การตรวจความปลอดภัยสำหรับนโยบายการเข้าถึง
กลุ่มการเข้าถึงจัดโหนด Zero Trust และทรัพยากรเครือข่ายเพื่อให้นโยบาย เส้นทางและการตั้งค่าอื่นอ้างอิง นโยบายกำหนดว่าต้นทางใดได้รับอนุญาตหรือปฏิเสธให้เข้าถึงเป้าหมายใด รวมถึงโปรโตคอล ทิศทางและพอร์ต การสร้างกลุ่มเพียงอย่างเดียวไม่ให้สิทธิ์ และการบันทึกนโยบายไม่ยืนยันว่าโหนดทั้งหมดรับการตั้งค่าหรือบริการเป้าหมายเข้าถึงได้
บทนี้อธิบายการสร้างการตรวจสอบความปลอดภัยและเพิ่มลงในนโยบายเข้าถึง ผลตรวจ การจับคู่นโยบาย และการเข้าถึงจริงเป็นคนละขั้นตอนและต้องตรวจสอบแยกกัน
เตรียมการ
- ใช้บัญชีผู้ดูแลที่มีสิทธิ์จัดการกลุ่มและนโยบาย Zero Trust ตรวจสอบว่าโหนดที่เกี่ยวข้องเชื่อมต่อแล้วและเตรียมทรัพยากรเครือข่ายที่ต้องใช้
- กำหนดต้นทาง เป้าหมาย โปรโตคอลและพอร์ตที่จะอนุญาตหรือจำกัด รวมทั้งความจำเป็นในการเข้าถึงย้อนกลับ เลือกขอบเขตน้อยที่สุดที่ตอบโจทย์ และเตรียมออบเจ็กต์ทดสอบทั้งที่อนุญาตและไม่อนุญาต
- ตรวจสอบนโยบาย เส้นทางและการอ้างอิงกลุ่มเดิม หลายการตั้งค่าอาจมีผลต่อเส้นทางเดียวกัน จึงไม่ตัดสินผลจากนโยบายใหม่เพียงข้อเดียว
- เมื่อเข้าถึงบริการภายใน ตรวจสอบว่าโหนดกำหนดเส้นทางเข้าถึงเป้าหมายและส่งต่อได้ รวมถึงบริการ ไฟร์วอลล์และเส้นทางกลับ ดู ตั้งค่าเส้นทางเครือข่าย Zero Trust
ข้อจำกัดการตั้งค่าพอร์ต: กฎนโยบายหนึ่งข้อระบุพอร์ตเดี่ยวได้หลายพอร์ต หรือระบุช่วงพอร์ตได้หนึ่งช่วงขึ้นไป แต่ห้ามผสมพอร์ตเดี่ยวกับช่วงพอร์ตในกฎเดียวกัน เช่น อย่าใส่ 443 และ 8000-8080 พร้อมกันในกฎเดียว แม้หน้าจอรับข้อมูล การบันทึกก็อาจล้มเหลว หากต้องครอบคลุมทั้งสองแบบ ให้พิจารณาสร้างนโยบายแยก ตรวจสอบต้นทาง ปลายทาง การดำเนินการ และการตรวจสอบความปลอดภัยของแต่ละนโยบาย แล้วทดสอบผลรวมในสภาพแวดล้อมนำร่อง อย่าผสม * กับพอร์ตอื่น
สร้างนโยบายเข้าถึง
- ตรวจสอบโหนดต้นทางนำร่องที่เชื่อมต่อ โหนดปลายทางหรือทรัพยากรเครือข่าย และโปรโตคอลกับพอร์ตที่งานต้องใช้ ตรวจสอบสิทธิ์จัดการและนโยบายเดิมที่อาจมีผลต่อการเข้าถึง
- สร้างหรือเลือกนโยบายเข้าถึงที่เหมาะสม แล้วกำหนดต้นทาง ปลายทาง ทิศทาง การดำเนินการและพอร์ตตามความต้องการ หลังเปลี่ยนโปรโตคอลหรือชนิดวัตถุให้ตรวจตัวเลือกอีกครั้ง เพื่อป้องกันการขยายสิทธิ์โดยไม่ตั้งใจ
