Kaugtöö on ettevõtetes muutunud tavaks ja sellega koos ka VPN. Raamatupidaja ühendub kodust raamatupidamisserveriga, projektijuht kliendi kontorist failiserveriga, tarnija laosüsteemiga rakenduse uuendamiseks. Kõik nad lähevad läbi sama VPN-i, sageli sama parooliga, mille keegi neli aastat tagasi määras.
Samal ajal kuuled, et VPN on „vananenud“ ja kõik liiguvad Zero Trust’i poole. Tegelikkus on lihtsam: VPN on paljude ettevõtete jaoks endiselt täiesti hea lahendus, kui see on õigesti seadistatud, kuid sellel on piirid, mida ettevõtte kasvades tasub teada.
Selles artiklis selgitame, kuidas ettevõtte VPN tegelikult töötab, miks see on ilma teise autentimistegurita ohtlikum kui selle puudumine, kus selle võimalused lõpevad, mida Zero Trust žargoonita tähendab ja kuidas otsustada, milline mudel teile praegu sobib.
Kuidas ettevõtte VPN töötab ja mida see tegelikult teeb
VPN (virtuaalne privaatvõrk) loob krüpteeritud tunneli töötaja arvuti ja ettevõtte võrgu vahele. Pärast ühendumist istub töötaja sisuliselt kontoris: ta näeb servereid, printereid, jagatud kaustu ja sisemisi rakendusi. See lahendab kaks probleemi. Esiteks krüpteeritakse andmed teel, nii et avalik hotelli Wi-Fi ei ole enam oht. Teiseks ei pea sisemisi süsteeme internetti avama, sest need on kättesaadavad ainult tunneli kaudu.
Kuid oluline on mõista, mida VPN ei tee. See kontrollib, kes ühendub, ainult sisselogimise hetkel. See ei kontrolli, kas kasutatav arvuti on turvaline. Ja ühendunud töötaja saab tavaliselt juurdepääsu kogu võrgule, mitte ainult süsteemidele, mida ta vajab. Raamatupidaja, kes vajab raamatupidamisserverit, näeb ka failiserverit, laosüsteemi ja kõiki teisi kontori arvuteid.
Miks VPN ilma 2FA-ta on lahtine uks
See on kõige sagedasem probleem, mille leiame VPN-i hoolduse üle võttes. VPN-i kaitseb ainult kasutajanimi ja parool. Parool on sageli sama mis e-posti parool. E-posti parool lekkis aasta tagasi mõne välise portaali kaudu, kuhu töötaja oli tööaadressiga registreerunud.
Tulemus: lekkinud parooliga ründaja ühendub VPN-iga kus iganes maailmas ja satub teie võrku töötajaga samade õigustega. Just nii algab enamik lunavararünnakuid, mitte keerulise sissemurdmisega, vaid VPN-iga, mille parool on teada.
Teine autentimistegur (2FA) kõrvaldab selle tingimuse: ilma kinnituseta telefonis või riistvaralisel võtmel on parool väärtusetu. See ei ole lisasoovitus, vaid miinimumnõue, ilma milleta ei tohiks VPN-i sisse lülitada. Meie hallatavates VPN-lahendustes on 2FA kohustuslik esimesest päevast ja ERP-majutuse klientidele kuulub 2FA-ga VPN teenuse hulka.
Koos 2FA-ga peab olema veel kaks asja: eraldi kontod igale inimesele (mitte „ühine raamatupidamise VPN-konto“) ja ligipääsu tühistamine samal päeval, kui töötaja või tarnija lahkub.
Kus on VPN-i piirid
Isegi õigesti seadistatud VPN-il on piirid, mis muutuvad ettevõtte kasvades nähtavaks.
Lame võrk. Ühendunud töötaja näeb kõike. Kui tema arvuti on nakatunud, näeb pahavara tunneli kaudu sedasama. Võrgu segmenteerimine vähendab seda, kuid vajab pidevat hooldust.
Kontrollimata seade. VPN lubab sisse töötaja isikliku arvuti, millel on aegunud süsteem ja viirusetõrje puudub, täpselt samamoodi nagu ettevõtte hallatava sülearvuti.
Pilvesüsteemid. Üha rohkem ettevõtte rakendusi töötab mitte kontoriserveris, vaid pilves: Microsoft 365, CRM, raamatupidamine. Need ei vaja VPN-i, kuid jäävad kättesaadavaks ainult parooliga, kui keegi pole ligipääsupoliitikat seadistanud.
Tarnijad ja partnerid. Iga väline tarnija saab VPN-konto, mis annab ühe süsteemi pärast ligipääsu kogu võrgule. Aasta pärast on selliseid kontosid kümme ja keegi ei tea, millised on veel vajalikud.
Kui tunnete ära vähemalt kaks neist olukordadest, ei ole VPN enam peamine turvalahendus, vaid ainult üks selle osa.
Zero Trust lihtsate sõnadega
Zero Trust ei ole toode, mida saab osta. See on põhimõte: ära usalda kedagi lihtsalt seetõttu, et ta on võrgu sees. Iga ligipääsu igale süsteemile kontrollitakse eraldi, kolme küsimuse abil:
- Kes ühendub? Kasutaja kontrollitakse parooli ja 2FA-ga ning tema konto on aktiivne.
