VPN alternative i dodatna rešenja za zaštitu vaše konekcije

VPN je godinama bio osnovno rešenje za bezbedan pristup korporativnim resursima sa udaljenih lokacija. Ipak, promenom načina rada, naročito uvođenjem rada na daljinu i kako se broj uređaja van tradicionalne mreže povećao, VPN se pokazao kao nedovoljno bezbedno rešenje.

Ne samo zato što korisnicima otvara preveliku površinu za potencijalni napad, već i zato što često usporava vezu i komplikuje upravljanje pristupom.

Srećom, danas postoje rešenja koja vam omogućavaju daleko preciznije i sigurnije povezivanje.

Zato ćemo u ovom tekstu predstaviti ova rešenja i način kako ona funkcionišu u praksi.

Ukoliko želite da uopšteno saznate nešto više o VPN-u, predlažemo da pročitate naš tekst pod nazivom Najpopularniji VPN protokoli.

Zašto VPN više nije dovoljan?

Kao što znamo, VPN tuneluje sav saobraćaj između korisnika i mreže, omogućavajući korisniku pristup lokalnom sistemu kao da je on fizički prisutan u kancelariji. Problem kod ovakvog modela je što korisnik dobija pristup čitavoj mreži, uključujući i resurse koje realno i ne treba da koristi.

To značajno povećava rizik, jer ako je uređaj kojim slučajem kompromitovan, napadač ni ne mora posebno da se probija do kritičnih podataka, već su mu širom otvorena vrata celog sistema.

Takođe, VPN konekcije često zavise od centralizovanih servera, što u velikim sistemima lako dovodi do uskih grla, posebno kada mnogo korisnika istovremeno koristi VPN tunel. Zbog svih ovih razloga pojavila su se neka bolja, sigurnija i fleksibilnija rešenja.

Hajde sada da vidimo koja to rešenja možete koristiti kao zamenu za klasičan VPN, odnosno u kombinaciji sa postojećim VPN rešenjem, kako biste obezbedili što kvalitetniju zaštitu za svoju organizaciju.

Zero Trust Network Access (ZTNA)

U jednom od nedavnih tekstova na našem blogu smo detaljno predstavili TTNA i objasnili Šta je zero trust model.

U suštini Zero Trust Model (ZTNA) vam omogućava da pristupite samo onome što zaista treba da koristite, i to tek nakon detaljne verifikacije. Sistem proverava vaš identitet, stanje uređaja (da li je zaštićen, ažuriran, usklađen sa polisama), kao i kontekst pristupa (lokaciju, vreme, vrstu mreže).

ZTNA najčešće koristi agente instalirane na uređajima, koji automatski proveravaju bezbednosne atribute, kao i cloud-bazirane proxy-je koji posreduju između korisnika i aplikacija. Kada pokušate da pristupite nekoj aplikaciji, agent na vašem uređaju šalje zahtev ZTNA kontroleru. Kontroler proverava vaš identitet, stanje uređaja i kontekst pristupa.

Ako su svi zahtevi ispunjeni, u tom slučaju se uspostavlja šifrovani tunel isključivo ka toj aplikaciji, dok ostali resursi ostaju potpuno nevidljivi.

ZTNA drastično smanjuje rizik od poprečnog kretanja napadača unutar mreže i omogućava mnogo finiju kontrolu pristupa nego što to VPN može da pruži.

Secure Access Service Edge (SASE)

SASE vam nudi objedinjeno rešenje koje kombinuje mrežni pristup i bezbednost u jednoj cloud platformi. Kada se korisnik povezuje na internet ili aplikacije, njegov saobraćaj najpre prolazi kroz najbližu SASE tačku prisustva (PoP), gde se obavljaju sve bezbednosne kontrole pre nego što se saobraćaj usmeri dalje.

SASE u sebi integriše više komponenti:

• ZTNA za kontrolu pristupa,
  
• Secure Web Gateway (SWG) za inspekciju i filtriranje saobraćaja,
  
• Cloud Access Security Broker (CASB) za kontrolu cloud aplikacija,
  
• Firewall as a Service (FWaaS) za osnovnu zaštitu na mrežnom nivou,
  
• Data Loss Prevention (DLP) mehanizme za sprečavanje curenja podataka.
  

