Αρχιτεκτονική μηδενικής εμπιστοσύνης

Σύντομη Περίληψη

Το Zero Trust (ZT) είναι ένα μοντέλο ασφαλείας στο οποίο η περίμετρος του δικτύου δεν θεωρείται πλέον ζώνη εμπιστοσύνης. Κάθε αίτημα (user→app, service→service, device→network) είναι ρητά επικυρωμένο, εγκεκριμένο και κρυπτογραφημένο, λαμβάνοντας υπόψη τα συμφραζόμενα σήματα (ταυτότητα, κατάσταση συσκευής, τοποθεσία, κίνδυνος, συμπεριφορά). Στόχος είναι να ελαχιστοποιηθεί η ακτίνα έκρηξης, να μειωθεί ο κίνδυνος πλευρικής κίνησης και να απλοποιηθεί η συμμόρφωση.

Θεμελιώδη στοιχεία της μηδενικής εμπιστοσύνης

1. Καμία ρητή εμπιστοσύνη - η εμπιστοσύνη δεν κληρονομείται από το δίκτυο/VPN/ASN.
2. Η πρόσβαση είναι η ελάχιστη αναγκαία: η πολιτική «να παρέχει μόνο ό, τι χρειάζεται τώρα».
3. Συνεχής επαλήθευση: οι συνεδριάσεις και οι μάρκες επαναξιολογούνται τακτικά για τον κίνδυνο και το πλαίσιο.
4. Υπόθεση συμβιβασμού: κατάτμηση, παρατηρησιμότητα, ταχεία συγκράτηση και βασικές περιστροφές.
5. Κρυπτογράφηση παντού: TLS 1. 2+/1. 3 και mTLS εσωτερικά σχέδια δεδομένων, προστατευμένο DNS, μυστικά σε KMS/HSM.

Τοπίο-στόχος και τομείς ελέγχου

Ταυτότητα: άνθρωποι (IdP: SSO, MFA, passkeys/FIDO2), μηχανές (SPIFFE/SVID, x509/mTLS).
Συσκευές: συμμόρφωση με τις πολιτικές (MDM/EDR, κρυπτογραφημένος δίσκος, έμπλαστρα, jailbreak/root - απαγορεύεται).
Δίκτυο: L3/L7 μικροδιαχείριση, πύλες ZTNA/SDP, πλέγματα υπηρεσιών (Envoy/Istio/Linkerd).
Εφαρμογές/API: mTLS, OIDC/JWT, ζητούν υπογραφές (HMAC), όρια ταχύτητας, DLP/κάλυψη.
Δεδομένα: ταξινόμηση (δημόσια/εμπιστευτική/περιορισμένη), σήμανση/κρυπτογράφηση σε επίπεδο πεδίου.
Παρατηρησιμότητα: κεντρικά αρχεία καταγραφής ταυτοποίησης/αδειοδότησης, ανάλυση συμπεριφοράς, SLO/SLA.

Αρχιτεκτονική αναφοράς (κατανεμημένη κατά αεροπλάνα)

Επίπεδο ελέγχου: IdP/CIAM, PDP/PEP (OPA/απεσταλμένος), κατάλογοι πολιτικής, PKI/CA, χαρακτηρισμός συσκευής.
Επίπεδο δεδομένων: πληρεξούσιος (ZTNA), πληρεξούσιος (απεσταλμένος) για την πολιτική mTLS και L7, πύλες εξυπηρέτησης GW/API.
Επίπεδο διαχείρισης: κατάλογος υπηρεσιών, CMDB, CI/CD, μυστική διαχείριση (Vault/KMS), κεντρικός έλεγχος.

1. Προσδιορισμός (SSO + ανθεκτικό στο ψάρεμα MFA) → 2) Αξιολόγηση συσκευής (στάση MDM) → 3) Ο διαμεσολαβητής ZTNA καθορίζει mTLS στην εφαρμογή → 4) Η PDP (πολιτικές) λαμβάνει απόφαση με βάση χαρακτηριστικά (ABAC/RBAC C) → 5) συνεχής επανεκτίμησης κινδύνου (χρόνος, γεω, ανωμαλίες).

