Компания Gartner обнародовала прогноз по мировому рынку средств обеспечения сетевого доступа с нулевым доверием (Zero Trust Network Access, ZTNA). По мнению аналитиков, спрос на данные решения в корпоративном сегменте значительно вырастет, а заказчики всё чаще будут применять соответствующие продукты вместо виртуальных частных сетей (VPN).

Концепция ZTNA предусматривает, что доступ пользователя к определённым приложениям или сервисам предоставляется только после аутентификации на базе различных методов. Причём любые изменения конфигурации сети требуют повторной аутентификации. По сути, речь идёт о схеме «по умолчанию не доверяй никому», которая позволяет повысить безопасность IT-инфраструктуры.

Источник изображения: Olivier Le Moal / Alamy Stock Photo

По оценкам, в конце 2021 года рост глобальной отрасли ZTNA составил менее 10 %. В 2023-м темпы расширения данного сегмента увеличатся до 31 %. Этому будет способствовать в том числе внедрение ZTNA для рядовых офисных сотрудников. Gartner ожидает, что к 2025 году как минимум 70 % новых проектов по организации удалённого доступа будут полагаться на ZTNA вместо VPN.

Нажмите для увеличения. Источник изображения: DataCenter Knowledge

Специалисты Omdia выделяют несколько причин роста популярности ZTNA. По сравнению с VPN такие системы обеспечивают более высокий уровень безопасности. Кроме того, средства VPN менее эффективно используют полосу пропускания. Наконец, средства ZTNA зачастую входят в состав комплексных услуг SASE и SSE.

Консалтинговая компания TeleGeography опубликовала результаты недавнего исследования WAN Manager Survey, согласно которому в прошлом году 35 % ответственных за WAN внедрили один или несколько элементов безопасности Zero Trust (ZTS) или SASE как минимум в некоторых сетях их компаний. В 2019 году этот показатель составлял всего 8 %.

Исследование TeleGeography, основанное на анализе данных 185 компаний, показывает, что почти 100 % респондентов, внедривших ZTS, использовали многофакторную аутентификацию. Также получили применение такие политики нулевого доверия, как использование SSO, применение политик доступа для удалённых пользователей и устройств, управление привилегированным доступом (PAM). Анализ поведения пользователей получил меньшее распространение.

Источник изображения: Pixabay

TeleGeography прогнозирует дальнейший рост внедрения политики нулевого доверия, поскольку многие компании перевели часть своих работников на удалённую работу на постоянной основе. Аналитики также отмечают, что внедрение облачных технологий и локальные сбои в Сети тоже были давними факторами в пользу задействования политики нулевого доверия, в дополнение к SD-WAN.

Согласно исследованию, каждый третий респондент в своей стратегии обеспечения сетевой безопасности использует нескольких поставщиков. В рейтинге наиболее часто используемых поставщиков аппаратных средств безопасности лидируют Palo Alto, Cisco и Fortinet. Также TeleGeography отмечает выросшую осведомлённость о Zero Trust. В 2021 году всего 8 % респондентов не знали о нулевом доверии по сравнению с каждым пятым в 2019 году. Также стало меньше респондентов, которые либо еще не начали, либо только приступают к внедрению ZTS.

Компании, представленные в WAN Manager Survey от TeleGeography, имеют средний доход в размере $10 млрд. В исследовании приведены ответы ИТ-менеджеров, которые проектируют, создают и управляют национальными, региональными и глобальными корпоративными сетями США.

Компании «С-Терра СиЭсПи» и «ИТ-Экспертиза» сообщили о разработке решения для организации контролируемого защищённого подключения удалённых пользователей к корпоративной сети и реализации концепции контроля сетевого доступа (NAC) или сетевого доступа с нулевым доверием ZNTA. Продукт полностью соответствует требованиям российского законодательства.

В основу представленного решения положены VPN‑инструменты «С-Терра» и комплекс информационной безопасности САКУРА, созданный в «ИТ-Экспертиза». САКУРА позволяет контролировать состояние удалённых рабочих мест и других устройств в круглосуточном режиме и предотвращать последствия нарушения правил информационной безопасности.

