Zero Trust Network Access (ZTNA)

Sophos Zero Trust Network Access (ZTNA)

Sophos Zero Trust Network Access (ZTNA) là một giải pháp thay thế VPN truyền thống, cho phép kiểm soát truy cập tài nguyên dữ liệu và ứng dụng nội bộ doanh nghiệp. Bằng cách xác thực người dùng và kiểm tra tình trạng an toàn của thiết bị trước khi cấp quyền truy cập giới hạn vào tài nguyên doanh nghiệp, tài nguyên và ứng dụng của nội bộ doanh nghiệp sẽ được đảm bảo an toàn trong môi trường Remote Office đang rất phổ biến ngày nay.

 

Zero Trust Network Access là gì ?

Trong bối cảnh các doanh nghiệp đang chuyển dần mô hình nhân sự từ làm việc tại công ty (on-site) sang làm việc từ xa (remote), thì nhu cầu truy cập tài nguyên công ty từ xa là hết sức cần thiết. VPN (Virtual Private Network) là một giải pháp phổ biến để giới hạn chỉ cho phép những người dùng nội bộ có thể truy cập mạng của doanh nghiệp từ xa.

Tuy nhiên, lỗ hỏng bảo mật của VPN đó là thiết bị cá nhân của người dùng để truy cập VPN, khi thiết bị cá nhân của người dùng bị nhiễm mã độc hoặc có những phần mềm gián điệp, các mã độc và phần mềm đó có thể dễ dàng lan rộng trong mạng nội bộ doanh nghiệp thông qua đường truyền VPN nếu doanh nghiệp không có giải pháp nhận diện các thiết bị nguy hiểm kết nối vào tài nguyên nội bộ doanh nghiệp.

Sophos Zero Trust Network Access (ZTNA) là một giải pháp cho phép kiểm soát truy cập tài nguyên dữ liệu và ứng dụng trong nội bộ doanh nghiệp thay thế cho giải pháp VPN truyền thống. Với giải pháp Sophos ZTNA tài nguyên và ứng dụng của nội bộ doanh nghiệp sẽ được đảm bảo an toàn. Chỉ có những người dùng được xác thực và thiết bị của họ đảm bảo an toàn được phép truy cập vào phần tài nguyên hoặc từng ứng dụng riêng lẻ mà người dùng đó được quyền truy cập vào.

 

Mô hình triển khai

 

Cách hoạt động

Sophos ZTNA hoạt động dựa trên cơ chế Xác thực người dùng và Đánh giá độ an toàn của thiết bị. Để truy cập được các tài nguyên hoặc ứng dụng trong doanh nghiệp, người dùng trước hết phải được xác thực bằng cách login vào account doanh nghiệp đồng thời thiết bị người dùng phải được đảm bảo không bị lây nhiễm hoặc chứa các phần mềm độc hại (đối với các resource yêu cầu agent).

Sophos ZTNA gồm 3 thành phần chính:

Sophos ZTNA Client

ZTNA client là một thành phần nhẹ được cài đặt cùng với Sophos Intercept X Endpoint. Không cần cài đặt, chỉ cần Assign Endpoint vào ZTNA license bên trên Sophos Cetral, lập tức các thành phần của Sophos ZTNA sẽ được cập nhật đầy đủ tới Endpoint đang được đặt trên máy người dùng.

Sophos Central

Sophos Central đang trở thành một thành phần không thể thiếu của bất kỳ sản phẩm Sophos nào. Central có mục đích dùng để cấu hình ZTNA gateway, áp dụng chính sách, một giao diện để quản trị viên có thể theo dõi hoạt động của các user/thiết bị đang truy cập vào tài nguyên dữ liệu của doanh nghiệp, đồng thời là nơi chứa báo cáo, nhật ký về các sự kiện trong hệ thống ZTNA của doanh nghiệp. ZTNA client được tích hợp với cách tính năng Synchronized Security và Security Heartbeat cung cấp cho người quản trị cái nhìn toàn cảnh nhất về trình trạng an toàn thông tin của doanh nghiệp trên một giao diện duy nhất.

Sophos ZTNA Gateway

ZTNA Gateway là một thành phần máy ảo dùng để xác thực người dùng và xác nhận tình trạng thiết bị truy cập vào tài nguyên và ứng dụng bên trong doanh nghiệp. Là thành phần chính nhận cấu hình và chính sách từ Sophos Central, đóng vai trò là người đại diện cho các tài nguyên và ứng dụng kết nối đến đúng người dùng. ZTNA gateway được cài đặt miễn phí và dễ dàng như một máy ảo trên Vmware hoặc Amazon Web Services.

