّد الخدمة، لأن المقاولات تنشر نقاط PEP الخاصة بالمزوّد في بيئتها لتعمل بجانب مواردها. وبعد المصادقة، يحصل المستخدمون على رمز أمني يتيح لهم إنشاء اتصالات مباشرة مع نقاط PEP، ومن هنا جاءت تسمية التوجيه المباشر. وتمر حركة الشبكة بين جهاز المستخدم والمورد عبر PEP، مما يقلّص عدد القفزات الشبكية ويخفض زمن الاستجابة. فضلاً عن ذلك، يبقى توجيه الحركة تحت تحكم المقاولة، مما يتيح لها مثلاً تدبير متطلبات إقامة البيانات.
يدعم نموذج التوجيه المباشر جميع بروتوكولات الشبكة (الويب وغير الويب، وكل TCP وUDP وICMP) ويتعامل بسلاسة مع الاتصالات التي يبادر بها الخادم. كما يدعم مفهوم ZTNA الشامل، لأن المستخدمين في الموقع الذين يلجون إلى موارد محلية ستبقى حركتهم الشبكية بالكامل داخل الشبكة المحلية للمقاولة. وبما أنه يجب نشر PEP حيث توجد الموارد، فإن تعديلات على جدار الحماية تكون ضرورية عادة. وتلائم هذه البنية أكثر دعم معظم بيئات المقاولات الأكثر تعقيداً وتطوراً.
تساعدكم HTBS على تأمين مؤسستكم بفضل مقاربة Zero Trust، التي ستمكّنكم من حماية وتأمين جميع العناصر المكوّنة لبنيتكم التحتية، وكذلك من الحصول على رؤية شاملة لمساحة الهجوم.
المصدر: Appgate