- Millisest seadmest? Seade on tuntud, ajakohane, selle kaitse töötab ja ketas on krüpteeritud.
- Millele? Töötaja saab ligipääsu ainult süsteemile, mida ta vajab, mitte kogu võrgule.
Praktikas tähendab see, et raamatupidaja ühendub otse raamatupidamissüsteemiga, mitte võrguga. Süsteem kontrollib tema identiteeti ja arvuti seisundit ning lubab ta ainult raamatupidamisse. Kui arvuti nõuetele ei vasta, ligipääs keelatakse, sõltumata sellest, kas ta istub kontoris või kodus.
Microsofti keskkonnas on suur osa sellest põhimõttest juba olemas: Entra ID tingimuslik ligipääs kontrollib kasutajat ja seadet iga Microsoft 365 ja teiste ühendatud rakenduste sisselogimise juures. Vanemate sisemiste süsteemide jaoks, mis töötavad ainult kontoriserveris, kasutatakse rakenduslüüse, mis avavad ühe rakenduse, mitte kogu võrgu.
Zero Trust ei ole VPN-i vastand. Paljudes ettevõtetes töötavad need koos: Zero Trust ligipääs pilvele ja põhirakendustele ning VPN ülejäänud sisemistele süsteemidele, kuid juba 2FA, seadmekontrolli ja segmenteeritud võrguga.
Millal VPN-ist piisab ja millal on aeg üle minna
2FA-ga VPN-ist piisab, kui ettevõttes on kuni paarkümmend töötajat, üks või mõni sisemine server, kõik töötajad kasutavad ettevõtte hallatavaid arvuteid ja väliste tarnijate ligipääs on harv ja kontrollitud. Sel juhul ei ole peamine tehnoloogiat vahetada, vaid olemasolevat hooldada: uuendada VPN-i seadmeid, vaadata üle kontod, jälgida sisselogimisi.
Zero Trust mudelile üleminekut tasub kaaluda, kui:
- Töötajate ja seadmete arv kasvab ning osa seadmetest on isiklikud.
- Teie põhisüsteemid on juba pilves ja VPN-i kasutatakse ainult mõne vanema serveri jaoks.
- Teil on palju väliseid tarnijaid, kes vajavad ligipääsu ühele konkreetsele süsteemile.
- Teie suhtes kehtib NIS2 või DORA ning need reeglid räägivad otse ligipääsu kontrollist, vähimate vajalike õiguste põhimõttest ja seadmehaldusest.
- On juhtunud või peaaegu juhtunud intsident, kus keegi ühendus VPN-iga võõraste andmetega.
Üleminek ei ole üks projekt. Tavaliselt toimub see etappidena: kõigepealt 2FA ja kontode hügieen, siis tingimuslik ligipääs Microsoft 365-le, seejärel seadmehaldus ja lõpuks rakenduslüüsid laia VPN-i asemel. Iga etapp annab kasu juba iseenesest.
Kuidas MDP CLOUD VPN-i hooldab
VPN ei ole ühekordne paigaldus, vaid süsteem, mis vananeb. Meie VPN-võrgu haldus hõlmab seda, mis kõige sagedamini tegemata jääb: VPN-i seadmete ja tarkvara uuendused, sest VPN-lüüside haavatavused on kõige sagedamini ärakasutatavate seas; kontode igakuine ülevaatus ning lahkunud töötajate ja tarnijate eemaldamine; 2FA kõigile ilma eranditeta; sisselogimiste seire, mis annab teada ebatavalisel ajal või ebatavalisest kohast sisselogimistest; ning võrgu segmenteerimine, et VPN-i kasutaja näeks ainult seda, mida ta vajab. Kui ettevõte on valmis, lisame samale VPN-ile järk-järgult tingimusliku ligipääsu ja seadmehalduse, töö peatamata ja nullist alustamata.
Kust alustada
- Kontrollige, kas teie VPN-il on 2FA. Kui ei, on see esimene ja kõige olulisem samm ning selle saab teha mõne päeva jooksul.
- Tehke VPN-kontode nimekiri ja katkestage kõik, mille omanikke te enam nimetada ei oska. Asendage ühised kontod isiklikega.
- Kontrollige oma VPN-seadmete püsivara versiooni ja seda, kas tootja toetab seda veel. Toetuseta VPN-seade on lahtine uks ka 2FA-ga.
- Tehke nimekiri süsteemidest, millega töötajad VPN-i kaudu tegelikult ühenduvad. Sageli selgub, et pooled neist on juba pilves ega vaja VPN-i.
- Kui keegi ei suuda seda pidevalt hooldada, võtab need tööd igapäevase rutiinina üle VPN-võrgu haldus või laiem IT-tugi ettevõtetele.
VPN ei ole vananenud. Vananenud on VPN ilma 2FA-ta, ilma hoolduseta ja kontodega, mida keegi üle ei vaata. Sealt tasubki alustada.