ZTNA gateway có 2 dạng triển khai là One-arm và Two-arm:

One-arm Deployment

Two-arm Deployment

So sánh VPN truyền thống, Sophos ZTNA

So với giải pháp VPN truyền thống, Sophos ZTNA có những khác biệt quan trọng đáng chú ý như: Độ tin cậy, tình trạng an toàn của thiết bị và quản trị. Chi tiết như sau:

	VPN	ZTNA
Độ tin cậy	Người dùng mặc nhiên được tin tưởng với quyền truy cập không giới hạn vào các tài nguyên, điều này có thể tạo ra các rủi ro bảo mật nghiêm trọng	Xử lý từng người dùng và thiết bị riêng lẻ để chỉ cung cấp các tài nguyên mà người dùng và thiết bị được phép truy cập. Thay vì cho phép người dùng hoàn toàn tự do di chuyển trong mạng ZTNA tạo ra các tunnel riêng lẻ được thiết lập giữa người dùng và port number cụ thể cho từng ứng dụng mà họ được phép truy cập.
Tình trạng an toàn của thiết bị	Không có nhận thức về tình trạng an toàn thông tin của thiết bị đang kết nối. Nếu một thiết bị bị xâm nhập kết nối qua VPN, nó có thể ảnh hưởng đến phần còn lại của mạng nội bộ doanh nghiệp.	Tích hợp tính năng tuân thủ và kiểm tra tình trạng thiết bị vào trong các chính sách cho phép truy cập, cung cấp cho bạn tùy chọn để loại trừ các hệ thống không tuân thủ, bị nhiễm hoặc bị xâm nhập truy cập vào các ứng dụng và dữ liệu của doanh nghiệp. Điều này làm giảm đáng kể nguy cơ bị đánh cắp hoặc rò rỉ dữ liệu.
Kết nối từ xa	Cung cấp một điểm kết nối duy nhất trên mạng, có nghĩa là khi muốn truy cập vào nhiều vị trí, trung tâm dữ liệu hoặc ứng dụng người dùng phải truy cập vào từng điểm VPN tương ứng với tài nguyên muốn sử dụng.	Hoạt động tốt và an toàn như nhau đến bất kỳ điểm kết nối nào, quản lý kết nối an toàn và minh bạch bất kể người dùng và thiết bị ở đâu, giúp trải nghiệm liền mạch cho dù người dùng đang làm việc ở đâu.
Tính trực quan	Không biết về lưu lượng và mục đích sử dụng lưu lượng mà nó đang cung cấp cho người dùng từ xa, khiến khả năng hiển thị hoạt động của người dùng và việc sử dụng ứng dụng trở nên khó khăn hơn.	Vì quyền truy cập vào Sophos ZTNA được phân đoạn vi mô, nó có thể giúp tăng khả năng hiển thị đối với các hoạt động của ứng dụng. Điều này làm cho việc theo dõi tình trạng ứng dụng, sắp xếp tài nguyên, quản lý cấp phép và kiểm toán dễ dàng hơn nhiều.
Trải nghiệm người dùng	Cung cấp trải nghiệm người dùng kém, thêm độ trễ hoặc tác động tiêu cực đến hiệu suất, gặp sự cố kết nối và thường là gánh nặng cho bộ phận hỗ trợ.	Cung cấp trải nghiệm người dùng cuối trơn tru và liền mạch bằng cách tự động thiết lập các kết nối an toàn theo yêu cầu. Tất cả đều được thực hiện ở âm thầm dưới nền, vì vậy hầu hết người dùng thậm chí sẽ không biết về giải pháp Sophos ZTNA đang giúp bảo vệ dữ liệu của họ.
Quản trị	Khó thiết lập, triển khai, đăng ký người dùng mới và xóa người dùng nghỉ việc. VPN cũng gặp nhiều khó khăn trong việc quản lý trên tường lửa và cổng, đặc biệt là với nhiều điểm, quy tắc truy cập tường lửa, quản lý IP, luồng lưu lượng và định tuyến. Nó trở thành một công việc tốn kém thời gian của các quản trị viên.	Gọn gàng hơn, đơn giản hơn, dễ triển khai và quản lý hơn. Các quản trị viên cũng thoải mái hơn trong các môi trường thay đổi liên tục người dùng, ứng dụng, các thiết bị đến và đi – giúp việc quản trị hàng ngày trở nên nhanh chóng và dễ dàng.