Ταυτότητα και εξουσιοδότηση

IdP/SSO: OIDC/SAML, προεπιλεγμένη MFA, κατά προτίμηση FIDO2 (passkeys).
RBAC/ABAC: ρόλοι + χαρακτηριστικά συμφραζόμενα (κατάσταση συσκευής, τμήμα, προφίλ κινδύνου).
Πρόσβαση Just-In-Time (JIT): προσωρινά προνόμια με αυτόματη ανάκληση. γυαλί θραύσης - αυστηρά ρυθμιζόμενο.
mTLS για μηχανές: SPIFFE/SVID ή εσωτερική PKI με βραχύβια πιστοποιητικά· αυτόματη περιστροφική απελευθέρωση.

Συσκευές και πλαίσιο

στάση: έκδοση OS/EDR, συμπεριλαμβανομένης της κρυπτογράφησης δίσκων, του τείχους προστασίας· μη συμμορφούμενη → ελάχιστη πρόσβαση ή μπλοκ.
Βεβαίωση: ταυτότητα ιατροτεχνολογικού προϊόντος + υπογεγραμμένες βεβαιώσεις (MDM/τελικό σημείο).
Περιορισμοί δικτύου: δέσμη σηράγγων τρίτων, αναγκαστικό εταιρικό DNS, προστασία από διαρροές DNS/WebRTC.

Δικτύωση και μικροδιαχείριση

Απόρριψη "επίπεδων" VLAN: αντ "αυτού, τμήματα/VRF και πολιτική για το L7.
Υπηρεσία Mesh: τα πληρεξούσια sidecar παρέχουν mTLS, εξουσιοδότηση πολιτικής (OPA/EnvountFilter), τηλεμετρία.
ZTNA/SDP: πρόσβαση σε συγκεκριμένη εφαρμογή και όχι στο δίκτυο· , πολιτική στο PDP.
Απομακρυσμένη πρόσβαση: αντικατάσταση του «παχύ» VPN με διαμεσολαβητή εφαρμογής. οι εφεδρικές σήραγγες περιορίζονται σε δρομολόγια/λιμένες.

Πολιτικές και κινητήρας λύσης

PDP/PEP: Σημείο απόφασης πολιτικής (OPA/Styra, Cedar и пр.) + Σημείο επιβολής της πολιτικής (Απεσταλμένος/Istio/Gateway).
Υπόδειγμα πολιτικής: κανόνες δήλωσης (Rego/Cedar), στατικά και συγκυριακά χαρακτηριστικά, εκτίμηση επικινδυνότητας.

rego package access. http

default allow = false

allow {
input. user. role == "support"
input. request. path == "/admin/tickets"
input. device. compliant == true time. now_hh >= 8 time. now_hh <= 20
}

Λύσεις ιχνηλάτησης: log 'inpu /' result '/' explose' for audit.

Προκαθορισμένη κρυπτογράφηση και εμπιστοσύνη

TLS 1. 2+/1. 3 παντού, αυστηρές κρυπτογραφικές σουίτες, HSTS, OCSP συρραφή.
mTLS στο εσωτερικό: servis↔servis μόνο με αμοιβαία πιστοποιητικά· βραχυπρόθεσμα κλειδιά (ώρες/ημέρες).
Μυστικά: KMS/HSM, δυναμικά μυστικά (Vault), σύντομο TTL, ελάχιστο προνόμιο για εφαρμογές.

Παρατηρησιμότητα, SLO και απόκριση

• Επιτυχία ταυτοποίησης και εξουσιοδότησης (%), p95 PDP ώρα απόφασης, p95 TLS-χειραψία.
• Ποσοστό αιτήσεων που παρεμποδίζονται από πολιτικές (ανωμαλίες/ψευδείς).
• Διαθεσιμότητα μεσιτών ZTNA και ελεγκτών ματιών.
• Αναλογία συμμορφούμενων τεχνολογικών προϊόντων και τάσεων.

• "ZTNA ≥ 99 διαθεσιμότητα. 95 %/μήνα, Απόφαση p95 authZ ≤ 50 мс"
• "Το ποσοστό των αιτήσεων με mTLS ≥ 99. 9%».
• "Δεν υπερβαίνει το 0. 1% αστοχίες εσφαλμένης πρόσβασης/ημέρα"

Ειδοποίηση: εκρήξεις άρνησης, υποβάθμιση των χειραψιών p95, άκυρες αλυσίδες, πτώση της αναλογίας των συμμορφούμενων διατάξεων, γεωγραφικές ανωμαλίες/ASN.

