Kiểm tra bảo mật cho chính sách truy cập
Nhóm truy cập tổ chức các nút Zero Trust và tài nguyên mạng để chính sách, tuyến và cấu hình khác tham chiếu. Chính sách xác định nguồn nào được phép hoặc bị từ chối truy cập đích nào, cùng giao thức, hướng và cổng. Tạo nhóm không tự cấp quyền; lưu chính sách cũng không chứng minh mọi nút đã nhận cấu hình hoặc dịch vụ đích có thể truy cập.
Chương này hướng dẫn tạo kiểm tra bảo mật và thêm vào chính sách truy cập. Kết quả kiểm tra, việc khớp chính sách và truy cập thực tế là các bước riêng cần được xác minh riêng.
Chuẩn bị
- Dùng tài khoản có quyền quản lý nhóm và chính sách Zero Trust. Xác nhận các nút liên quan đã kết nối và tài nguyên mạng cần thiết đã sẵn sàng.
- Xác định nguồn, đích, giao thức và cổng cần cho phép hoặc hạn chế, cũng như nhu cầu truy cập ngược. Chọn phạm vi tối thiểu đáp ứng nghiệp vụ và chuẩn bị đối tượng thử được phép và không được phép.
- Kiểm tra chính sách, tuyến và tham chiếu nhóm hiện có. Nhiều cấu hình có thể ảnh hưởng cùng đường truy cập; không kết luận kết quả chỉ từ một chính sách mới.
- Khi truy cập dịch vụ nội bộ, kiểm tra khả năng đến đích và chuyển tiếp của nút định tuyến, dịch vụ đích, tường lửa và đường về. Xem Cấu hình tuyến mạng Zero Trust.
Giới hạn cấu hình cổng: Một quy tắc chính sách có thể chứa nhiều cổng riêng lẻ hoặc một hay nhiều dải cổng, nhưng không trộn cổng riêng lẻ và dải trong cùng quy tắc. Ví dụ, không nhập cả 443 và 8000-8080 trong một quy tắc; việc lưu có thể thất bại dù giao diện chấp nhận dữ liệu. Nếu cần cả hai, hãy cân nhắc tạo các chính sách riêng, kiểm tra nguồn, đích, hành động và kiểm tra bảo mật của từng chính sách, rồi xác minh tác động kết hợp trong môi trường thí điểm. Không kết hợp * với cổng khác.
Tạo chính sách truy cập
- Xác nhận các nút nguồn thử nghiệm đã kết nối, nút đích hoặc tài nguyên mạng, cùng giao thức và cổng cần cho nghiệp vụ. Kiểm tra quyền quản lý và các chính sách hiện có có thể ảnh hưởng đến truy cập.
- Tạo hoặc chọn chính sách truy cập phù hợp, đặt nguồn, đích, hướng, hành động và cổng theo nhu cầu. Sau khi đổi giao thức hoặc loại đối tượng, kiểm tra lại lựa chọn để tránh vô tình mở rộng truy cập.
- Lưu và xác nhận chính sách được bật, rồi chờ các nút liên quan nhận cấu hình. Tạo chính sách và áp dụng kiểm tra bảo mật là hai bước riêng. Xem Chính sách truy cập để biết giới hạn cổng, thay đổi tùy chọn và cách xác minh đầy đủ.
Thêm kiểm tra bảo mật vào chính sách truy cập
Kiểm tra bảo mật bổ sung điều kiện cho nút nguồn. Với ví dụ tường lửa, trước tiên cấu hình thiết bị thử nghiệm theo quy trình tổ chức và chuẩn bị nguồn kiểm thử có tường lửa bật và tắt. Kiểm tra không cấu hình tường lửa; chỉ tên kiểm tra không chứng minh truy cập bị chặn.
- Với quyền quản lý kiểm tra bảo mật của quản lý thiết bị, mở Security Checks và chọn Create Security Check khi danh sách đã tải thành công và đang trống, hoặc Create Check khi đã có kiểm tra. Chọn Firewall Enabled, thực hiện Check type, Check settings, Review; loại này không cần tham số bổ sung. Đặt tên và lưu. Nếu đã có kiểm tra cùng loại, kiểm tra và dùng lại thay vì tạo trùng.
- Kiểm tra tên, loại và trạng thái bật trong danh sách. Thiết bị phải báo cáo trạng thái và được đánh giá; không coi dữ liệu thiếu hoặc chưa có kết quả hợp lệ là đạt.