Kada uređaj šalje zahtev, SASE PoP automatski proverava korisnički identitet, stanje uređaja, proverava saobraćaj i primenjuje bezbednosne polise Tek nakon kompletne analize saobraćaj se pušta ka odredišnoj aplikaciji ili sajtu.

SASE omogućava visoku fleksibilnost, optimizaciju performansi i centralizovano upravljanje, što ga čini idealnim ukoliko vaša kompanija ima mnogo udaljenih korisnika i aplikacija u cloudu.

Software-Defined Perimeter (SDP)

Software-Defined Perimeter vam omogućava da mrežni resursi budu potpuno nevidljivi dok korisnik ne prođe sve bezbednosne provere.
Ako korisnik nije verifikovan, server, aplikacija ili baza podataka za njega jednostavno ne postoje.

SDP funkcioniše kroz tri osnovne komponente:

• Kontroler koji verifikuje korisnički identitet i uređaj,
  
• Gateway koji kreira bezbedan tunel samo za odobrene resurse,
  
• Klijentski agent koji pokreće inicijalni zahtev.
  

U trenutku kada korisnik pokuša da se poveže, njegov agent kontaktira kontroler. Kontroler proverava identitet korisnika, stanje njegovog uređaja i druge faktore rizika. Ako je sve u redu, gateway dinamički kreira šifrovani kanal ka tačno određenom resursu.

Ostatak mreže ostaje potpuno nevidljiv za korisnika, čak i ukoliko bi napadač pokušao da skenira mrežu u potrazi za otvorenim portovima ili servisima.

Software-Defined Wide Area Network (SD-WAN)

SD-WAN vam omogućava da optimizujete i automatizujete način na koji se mrežni saobraćaj usmerava između različitih lokacija, bez potrebe da se oslanjate isključivo na skupe i rigidne MPLS linije. Za razliku od klasičnih WAN modela koji koriste statičke rute, SD-WAN koristi centralizovanu inteligenciju kako bi u realnom vremenu birao najbolju rutu za svaki paket.

Tehnički gledano, SD-WAN funkcioniše tako što centralni kontroler prikuplja podatke o stanju svih dostupnih veza (latencija, jitter, gubitak paketa) i dinamički preusmerava saobraćaj prema pravilima kvaliteta usluge (QoS). Na primer, VoIP i videokonferencijski saobraćaj može imati prioritet nad običnim HTTP saobraćajem, a ako neka veza postane nestabilna, SD-WAN automatski prebacuje kritične sesije na bolji link, bez prekida za korisnika.

Ipak, SD-WAN sam po sebi ne rešava bezbednosne izazove. Zato se u modernim sistemima često kombinuje sa ZTNA ili SASE pristupima kako bi se postigla potpuna sigurnost, a ne samo optimalna povezanost.

Identity and Access Management (IAM) i Privileged Access Management (PAM)

IAM vam omogućava da centralizovano definišete i upravljate korisničkim identitetima i njihovim pravima pristupa unutar cele organizacije.
Suština IAM-a je da svaki korisnik ima tačno određeni nivo pristupa, ni manje ni više od onoga što mu je potrebno da bi obavljao svoj posao.

Kada korisnik pokuša da pristupi nekom resursu, IAM sistem proverava njegov identitet koristeći mehanizme kao što su Single Sign-On (SSO), višefaktorska autentifikacija (MFA) i evaluacija konteksta pristupa (lokacija, uređaj, vreme pristupa). Ako korisnik ispunjava sve bezbednosne kriterijume, pristup se odobrava. U suprotnom, može se zahtevati dodatna verifikacija ili potpuno odbiti zahtev.

PAM je specijalizovani podskup IAM-a, fokusiran isključivo na upravljanje privilegovanim nalozima — kao što su administratori sistema, baze podataka, mrežni uređaji i druge kritične komponente. Privilegovani nalozi su posebno interesantni napadačima, jer mogu da im omoguće potpuni pristup sistemima.

Tehnički gledano, PAM rešenja automatski rotiraju lozinke za privilegovane naloge, omogućavaju privremene pristupe kada je potrebno (tzv. Just-In-Time pristup), snimaju i nadziru sve administratorske sesije i omogućavaju reviziju aktivnosti. Na taj način, u slučaju kompromitacije, šteta može biti svedena na minimum.