Μετάβαση από την περίμετρο στο Zero Trust: οδικός χάρτης

1. Απογραφή: εφαρμογές, ροές δεδομένων, καταναλωτές, ευαισθησία (PII/κάρτα/πληρωμές).
2. Ταυτότητα και ΜΧΣ: ΠΧΠ ανθεκτικό στο ψάρεμα για όλους.
3. Πλαίσιο ιατροτεχνολογικών προϊόντων: MDM/EDR, βασικές πολιτικές συμμόρφωσης, μη συμμορφούμενο μπλοκ.
4. Μικροχρηματοδότηση των διαδρομών προτεραιότητας: πληρωμές, back office, admin. Εισάγετε mTLS.
5. ZTNA για πρόσβαση χρήστη: δημοσίευση εφαρμογών μέσω πληρεξουσίου, αφαίρεση της «ευρείας VPN».
6. Πολιτικές ABAC: συγκεντρωτικό PDP, κανόνες δήλωσης, έλεγχος.
7. Επέκταση ματιών υπηρεσίας: S2S mTLS, πολιτική L7, τηλεμετρία.
8. Αυτοματοποίηση και SLO: συναγερμός, δοκιμές πολιτικής (πολιτικός ΚΚΠ), ημέρες παιχνιδιού "τι και αν δεν είναι διαθέσιμο το IdP ».

Ιδιαιτερότητα για iGaming/fintech

Άκαμπτος κατακερματισμός τομέα: πληρωμές/PII/καταπολέμηση της απάτης/περιεχομένου - χωριστές περίμετροι και πολιτικές· πρόσβαση μόνο πάνω από ZTNA.
Αλληλεπίδραση με PSP/τράπεζες: επιτρεπόμενη λίστα από ASN/εύρος, mTLS έως PSP-τελικά σημεία, παρακολούθηση χρόνου προς πορτοφόλι και βλάβες authz.
Πάροχοι περιεχομένου και εταίροι: προσωρινή πρόσβαση στο JIT API, σύντομες μάρκες TTL, έλεγχοι ενσωμάτωσης.
Συμμόρφωση: PCI DSS/GDPR - ελαχιστοποίηση δεδομένων, DLP/ψευδωνυμοποίηση, καταγραφή προσβάσεων σε ευαίσθητους πίνακες.

Ασφάλεια εφοδιαστικής αλυσίδας και CI/CD

Υπογραφή τεχνουργήματος (SLSA/Προέλευση): Υπογραφή εμπορευματοκιβωτίων (συνημμένη), Πολιτική εισδοχής στην K8s.
SBOM και τρωτά σημεία: παραγωγή SBOM (CycloneDX), πύλη πολιτικής εν εξελίξει.
Μυστικά σε CI: OIDC Federation to Cloud KMS. απαγόρευση στατικών κλειδιών.
Περιστροφές: συχνές, αυτόματες. αναγκαστική ανάκληση περιστατικών.

Κοινά σφάλματα και αντισώματα

«ZTNA = νέο VPN»: η δημοσίευση ενός δικτύου αντί εφαρμογών δεν είναι Zero Trust.
Έλεγχος συσκευής: Η ΜΧΣ είναι, αλλά οι μολυσμένες/ριζωμένες συσκευές αποκτούν πρόσβαση.
Ενιαίος υπερχρήστης: έλλειψη JIT και ξεχωριστών ρόλων.
Κωδικός πολιτικής σε υπηρεσία: κεντρικός έλεγχος/επικαιροποίηση δεν είναι δυνατή.
mTLS μερική: μέρος των υπηρεσιών χωρίς mTLS → «διαρροή» βρόχου.
Μηδέν UX: περιττές αιτήσεις ΜΧΣ, όχι SSO· αποτέλεσμα - αντίσταση στις εντολές.

Mini-guide για την επιλογή τεχνολογιών

Πρόσβαση χρήστη: μεσίτης ZTNA/SDP + IdP (OIDC, FIDO2 MAX).
Ασφάλεια εν χρήσει: πλέγμα υπηρεσίας (Istio/Linkerd) + OPA/Envoy authZ.
PKI: SPIFFE/SVID ή Vault PKI με σύντομο TTL.
Πολιτικοί: OPA/Rego ή Cedar. φυλάσσετε σε Git, ελέγξτε σε CI (δοκιμές πολιτικής).
Καταγραφή και τηλεμετρία: OpenTelemetry → κεντρική ανάλυση, ανίχνευση ανωμαλίας.

