Сдерживание внутренних угроз
Сотрудники имеют доступ только к тем VPN, к которым им явно его выдали. Разработчик не может попасть в VPN финансового отдела, и дело не в правиле брандмауэра, а в том, что доступа ему просто не выдавали.
VPN-доступ с нулевым доверием
Когда вы разворачиваете VPN в PrivyNet, доступ есть только у вас. Все остальные пользователи по умолчанию заблокированы, независимо от того, есть ли у них учётные данные. Доступ нужно выдать явно, каждому пользователю к каждому VPN. Никаких открытых дверей. Никакого неявного доверия.
По умолчанию: никто не входит
Большинство VPN-решений приравнивают учётные данные к доступу: прошли аутентификацию, значит, можете подключиться. PrivyNet полностью разделяет эти понятия.
Традиционный VPN
Пользователь получает учётные данные. Теперь он может подключиться. VPN доверяет любому, кто прошёл аутентификацию: второго барьера нет.
- Компрометация учётных данных = доступ к сети
- Не видно, у кого должен быть доступ
- При увольнении учётные данные приходится удалять вручную
PrivyNet
VPN развёрнут. Доступ есть только у администратора, который его развернул. Все остальные пользователи, какие бы учётные данные у них ни были, заблокированы, пока администратор явно не выдаст им доступ.
- Одних учётных данных для подключения недостаточно
- Каждая выдача доступа осознанна и проверяема
- Отзыв доступа сразу прекращает подключение
Как работает явная выдача доступа
Четыре шага от развёртывания до подключённого пользователя, и каждый из них осознанный
Разверните VPN
Создайте новый VPN в панели управления. Для вас подготавливается инфраструктура с выделенным VPN-сервером и статическим IP. Доступ есть только у вас.
Выберите пользователей
Откройте панель доступа к VPN. Выберите пользователей, которым нужен доступ именно к этому VPN. Каждая выдача доступа записывается с отметкой времени и именем выдавшего её администратора.
Пользователи подключаются сразу
Пользователи с выданным доступом могут пройти аутентификацию и подключиться. Пользователи без доступа получат отказ, даже если у них есть действительные учётные данные для другого VPN.
Отзыв за секунды
Отзывайте доступ пользователя в любой момент. Его активный сеанс завершается, и он не сможет подключиться снова, пока доступ не выдадут повторно. Никакого ожидания и очередей заявок.
Доступ управляется для каждого пользователя к каждому VPN. Пользователю можно выдать доступ к VPN инженеров, но не к VPN финансового отдела, даже если у него есть действительные учётные данные.
Почему важен запрет по умолчанию
Модель доступа является вашей первой линией защиты: раньше шифрования, раньше аутентификации, раньше всего остального
Безопасная работа с подрядчиками и третьими сторонами
Когда вы привлекаете подрядчика, он получает доступ ровно к тому VPN, который ему нужен, и ни к чему больше. Когда работа завершена, его доступ отзывается. Другие VPN вашей организации он никогда не видел.
Чистое отключение по умолчанию
Удаление пользователя в панели управления отзывает его доступ ко всем VPN, к которым он был допущен. Нет отдельной учётной записи VPN, которую нужно выводить из эксплуатации: список доступа является единственным источником истины.
Никакого риска избыточных прав
Традиционные VPN дают доступ к сети любому, у кого есть учётные данные. PrivyNet требует решения администратора для каждого пользователя на каждом VPN. Выдать лишние права можно только намеренно: случайно это не произойдёт.
Традиционный VPN-доступ и нулевое доверие PrivyNet
Разница не в шифровании и не в протоколе, а в том, что модель доступа предполагает по умолчанию
| Параметр | Традиционный VPN | PrivyNet |
|---|---|---|
| По умолчанию при развёртывании | Подключиться может любой, у кого есть учётные данные | Доступ есть только у администратора, развернувшего VPN |
| Как новые пользователи получают доступ | Получили учётные данные, значит, могут подключиться | Администратор явно выдаёт доступ каждому пользователю к каждому VPN |
| Охват доступа | Обычно все пользователи на одном VPN | По пользователю и по VPN: детально и явно |
| Доступ подрядчиков | Те же учётные данные, что у сотрудников, и тот же доступ | Доступ только к одному конкретному VPN |
| Увольнение | Учётные данные нужно отключать или удалять вручную | Удалите пользователя в панели управления, и доступ сразу отозван |
| Риск избыточных прав | Высокий: по умолчанию всё разрешено | Отсутствует: по умолчанию всё запрещено, каждая выдача доступа осознанна |
Часто задаваемые вопросы
Частые вопросы о модели доступа PrivyNet с нулевым доверием
Что происходит, когда я разворачиваю новый VPN в PrivyNet?
Когда вы разворачиваете VPN, доступ к нему есть только у администратора, который его развернул. Все остальные пользователи вашей организации по умолчанию заблокированы. Никто больше не сможет подключиться, пока вы явно не выдадите доступ в панели управления.
Можно ли дать пользователю доступ к одним VPN, но не к другим?
Да. Доступ управляется для каждого пользователя к каждому VPN. Пользователю можно выдать доступ к VPN инженеров, но не к VPN финансового отдела. Одни и те же учётные данные работают во всех VPN, к которым у пользователя есть доступ: меняется только DNS-адрес.
Что, если у кого-то есть учётные данные VPN, но доступ ему так и не выдали?
Он не сможет подключиться. Учётных данных недостаточно: у пользователя должен быть явно выданный доступ к этому конкретному VPN. Без него аутентификация будет отклонена.
Можно ли отключить доступ с нулевым доверием в настройках?
Нет. Запрет по умолчанию действует на уровне инфраструктуры: это не настраиваемый параметр. Каждому пользователю на каждом VPN нужен явно выданный доступ. Так задумано: это исключает случайную выдачу лишних прав.
Как отозвать доступ?
Отзовите доступ пользователя на панели доступа к VPN в панели управления. Его активный сеанс сразу завершается, и он не сможет подключиться снова, пока ему не выдадут доступ заново. Подробности на нашей странице о мгновенном отзыве сессий.
Работает ли это с аутентификацией RADIUS?
Да. RADIUS на VPN-сервере проверяет каждый вход по учётной записи пользователя в PrivyNet. Поверх этого действуют права доступа PrivyNet: чтобы подключиться, пользователю нужны и действительные учётные данные, и явно выданный доступ.
Запрет по умолчанию. Явная выдача доступа. Без исключений.
Каждый VPN в PrivyNet начинается с нуля пользователей и одного администратора. Каждая дополнительная выдача доступа является осознанным решением, и любую из них можно отозвать за секунды.
Запрет по умолчанию при развёртывании
Явный доступ для каждого пользователя к каждому VPN
Отзыв за секунды