- Trở lại chính sách truy cập Zero Trust, đặt nguồn, đích, hành động, giao thức và cổng như trên; chọn kiểm tra đã bật trong Security Checks rồi lưu. Chỉ tạo mà không thêm vào chính sách không tạo điều kiện cho chính sách.
- Sau khi dữ liệu và chính sách cập nhật, thử truy cập từ nguồn thỏa và không thỏa điều kiện. Kiểm tra nhóm nguồn, chính sách khác, tuyến và tường lửa đích. Kết quả không đạt, không rõ, hết hạn hoặc không khả dụng không được coi là đạt hợp lệ cho chính sách này; điều đó không bảo đảm mọi đường khác đều bị chặn.
- Trước khi sửa hoặc tắt, kiểm tra các chính sách tham chiếu và ảnh hưởng; không thể xóa trực tiếp kiểm tra đang được tham chiếu. Chỉ mở rộng sau xác minh và quy trình thay đổi của tổ chức.
Giới hạn quan trọng của chính sách từ chối: Kiểm tra bảo mật là điều kiện khớp nguồn, không phải công tắc từ chối khi kiểm tra thất bại. Nếu thêm kiểm tra vào chính sách từ chối, quy tắc từ chối có thể không áp dụng khi nguồn không có kết quả đạt hợp lệ; chính sách cho phép hoặc tuyến khác vẫn có thể ảnh hưởng truy cập. Không giả định tổ hợp này chắc chắn chặn mọi thiết bị không tuân thủ. Hãy kiểm thử riêng trường hợp đạt, không đạt và thiếu dữ liệu.
Chính sách hai chiều và kiểm tra bảo mật: Với chính sách hai chiều giữa các nút, kiểm tra được đánh giá theo nút nguồn được định nghĩa trong chính sách; điều đó không chứng minh nút đích cũng đã đạt kiểm tra. Khi nguồn đạt nhưng đích không đạt, quy tắc hai chiều vẫn có thể cho phép đích chủ động truy cập nguồn, tùy các quy tắc khác và điều kiện mạng. Nếu cả hai bên phải đạt kiểm tra, hãy cân nhắc hai chính sách một chiều riêng với kiểm tra cho từng nguồn, rồi thử cả hai chiều khi kết quả đạt, không đạt và thiếu dữ liệu.
Dùng kiểm tra DLP hoặc phần mềm bắt buộc
Ngoài tường lửa, có thể tạo các kiểm tra sau trong sản phẩm tương ứng. Cần quyền sản phẩm và quyền quản lý kiểm tra. Mỗi kiểm tra chọn một đối tượng; nếu đã có kiểm tra cùng loại cho đối tượng, hãy kiểm tra và dùng lại.
- Chống thất thoát dữ liệu: Trước tiên cấu hình, bật chính sách DLP cần thiết và kiểm tra phạm vi thiết bị thử nghiệm. Trong Security Checks của sản phẩm, tạo Data Loss Prevention Policy Applied, chọn chính sách đã bật và có hiệu lực, đặt tên, kiểm tra và lưu. Kiểm tra dựa trên quan hệ áp dụng chính sách, không tự chứng minh thiết bị đã nhận hoặc thực thi thành công. Vẫn phải xác minh hiệu quả trên thiết bị theo hướng dẫn tính năng.
- Phần mềm bắt buộc: Chuẩn bị và bật đối tượng phần mềm nhận diện được mục tiêu, xác nhận thiết bị thử nghiệm đã báo cáo tài sản. Trong Software > Security Checks, tạo Required Software Installed, chọn đối tượng, đặt tên, kiểm tra và lưu. Kết quả dựa vào tài sản đã ghi nhận, không chứng minh phần mềm đang chạy hoặc phiên bản đáp ứng yêu cầu; kiểm tra riêng trên thiết bị khi cần.
- Trong chính sách truy cập Zero Trust, chọn các kiểm tra đã bật và khả dụng tại Security Checks, rồi lưu. Nếu chọn nhiều mục, tất cả phải có kết quả đạt hợp lệ để đáp ứng điều kiện của chính sách. Sau cập nhật, thử nguồn có kiểm soát thỏa và không thỏa điều kiện; kiểm tra cả chính sách khác và tuyến.
- Không giả định điều kiện đạt khi chính sách hoặc đối tượng tham chiếu bị tắt, không khả dụng, hoặc kết quả thiếu hay hết hạn. Đánh giá tham chiếu và ảnh hưởng nghiệp vụ trước khi đổi; không thể xóa trực tiếp kiểm tra đang được chính sách tham chiếu.
Ngày cập nhật