Unified Endpoint Management (UEM)

Unified Endpoint Management (UEM) vam omogućava da sa jednog mesta upravljate svim uređajima koji pristupaju vašoj mreži, bez obzira na to da li su u pitanju laptopovi, desktop računari, mobilni telefoni ili tableti. Ono što je ranije zahtevalo više odvojenih sistema za upravljanje, danas se objedinjeno implementira kroz UEM rešenja.

Kada korisnik pokuša da pristupi korporativnim resursima, UEM najpre proverava uređaj, odnosno da li je zaštićen lozinkom, da li koristi šifrovanje diska, da li je antivirus ažuriran, da li operativni sistem ima sve najnovije sigurnosne zakrpe. Uređaji koji ne zadovoljavaju bezbednosne kriterijume mogu da budu automatski blokirani ili preusmereni na server na kojem će, na primer biti ažuriran na neophodne verzije softvera.

Tehnički gledano, UEM agent instaliran na uređaju stalno komunicira sa centralnim serverom i šalje informacije o zdravstvenom stanju uređaja.
Administratorima se kroz jednu konzolu omogućava da upravljaju postavkama uređaja, forsiraju instalaciju aplikacija, konfigurišu VPN ili Wi-Fi profile, brišu podatke u slučaju gubitka uređaja i primenjuju polise zaštite.

Osim klasičnog nadzora i kontrole, UEM omogućava i fleksibilnost u radu sa privatnim uređajima zaposlenih (BYOD polisa), omogućavajući na taj način razdvajanje privatnog i poslovnog dela podataka, bez narušavanja privatnosti korisnika.

Virtuelna Desktop Infrastruktura (VDI) i Desktop-as-a-Service (DaaS)

Virtuelna Desktop Infrastruktura (VDI) i Desktop-as-a-Service (DaaS) predstavljaju moderne pristupe pružanju radnog okruženja korisnicima, bez potrebe da aplikacije i podaci fizički budu smešteni na krajnjem uređaju.

Kod VDI rešenja, svi desktop sistemi i aplikacije su hostovani unutar privatnih data centara ili server soba vaše organizacije. Korisnici se putem sigurnih protokola kao što su RDP (Remote Desktop Protocol), PCoIP (PC-over-IP) ili Blast Extreme povezuju na svoje virtuelne desktop sesije, dok svi podaci ostaju unutar vaše infrastrukture.

DaaS funkcioniše veoma slično VDI modelu, ali je zasnovan na cloudu. Umesto da sami održavate servere, desktop sesije se nalaze na cloud platformama kao što su Microsoft Azure, AWS WorkSpaces ili VMware Horizon Cloud. Korisnici pristupaju svojim desktopima sa bilo kog mesta, dok provajder cloud usluge brine o održavanju infrastrukture, sigurnosnim zakrpama i skalabilnosti resursa.

Tehnički gledano, pristup virtuelnom desktopu funkcioniše kao bezbedna sesija prikaza. Korisnik vidi i koristi radno okruženje, ali ne može lokalno da sačuva ili prenosi podatke sa desktop sesije na svoj uređaj, osim ako to nije eksplicitno dozvoljeno. Sesije su dodatno zaštićene višefaktorskom autentifikacijom, šifrovanim tunelima i polisama koje zabranjuju kopiranje podataka ili snimanje ekrana.

Ovakav pristup omogućava maksimalnu sigurnost poslovnih podataka, čak i u slučajevima kada zaposleni koriste svoje lične uređaje, jer ništa osetljivo fizički ne dolazi u kontakt sa lokalnim uređajem korisnika.

Secure Web Gateway (SWG)

Secure Web Gateway (SWG) vam omogućava da zaštitite korisnike tokom pristupa internetu, bez obzira na to da li su povezani iz kancelarije ili rade na daljinu. SWG rešenja služe kao zaštitni sloj između korisnika i interneta, presrećući sav HTTP i HTTPS saobraćaj, analizirajući ga u realnom vremenu i primenjujući odgovarajuće polise bezbednosti.

Kada korisnik pokuša da pristupi određenom serveru ili web sajtu, zahtev najpre dolazi do SWG sistema. SWG proverava reputaciju domena, skenira sadržaj sajta u potrazi za malverom, filtrira URL-ove na osnovu kategorija i može automatski da blokira preuzimanje potencijalno zlonamernih fajlova.

