Переход от модели «доверяй, но проверяй» к параноидальному аудиту каждого пакета. Почему Schemaly отказывается от концепции безопасного периметра в пользу микросегментации.
Zero Trust (Безоговорочное недоверие) — это стратегия кибербезопасности, которая предполагает, что все попытки доступа к ресурсам потенциально злонамеренны.
В традиционных сетях хостинга существовала концепция «внутреннего» и «внешнего» контура. Если вы прошли через шлюз (Firewall), вам доверяли. В архитектуре Zero Trust периметра не существует. Каждый запрос от каждого пользователя, устройства и приложения должен быть аутентифицирован, авторизован и зашифрован, независимо от того, находится ли он за границей сети или внутри нее.
Для управляемого хостинга это означает полный отказ от плоских сетей (flat networks) в пользу строгой изоляции сред выполнения.
В инфраструктуре Schemaly мы не просто ставим брандмауэры на вход. Мы внедряем Software-Defined Perimeter (SDP). Доступ к управлению сервером возможен только через специфический прокси-шлюз, который невидим для сканирования портов извне. IP-адреса административных панелей скрыты за динамическими токенами сессии.
Ключевой инструмент Zero Trust. Мы разделяем сеть на минимально возможные зоны. Базы данных (PostgreSQL/Redis) физически изолированы от веб-серверов. Если хакер получает доступ к веб-приложению, он оказывается в «песочнице» без возможности горизонтального перемещения к критическим данным. Трафик разрешается только между конкретными портами конкретных контейнеров.
Пароли — устаревший стандарт. В наших кластерах микросервисов применяется mTLS (Mutual TLS). Каждый сервис имеет свой сертификат, и они «знают» друг друга. Попытка несанкционированного сервиса подключиться к базе данных будет отклонена на уровне сетевой подсистемы, даже если он находится в той же подсети.
Реальный пример внедрения архитектуры Zero Trust для системы высоконагруженных транзакций.
Клиент переносил ядро платежной системы на инфраструктуру Schemaly. Требовалось соответствие стандарту PCI DSS и защита от внутренних утечек. Традиционная защита периметром была недостаточна из-за сложности микросервисной архитектуры (140+ сервисов).
Мы развернули кластер Kubernetes с политиками NetworkPolicy, ограничивающими весь исходящий трафик по умолчанию (Deny All). Внедрен Service Mesh (Istio) для управления mTLS между подами. Административный доступ к серверам реализован через Jump-Box с обязательной 2FA и логированием каждой сессии.
Время обнаружения аномалий сократилось с 48 часов до 15 минут. Успешно пройдена аудитория безопасности без критических замечаний.
Официальный справочник института стандартов США по архитектуре Zero Trust. Фундаментальный документ для понимания терминологии и базовых принципов.
Исследование от Google о том, как они убрали корпоративную VPN и перешли на модель, где безопасность зависит от атрибутов пользователя, а не от его местоположения.
Технический разбор наших внутренних практик настройки Istio и Calico для изоляции tenant-ов в мульти-тенантной среде.
Наши инженеры проведут бесплатный аудит текущей инфраструктуры на предмет уязвимостей Zero Trust.
Запросить аудит