Упрощенная схема решения / Источник изображения: «С-Терра СиЭсПи»

Совместное решение предназначено для организации защищённого удалённого доступа с проверкой политики безопасности пользовательских рабочих станций. Среди ключевых возможностей продукта названы: предоставление доступа к конфиденциальной информации только с проверенных устройств; оперативное реагирование на проблемы безопасности пользователя в реальном времени; профилирование устройства (в зависимости от результата проверки пользовательского АРМ выдаётся удалённый доступ к разным сетевым ресурсам).

«Интеграция продуктов САКУРА и С-Терра VPN даёт нашим заказчикам возможность реализовать уже ставшую стандартом в современных условиях концепцию ZTNA — выполнять проверку комплаенса безопасности и "на лету" управлять доступом рабочих мест к инфраструктуре организации в зависимости от соблюдения требований безопасности», — отмечают партнёры.

В решении сохранены все преимущества VPN-клиентов «С-Терра Клиент»/»С-Терра Клиент А» для удалённого доступа, в том числе интеграция с Active Directory через механизм xAuth и возможность использования двухфакторной аутентификации через одноразовые пароли, SMS или Telegram.

В эпоху новых платформ, когда даже HPC-задачи могут выполняться в облаке, значение технологий, обеспечивающих информационную безопасность как никогда велико. Однако и сами технологии ИТ-безопасности можно не просто ускорить с помощью сопроцессоров, но и предлагать их в качестве услуги.

Сама по себе изоляция сетевого стека от ОС и приложений не нова — ещё в 2006 году Bigfoot Networks представила первые адаптеры Killer NIC, где обработка трафика выполнялась на набортном процессоре с архитектурой PowerPС, который позволял также запускать и специфический набор приложений, полностью независимый от ЦП и не подверженный, таким образом, вирусным атакам со стороны заражённой хост-системы.

На тот момент идея особой популярности не снискала, однако за прошедшие 15 лет возможности и производительность современных «умных» сетевых карт выросли на порядки и в настоящее время мы видим ренессанс идеи на новом уровне. DPU/IPU уже никого не удивить, однако NVIDIA предлагает для них не просто реализацию подхода «нулевого доверия» (Zero Trust), но и значительное упрощение его внедрения с помощью SDK DOCA 1.2.

В качестве аппаратной основы для DOCA используются DPU серии BlueField, благо уже второе поколение этих решений обеспечивает линейные скорости 200 Гбит/с, поддержку RoCE, GPUDirect Storage и обработку трафика на уровне десятков миллионов пакетов в секунду. Новое, третье поколение BlueField будет ещё мощнее и поднимет скорость до 400 Гбит/с на порт — и это с полноценным шифрованием, аппаратным брандмауэром, продвинутой телеметрией, а также с поддержкой изоляции и контейнеризации микросервисов.

В DOCA NVIDIA унифицировала стандарты разработки ПО для собственных DPU, подобно тому, как она сделала это для CUDA. Разработка безопасных сетевых сред на базe BlueField стала не просто доступной, но и сделала возможным предоставление таких сред в качестве услуги. Такая услуга может полностью управлять доступом к ресурсам ЦОД, осуществлять валидацию всех пользователей и любых приложений + изолировать потенциально уязвимые системы и не давать возникшей ИТ-угрозе распространиться за пределы «карантинной зоны».

Релиз DOCA 1.2 дополняет обновлённый фреймворк NVIDIA Morpheus, предназначенный для разработки средств кибербезопасности с элементами машинного обучения. Благодаря этому комплексу ПО, DPU и EGX поведенческий анализ и детектирование угроз происходит в 600 раз быстрее, чем при исполнении на CPU. Инициативу уже поддержали такие крупные игроки на рынке сетевых средств безопасности, как Juniper Networks и Palo Alto Networks. Ранний доступ к NVIDIA DOCA 1.2 будет открыт 30 ноября, а Morpheus доступна уже сейчас.