Napredna SWG rešenja omogućavaju SSL/TLS dekripciju, što znači da mogu da presreću i analiziraju šifrovani saobraćaj. Ova sposobnost omogućava otkrivanje malicioznih pretnji čak i kada su one skrivene unutar HTTPS protokola, što je danas standard za većinu internet saobraćaja.

Tehnički, SWG može da se implementira kao lokalni uređaj, cloud servis, ili hibridno, zavisno od arhitekture organizacije. U modernim okruženjima sve više dominiraju cloud-native SWG rešenja, zbog lakšeg skaliranja i nižih troškova održavanja.

Cloud Access Security Broker (CASB)

Cloud Access Security Broker (CASB) vam omogućava da imate potpunu vidljivost i kontrolu nad korišćenjem cloud aplikacija i servisa u vašoj organizaciji, bez obzira na to da li su oni odobreni ili deo tzv. shadow IT-a.

U praksi, CASB deluje kao posrednik između korisnika i cloud aplikacija. Kada korisnik pristupi servisu kao što je Microsoft 365, Salesforce ili Google Workspace, CASB sistem presreće saobraćaj ili koristi integraciju sa API-jima da bi analizirao aktivnosti korisnika, identifikovao rizike i primenio sigurnosne polise.

Tehnički gledano, CASB može da:

• Detektuje upotrebu neautorizovanih cloud servisa,
  
• Implementira polisu šifrovanja ili tokenizacije osetljivih podataka pre nego što oni napuste mrežu,
  
• Ograniči pristup cloud aplikacijama sa neautorizovanih uređaja,
  
• Prepozna neobične aktivnosti korisnika koje mogu da ukažu na potencijalne pretnje.
  

Korišćenjem CASB rešenja, organizacije uspešno balansiraju između fleksibilnosti korišćenja cloud servisa i očuvanja kontrole nad bezbednošću i usklađenošću sa standardima zaštite podataka.

Da li su ova rešenja prava zamena za VPN ili samo dopune?

Kada govorimo o savremenim alternativama za VPN, važno je da odmah napravimo jasnu razliku između rešenja koja mogu potpuno da zamene VPN i rešenja, i onih koja ga samo dopunjuju.

Ako želite da u potpunosti napustite klasični VPN model i pređete na bezbednije, skalabilnije i dinamičnije pristupe, rešenja kao što su Zero Trust Network Access (ZTNA), Secure Access Service Edge (SASE) i Software-Defined Perimeter (SDP) su prava zamena. Ona omogućavaju pristup samo onim resursima koji su zaista potrebni korisniku, verifikuju korisnički identitet i stanje uređaja pre svake sesije, i ne zahtevaju potpuno proširenje mreže na udaljene korisnike kao što to čini VPN.

S druge strane, rešenja kao što su Software-Defined Wide Area Network (SD-WAN), Identity and Access Management (IAM), Privileged Access Management (PAM), Unified Endpoint Management (UEM), Virtual Desktop Infrastructure (VDI), Desktop-as-a-Service (DaaS), Secure Web Gateway (SWG) i Cloud Access Security Broker (CASB) nisu potpuna zamena za VPN, već funkcionišu kao dopuna bezbednosne infrastrukture.

U kombinaciji, ova rešenja omogućavaju organizacijama da izgrade odbranu koja ne zavisi više samo od jedne tehnologije kao što je VPN, već koristi čitav ekosistem sigurnosnih komponenti za zaštitu modernog poslovanja.

Zaključak

Kao što znate, VPN je dugo bio osnov zaštite udaljenih konekcija, posebno u vremenu kada su se poslovne mreže uglavnom nalazile unutar fizičkih kancelarija i kada je broj udaljenih korisnika bio zanemarljiv. Međutim, kako se način rada promenio, sa sve više udaljenih korisnika, mobilnih uređaja i aplikacija koje se nalaze u cloudu, VPN je postao nedovoljan za moderno poslovno okruženje.

Primena rešenja kao što su ZTNA, SASE i SDP, uz podršku alata kao što su UEM, SWG, CASB, IAM i PAM, vam omogućava izgradnju infrastrukture koja je prilagođena vašem dinamičnom svetu poslovanja.

Shodno tome, logično se nameće zaključak da će one organizacije koje uspeju da primene ovakav pristup biti daleko otpornije na moderne sajber pretnje i samim tim i spremne za narednu fazu digitalne transformacije.