- บันทึกและยืนยันว่านโยบายเปิดใช้งาน แล้วรอให้โหนดที่เกี่ยวข้องได้รับการตั้งค่า การสร้างนโยบายและใช้การตรวจความปลอดภัยเป็นคนละขั้นตอน ดูข้อจำกัดพอร์ต การเปลี่ยนตัวเลือกและการตรวจสอบทั้งหมดที่ นโยบายเข้าถึง
เพิ่มการตรวจความปลอดภัยในนโยบายเข้าถึง
การตรวจเพิ่มเงื่อนไขให้โหนดต้นทาง สำหรับตัวอย่างไฟร์วอลล์ ให้ตั้งค่าเครื่องทดลองตามขั้นตอนองค์กรก่อน และเตรียมต้นทางควบคุมที่เปิดและปิดไฟร์วอลล์ การตรวจไม่ได้ตั้งค่าไฟร์วอลล์และชื่อเพียงอย่างเดียวไม่ยืนยันว่าการเข้าถึงถูกปิดกั้น
- ใช้สิทธิ์จัดการการตรวจของการจัดการอุปกรณ์ เปิด Security Checks แล้วเลือกรายการ Create Security Check เมื่อโหลดรายการสำเร็จและไม่มีรายการ หรือ Create Check เมื่อมีการตรวจอยู่แล้ว เลือก Firewall Enabled ผ่านขั้น Check type, Check settings, Review โดยไม่ต้องมีพารามิเตอร์เพิ่ม ตั้งชื่อและบันทึก หากมีการตรวจชนิดเดียวกันให้ตรวจและใช้ซ้ำแทนการสร้างซ้ำ
- ตรวจชื่อ ชนิดและสถานะเปิดใช้ในรายการ เครื่องต้องรายงานสถานะและประเมินผล หากข้อมูลหรือผลที่ใช้ได้ขาดหาย ห้ามสมมติว่าผ่าน
- กลับไปนโยบายเข้าถึง Zero Trust ตั้งต้นทาง ปลายทาง การกระทำ โปรโตคอลและพอร์ตตามบทนี้ เลือกการตรวจที่เปิดใช้ใน Security Checks แล้วบันทึก การสร้างโดยไม่เพิ่มในนโยบายไม่เป็นเงื่อนไขของนโยบาย
- หลังข้อมูลและนโยบายปรับปรุง ให้ทดสอบจากต้นทางที่ผ่านและไม่ผ่านเงื่อนไข ตรวจกลุ่มต้นทาง นโยบายอื่น เส้นทางและไฟร์วอลล์ปลายทาง ผลไม่ผ่าน ไม่ทราบ หมดอายุหรือใช้ไม่ได้ไม่นับว่าผ่านสำหรับนโยบายนี้ แต่ไม่รับประกันว่าทุกเส้นทางอื่นถูกปิดกั้น
- ก่อนแก้หรือปิดใช้ให้ตรวจนโยบายที่อ้างอิงและผลกระทบ การตรวจที่ถูกอ้างอิงลบโดยตรงไม่ได้ ขยายขอบเขตหลังตรวจสอบและผ่านกระบวนการเปลี่ยนแปลงขององค์กร
ข้อจำกัดสำคัญของนโยบายปฏิเสธ: การตรวจความปลอดภัยเป็นเงื่อนไขจับคู่ต้นทาง ไม่ใช่สวิตช์ให้ปฏิเสธเมื่อการตรวจไม่ผ่าน หากเพิ่มการตรวจในนโยบายปฏิเสธ กฎปฏิเสธอาจไม่ใช้เมื่อต้นทางไม่มีผลผ่านที่ใช้ได้ นโยบายอนุญาตหรือเส้นทางอื่นยังอาจมีผลต่อการเข้าถึง อย่าสมมติว่าชุดนี้ปิดกั้นเครื่องที่ไม่สอดคล้องแน่นอน ให้ทดสอบกรณีผ่าน ไม่ผ่านและข้อมูลขาดแยกกัน
