Az IT-világ egyik legnagyobb ellentmondása, hogy miközben a nap mint nap használt alkalmazások egy része már rég a felhőben fut, a felhasználók pedig bárhonnan dolgozhatnak, addig hálózataink még mindig úgy működnek, mintha minden a vállalati adatközpont köré épülne. Céges fióktelepek (branch), MPLS-kapcsolatok, tűzfalak és VPN-ek egymásra rétegezve próbálják kiszolgálni azt a működést, ami már régen túlhaladta ezt a modellt.
Szabadság – kockázatokkal
Az a szabadság, hogy a felhasználók bárhonnan dolgozhatnak és elérhetik a vállalati alkalmazásokat, legyen az egy SaaS-szolgáltatónál, egy publikus felhőben vagy éppen valamelyik vállalati telephelyen, adatközpontban, rendkívüli mértékben kiszélesíti a támadási felületet. Ezt a hagyományos perimeter-alapú hálózatbiztonsági szemléletet nemcsak komplex és drága kiépíteni, de az üzemeltetése és az új telephelyek bevonása is időigényes feladat.
Zscaler Zero Trust Branch: biztonság új szemlélettel
A Zscaler Zero Trust Branch pontosan a fent felvázolt problémára ad választ – nem egy újabb hálózati technológiát, hanem teljesen új szemléletet kínál.
A hagyományos branch-architektúra alaptétele az volt, hogy a belső hálózat (a vállalati hálózat) megbízható, a külső pedig nem. Ez a perimeter-alapú gondolkodás a mai IT-környezetekben már nemcsak idejétmúlt elgondolás, hanem hamis biztonságérzet miatt veszélyes is. Egy modern szervezetnél a „belső” és a „külső” közötti határ gyakorlatilag eltűnt. Egy felhasználó ugyanazzal a hozzáféréssel dolgozik otthonról, egy kávézóból vagy egy irodából, miközben az alkalmazások fizikailag bárhol lehetnek.
Hálózati hozzáférés helyett alkalmazás-hozzáférés
A Zscaler megközelítése felhőalapú. A branch irodák nem egy központi adatközpont felé hanem közvetlenül a Zscaler globális biztonsági felhőplatformjához, a Zero Trust Exchange-hez (ZTE) építenek kapcsolatot.. Itt történik a forgalom ellenőrzése, a biztonsági szabályok érvényesítése és az alkalmazásokhoz való hozzáférés vezérlése.
A megoldás egyik legnagyobb előnye, hogy megszűnik a klasszikus “backhauling”. Nem kell a forgalmat kerülőutakon egy központi helyre vinni csak azért, hogy ott „biztonságos” legyen, majd visszaküldeni a felhőbe. Az adat a lehető legrövidebb úton jut el a céljához, miközben a biztonság nem sérül.
Hogyan működik a Zscaler a Zero Trust Branch
A Zscaler a Zero Trust Branch 3 egymásra épülő megoldást kombinált, hogy létrehozza ezt a merőben új branch-összeköttetési architektúrát: a telephelyek ZTE-be való bekötéséért felelős branch connectort; a 2024-ben felvásárolt IT/IoT/OT-rendszerek east-west irányú agentless mikroszegmentációját forradalmasító Airgap networks megoldását (Zscaler Airgap); valamint a korábbi Zero Trust SD-WAN-t. Az új Zero Trust Branch koncepció már olyan vállalatoknál bizonyított, mint a Siemens, a Cushman & Wakefield vagy a Kingston.
De mi is az a Zero Trust Branch? Nézzük meg, hogyan egyszerűsíti, teszi zero trust alapokon minden eddiginél biztonságosabbá és alakítja át a telephelyek bekötését a vállalati infrastruktúrába ez a megoldás! A koncepció mögött nemcsak a Zscaler ZTE biztonsági felhője áll, hanem a telephelyen letelepített végponti egység is, amely lehet fizikai vagy virtuális.
Az egészen kis méretű irodáktól a nagy telephelyeken és campus-hálózatokon át a gyárakig rugalmasan skálázható a megoldás. Egyik legizgalmasabb eleme a mikroszegmentáció újragondolása. A klasszikus megközelítés VLAN-okra és tűzfalszabályokra épül, amelyek idővel átláthatatlanná válnak, és gyakran még így sem akadályozzák meg a laterális mozgást. Ezzel szemben a már említett Airgap mikroszegmentációs modellben az eszközök alapértelmezés szerint nem is látják egymást a hálózaton. Nincs implicit bizalom, nincs „belső hálózat”, amelyen szabadon lehet mozogni. Minden egyes kapcsolat explicit módon, policy alapján jön létre. Mindezt teljesen agentless alapokon, hiszen az IoT/OT-környezetekben ez alapvető elvárás.
A Zscaler Airgap eszközei
A Zscaler Airgap megoldása mögött a virtuális vagy fizikai eszközként letelepített Zero Trust Branch áll, amely DHCP-proxyként viselkedve egy /32-es maszk kiosztásával eléri, hogy kizárólag rajta keresztül haladhasson minden hálózati kommunikáció. A megoldás nem állít IP-címeket, nem nyúl más beállításokhoz, csak a maszkot változtatja meg és mindezt képes akár produktív hálózatban is elvégezni. Az átállítás után a Zero Trust Branch lesz az alapértelmezett gateway és minden eszköz rajta keresztül kommunikál majd.