Διαμόρφωση δείγματος (θραύσματα)

Απεσταλμένος (αμοιβαία TLS μεταξύ υπηρεσιών)

yaml static_resources:
listeners:
- name: listener_https filter_chains:
- filters:
- name: envoy. filters. network. http_connection_manager typed_config:
"@type": type. googleapis. com/envoy. extensions. filters. network. http_connection_manager. v3. HttpConnectionManager route_config: { name: local_route, virtual_hosts: [] }
transport_socket:
name: envoy. transport_sockets. tls typed_config:
"@type": type. googleapis. com/envoy. extensions. transport_sockets. tls. v3. DownstreamTlsContext common_tls_context:
tls_params: { tls_minimum_protocol_version: TLSv1_2 }
tls_certificates:
- certificate_chain: { filename: /certs/tls. crt }
private_key: { filename: /certs/tls. key }
validation_context:
trusted_ca: { filename: /certs/ca. crt }
require_signed_certificate: true

OPA/Rego: πρόσβαση σε εκθέσεις μόνο από «χρηματοδότηση», από συμμορφούμενες συσκευές, κατά τη διάρκεια του ωραρίου εργασίας

rego package policy. reports

default allow = false

allow {
input. user. dept == "finance"
input. device. compliant == true input. resource == "reports/profit"
time. now_hh >= 8 time. now_hh <= 21
}

Κατάλογος ελέγχου εφαρμογής μηδενικής εμπιστοσύνης

1. Ενεργοποίηση SSO και FIDO2 MAX για όλους τους χρήστες και τους διαχειριστές.
2. Εισάγετε τη στάση της συσκευής (MDM/EDR) με μη συμμορφούμενη κλειδαριά.
3. Μεταφορά πρόσβασης χρήστη στο ZTNA (per-app), αφήστε το VPN μόνο για κανάλια στενής S2S.
4. Μέσα - mTLS εξ ορισμού + βραχύβια πιστοποιητικά.
5. Συγκεντρωτική πολιτική (PDP/OPA), αποθήκευση σε Git, δοκιμή σε CI.
6. Ευαίσθητοι τομείς τμήματος (πληρωμές/PII/back office) και περιορισμός ανατολής-δύσης.
7. Δημιουργία τηλεμετρίας, SLO και συναγερμού σε auth/authZ, mTLS share, σήματα στάσης.
8. Διεξαγωγή «ημερών παιχνιδιού» (αποτυχία IdP, διαρροή κλειδιών, πτώση μεσίτη) και διόρθωση SOP/rollbacks.

ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Το Zero Trust αντικαθιστά πλήρως το VPN

Για πρόσβαση χρήστη - ναι, υπέρ του ZTNA. Για S2S κορμούς, η VPN/IPsec μπορεί να παραμείνει, αλλά με mTLS πάνω και αυστηρές πολιτικές.

Θα μπορούσε η ZT να κάνει το UX χειρότερο

Αν απερίσκεπτα. Με SSO + FIDO2, προσαρμοστική MFA, και per-app πρόσβαση, UX συνήθως βελτιώνεται.

Είναι απαραίτητο να εισαχθεί πλέγμα υπηρεσίας

Όχι πάντα. Αλλά για ένα μεγάλο περιβάλλον μικροϋπηρεσίας, τα μάτια απλοποιούν ριζικά το mTLS/πολιτική/τηλεμετρία.

Σύνολο

Το Zero Trust δεν είναι προϊόν αλλά αρχιτεκτονική πειθαρχία: ταυτότητα ως νέα περίμετρος, πλαίσιο συσκευών, πρόσβαση σε εφαρμογές (ZTNA), μικροδιαχείριση και mTLS παντού, συγκεντρωτικές πολιτικές και μετρήσιμη αξιοπιστία. Ακολουθώντας τον χάρτη πορείας και τον κατάλογο ελέγχου, θα μειώσετε την επιφάνεια επίθεσης, θα επιταχύνετε τον έλεγχο και θα αποκτήσετε βιώσιμη ασφάλεια χωρίς «προεπιλεγμένη εμπιστοσύνη».