นโยบายสองทิศทางและการตรวจความปลอดภัย: สำหรับนโยบายระหว่างโหนดแบบสองทิศทาง การตรวจประเมินจากโหนดต้นทางที่กำหนดในนโยบาย ไม่ได้ยืนยันว่าโหนดปลายทางผ่านการตรวจด้วย แม้ต้นทางผ่านแต่ปลายทางไม่ผ่าน กฎสองทิศทางอาจยังอนุญาตให้ปลายทางเริ่มเข้าถึงต้นทาง ทั้งนี้ขึ้นกับกฎอื่นและสภาพเครือข่าย หากทั้งสองฝ่ายต้องผ่านการตรวจ ให้พิจารณานโยบายทางเดียวสองรายการที่กำหนดการตรวจสำหรับต้นทางของแต่ละรายการ และทดสอบทั้งสองทิศทางเมื่อผลผ่าน ไม่ผ่าน และข้อมูลขาดหาย
ใช้การตรวจ DLP หรือซอฟต์แวร์ที่จำเป็น
นอกจากไฟร์วอลล์ สามารถสร้างการตรวจต่อไปนี้ในผลิตภัณฑ์เจ้าของ ต้องมีสิทธิ์ผลิตภัณฑ์และสิทธิ์จัดการการตรวจ แต่ละการตรวจเลือกหนึ่งวัตถุ หากมีการตรวจชนิดเดียวกันสำหรับวัตถุนั้นให้ตรวจและใช้ซ้ำ
- ป้องกันข้อมูลรั่วไหล: ตั้งค่าและเปิดนโยบาย DLP ที่ต้องการก่อน ตรวจขอบเขตเครื่องทดลอง จาก Security Checks ของผลิตภัณฑ์สร้าง Data Loss Prevention Policy Applied เลือกนโยบายที่เปิดและมีผล ตั้งชื่อ ตรวจแล้วบันทึก การตรวจพิจารณาความสัมพันธ์การใช้นโยบาย ไม่ยืนยันเพียงลำพังว่าเครื่องรับหรือบังคับใช้สำเร็จ ต้องตรวจผลบนเครื่องตามคู่มือฟังก์ชัน
- ซอฟต์แวร์ที่จำเป็น: เตรียมและเปิดวัตถุซอฟต์แวร์ที่ระบุเป้าหมายได้ ตรวจว่าเครื่องทดลองรายงานสินทรัพย์แล้ว ใน Software > Security Checks สร้าง Required Software Installed เลือกวัตถุ ตั้งชื่อ ตรวจแล้วบันทึก ผลอาศัยสินทรัพย์ที่บันทึก ไม่ยืนยันว่าซอฟต์แวร์กำลังทำงานหรือรุ่นตรงข้อกำหนด ให้ตรวจบนเครื่องแยกเมื่อจำเป็น
- กลับไปนโยบายเข้าถึง Zero Trust เลือกการตรวจที่เปิดและใช้ได้ใน Security Checks แล้วบันทึก หากเลือกหลายรายการ ทุกการตรวจต้องมีผลผ่านที่ใช้ได้จึงตรงเงื่อนไขนโยบาย หลังข้อมูลและนโยบายปรับปรุงให้ทดสอบต้นทางควบคุมทั้งที่ตรงและไม่ตรงเงื่อนไข พร้อมตรวจนโยบายอื่นและเส้นทาง
- หากนโยบายหรือวัตถุที่อ้างอิงปิดหรือใช้ไม่ได้ หรือผลขาดหายหรือหมดอายุ อย่าสมมติว่าผ่าน ประเมินการอ้างอิงและผลต่อธุรกิจก่อนเปลี่ยน การตรวจที่นโยบายอ้างอิงลบโดยตรงไม่ได้
วันที่อัปเดต