Asset intelligence és a visibility
Az asset intelligence és a visibility szintén kulcseleme a megoldásnak: a Zero Trust Branch automatikusan felderíti és osztályozza az összes csatlakoztatott eszközt – legyen szó IT-s munkaállomásról, IoT-szenzorról vagy OT-rendszerről –, és valós idejű rálátást biztosít a teljes east-west forgalomra. Az összes forgalmi folyamatot egy vizuális hálózati térképen keresztül láthatjuk az adminisztrációs felületen, ahol azonosítani lehet az engedélyezett és jogosulatlan kommunikációt is. A forgalmi mintázatok alapján automatikusan policy-csoportok képezhetők az eszközökhöz – mindezt agentless módon, a meglévő hálózati infrastruktúra módosítása nélkül. Ha pedig a legrosszabb forgatókönyv következne be, és egy eszköz mégis kompromittálódna, a Ransomware Kill Switch azonnal akcióba lép: egyetlen kattintással – vagy akár automatizáltan, a meglévő SIEM/SOAR/EDR rendszerekbe integrálva – blokkolja a ransomware által leggyakrabban kihasznált protokollokat (RDP, SMB, SSH), és fokozatosan, előre definiált „DEFCON-szinteken” keresztül szigetelhetők el a kritikus hálózati szegmensek anélkül, hogy az üzletmenet leállna.
Ez nem egyszerűen egy biztonsági réteg, hanem a támadási felület újradefiniálása. Ha nincs laterális mozgás, akkor egy kompromittált eszköz nem válik automatikusan ugródeszkává a teljes infrastruktúrához.
A Zero Trust Branch további előnyei
A Zero Trust Branch az akvizíciók és felvásárlások útján bővülő vállalatok számára is rugalmas és költséghatékony lehetőséget nyújt a vállalati hálózat biztonságos bővítésére vagy éppen összevonására. Ilyen esetekben mindig kritikus kérdés szokott lenni az IT-infrastruktúra IP-címtartománya, amely a Zscaler megoldásának használatával teljesen háttérbe szorul, hiszen az átfedésben lévő IP-címtartományok többé nem okozhatnak gondot – köszönhetően a Zscaler proxy-architektúrájának. Mivel minden forgalom a ZTE-n keresztül halad, ezért az ilyen hagyományos hálózatoknál nagy fejtörést okozó problémák gyakorlatilag nem akadályozó tényezők többé.
Összegzés
A Zscaler Zero Trust Branch tehát nem egyszerűen egy újabb hálózati megoldás. Sokkal inkább annak felismerése, hogy a hálózat szerepe alapjaiban változott meg. A hangsúly már nem azon van, hogyan kössük össze a telephelyeket, hanem azon, hogyan biztosítunk biztonságos, közvetlen és kontextus-alapú hozzáférést az alkalmazásokhoz.
Gyakran Ismételt Kérdések (GYIK)
A Zscaler Zero Trust Branch egy felhőalapú telephelyi összeköttetési megoldás. A hagyományos, hálózati perimeterre (VLAN-ok, VPN, MPLS) épülő modellekkel ellentétben nem ad automatikus belső hálózati hozzáférést. Ehelyett a forgalmat közvetlenül a Zscaler Zero Trust Exchange (ZTE) felhőplatformhoz irányítja, ahol a hozzáférés nem hálózati, hanem alkalmazásalapú és explicit szabályokhoz kötött.
A Zscaler Airgap mikroszegmentációs technológiájával az eszközök alapértelmezés szerint egyáltalán nem látják egymást a hálózaton. Nincs implicit bizalom; minden egyes kapcsolat policy alapján jön létre, így ha egy végpont kompromittálódik, a támadó nem tud ugródeszkaként tekinteni rá a teljes infrastruktúra eléréséhez.
Nem. A megoldás teljes mértékben agentless alapon működik. Ez különösen kritikus az IoT-szenzorok, ipari OT-rendszerek és egyéb olyan intelligens eszközök esetében, amelyekre nem telepíthető hagyományos biztonsági szoftver.
A virtuálisan vagy fizikailag letelepített Zero Trust Branch DHCP-proxyként viselkedve egy /32-es alhálózati maszkot oszt ki az eszközöknek. Így az IP-címek és egyéb beállítások módosítása nélkül éri el, hogy minden hálózati kommunikáció közvetlenül rajta, mint alapértelmezett gatewayen haladjon át – akár élő, produktív hálózatban is.
A Ransomware Kill Switch egy azonnali védelmi funkció, amely egyetlen kattintással vagy a meglévő SIEM/SOAR/EDR rendszerekbe integrálva automatikusan képes blokkolni a zsarolóprogramok által leggyakrabban használt protokollokat (pl. RDP, SMB, SSH). Előre definiált „DEFCON-szintek” segítségével szigeteli el a veszélyeztetett hálózati szegmenseket anélkül, hogy a teljes üzletmenetet le kellene állítani.
Megszünteti az átfedésben lévő IP-címtartományok okozta komplex hálózati problémákat. Mivel a proxy-architektúra révén minden forgalom a felhőalapú ZTE-n keresztül halad, az új telephelyek vagy felvásárolt cégek IT-infrastruktúrája gyorsan, biztonságosan és bonyolult hálózatátalakítási munkák nélkül integrálható.
