U zadnje vrijeme sve je više upita oko pojašnjenja opisa ZTNA i što nam on donosi. COVID-19 pandemija je samo ubrzala potrebu za transformiranjem klasičnog VPN pristup u ZTNA pristup. U nastavku ćemo opisati što nam ovaj pristup donosi i koje su sve tehnologije potrebne da se implementira ZTNA.

U zadnjih par godina mrežna infrastruktura se definitivno mijenja. Klasični IT mrežni  sustavi u prošlosti su se sastojali od firewalla (vatrozid), lokalne mreže, jedne ili više DMZ zona sa serverima i aplikacijama koji su bili dostupni lokalnim, udaljenim i javim korisnicima i korisnika koji su se spajali na VPN, bilo preko SSL VPN ili IPSec pristupa. Osim lokalnih resursa s vremenom su se pojavila i cloud (public ili private ili hibridna) rješenja koja je također trebalo povezati u IT sustav na siguran način. I dodatno na sve ovo pojavio se i SD-WAN koncept i rješenja su još više postala distribuirana. Ukoliko ne znate, svaki FortiGate uređaj je i SD-WAN kontroler koji omogućava dinamičko usmjeravanje prometa prema aplikacijama ili Internet servisima i za to Vam ne treba nikakva dodatna licenca. Sve u svemu distribuirana infrastruktura.

Vratimo se još malo na VPN pristup. U prošlosti VPN su najčešće koristili IT-evci i direktori. Rekli bi dosta jednostavna arhitektura s definiranim pristupom za određene grupe korisnika. I onda je došla nesretna pandemija i preko noći je bilo potrebno omogućiti VPN pristup za skoro sve djelatnike. Prednost Fortinet-a i FortiGate firewalla je da nema licenciranja za VPN korisnike, odnosno da je vrlo lagano bilo omogućiti VPN za sve korisnike. Dodatno da bi se osigurao ovaj pristup moguće je nabaviti FortiToken uređaje za dvofaktorsku autentikaciju. Rješenja dolaze u obliku mobile (IOS i Android) ili hardver tokena. Ovaj dodatak svakako uvijek preporučamo za sve vaše VPN korisnike. Problem VPN pristupa je da je do sada samo provjeravao korisničke podatke za spajanje i nakon toga je korisniku bio omogućen pristup koji je definiran VPN pravilima na FortiGate firewallu. Ovakva rješenja u pravilu nisu provjeravala koji se uređaj spaja, jel to vaš službeni laptop ili neki nepoznati uređaj za vašu organizaciju. Da bi ovo dodatno osigurali postojale su mogućnosti instaliranja certifikata i provjera certifikata kod spajanja pomoću PKI infrastrukture.

I eto pojavio se i Zero Trust pristup kod Fortineta! Odnosno postojao je djelomično i prije ali ne pod tim nazivom sve do verzije FortiOS-a 7.0. Koncept je da se svaki korisnik i uređaj mora provjeriti prije spajanja i da mu se tek nakon provjere vjeruje. I još jedna dodatna stvar je da se taj status cijelo vrijeme provjerava. Zero Trust se povezuje s ZTNA – Zero Trust Network Accessom ali ustvari se kod Fortineta radi i Zero Trust Application Access-u – dozvoli pristup samo za određene aplikacije koje su definirane kroz Zero Trust politike na FortiGate Access Proxy-u.

ZTNA nam s ovim principom ustvari donosi evoluciju VPN pristupa koji nam donosi bolju sigurnost, granularnu kontrolu i bolje korisničko iskustvo. Sa ZTNA konceptom rješavamo i :

• Poznajemo svaki uređaj i korisnika koji su spojeni u mreži (on-net ili off-net)
• Dokumentiramo sve resurse – podatke, aplikacije, servise i njihova prava pristupa
• Odrađujemo autentikaciju svakog pristupa IT resursima (mreža, file share, baza podataka, aplikacija)
• Koristimo kriptografiju za autentikaciju korisnika i uređaja koji se spajaju

Fortinetov pristup Zero Trust konceptu

Što nam sve treba da se sve ovo i odradi s Fortinet uređajima? Prije svega Fortinetov pristup je da se Zero Trust mora primijeniti na sve resurse korisnika, bez obzira jel se oni nalaze lokalno na lokaciji korisnika, na udaljenim lokacijama u podružnicama, u privatnom ili javnom oblaku ili u kućnoj mreži korisnika.

Kako bi omogućili Zero trust koncept potrebno je implementirati:

• Kontrolu pristupa korisnika pomoću FortiClienta, koji nam omogućava provedbu usklađenosti sigurnosnih politika, zaštitu od malwarea i siguran pristup (VPN i kriptirana komunikacija). Centralno upravljanje klijenata je omogućeno preko Fortinet Endpoint management servera EMS, koji se koristi i kao Certification Authority za kreiranje certifikata koji će omogućiti sigurno komunikaciju uređaja. Dodatno se na EMS sustavu definiraju i Zero Trust tag-ovi koji se dodjeljuju uređajima.
• Identity Access Management (IAM) korištenjem FortiAuthenticator-a, AAA sustava koji je zadužen za kontrolu korisnika, SSO i nadzor gostujućih korisnika. Opcionalno se ovdje još može koristiti i dvofaktorska autentikacija pomoću FortiToken uređaja u hardverskom ili mobile obliku.
• Kontrola pristupa mreži pomoću FortiNAC Network Access Controller-a, koji nam omogućava vidljivost i profiliranje svakog korisnika i uređaja u mreži.
• Kontrole pristupa aplikacija pomoću FortiGate NGFW uređaja i njegovih ugrađenih Access Proxy mogućnosti unutar FortiOS 7.0 operativnog sustava. Dodatno se korištenjem FortiGuard appliation control servisa može detektirati preko 4000 aplikacija za koje se onda mogu primijeniti granularne kontrole pristupa. Dvije su mogućnosti definiranja pristupa. Kreiranjem VPN konekcija i nakon toga primjenom Zero Trust tagova pomoću Fortinet EMS sustava ili definiranjem Access Proxy ZTNA politika na FortiGateu i koji će omogućiti samo pristup određene aplikacije.

Nadamo se da smo Vam s ovim člankom uspjeli objasniti Fortinet ZTNA koncept, a i naš pogled na sve ovo. Za više informacija i detalje slobodno nam se obratite kako bi Vam pomogli u dimenzioniranju ovog rješenja.