В настоящее время в ИТ-отрасли существует множество различных определений, шаблонов реализации и последствий архитектуры нулевого доверия (ZTA). Хотя Esri не может определить или реализовать стратегию ZTA для конкретной организации, ArcGIS представляет собой набор программного обеспечения и инструментов, которые функционируют в ИТ-среде и все больше подвержены ограничениям, правилам и политикам, которые могут быть внедрены в рамках ZTA. Некоторые рекомендации по использованию ArcGIS с ZTA описаны ниже.
Система ArcGIS спроектирована с точки зрения архитектуры программного обеспечения таким образом, чтобы полагаться на определенные предположения о доступе к сети, открытости и совместимости, что также называется неявным доверием. При таком подходе к проектированию развертывание ArcGIS в среде ZTA без тщательного понимания стратегии ZTA организации и четкого подхода к планированию и реализации может быть сопряжено с проблемами или функциональными ограничениями.
Компания Esri работала и продолжает работать над удовлетворением спроса на шаблоны развертывания, готовые к ZTA, в каждом выпуске программного обеспечения. Во многих отношениях ArcGIS сегодня поддерживает системы безопасности, подобные ZTA, так как программное обеспечение может быть настроено на требование аутентификации от всех пользователей, тщательное управление разрешениями и аутентификацию всех пользователей удаленных приложений или клиентов перед просмотром или доступом к данным. Решение о том, в достаточной ли степени соответствует существующая стратегия безопасности требованиям безопасности для конкретной организации, должно быть принято организацией после тщательного анализа и рассмотрения.
На практике большинство организаций внедряют ZTA, используя комбинацию новых политик, новых технологий и новых сетевых архитектур. Как правило, это включает в себя отход от типа развертывания глобальной сети (WAN), где связь между системами в одной сети в основном открыта и не ограничена, а аутентификация управляется протоколами и инструментами, специфичными для приложений. Этот традиционный подход к сетям основывается на обеспечении безопасности периметра сети, что эффективно против определенных угроз, но может оставить остальную часть сети уязвимой для внешнего злоумышленника, который смог нарушить защищенный периметр.
ZTA исходит из предположения, что предыдущая модель в основном открытого доступа к сети принципиально небезопасна. Это предполагает, что пользователи, устройства, приложения и сервисы должны проходить аутентификацию чаще, тщательнее и в большем количестве мест, чем когда-либо прежде. Общей целью ZTA является достижение сессии с минимальными правами на ограниченный срок для любой сетевой активности, происходящей между двумя компонентами или пользователями системы. Для достижения этой цели может быть использован целый спектр политик и технических подходов, и, в конечном счете, каждая организация несет ответственность за определение своего собственного проекта для ZTA, изменение архитектуры в соответствии с этим проектом и мониторинг соответствия с течением времени.
ArcGIS Online, как предложение программного обеспечения как услуги, обычно позиционируется за пределами определения ZTA. Это связано с тем, что безопасность и контроль этой системы являются ответственностью Esri как поставщика, и пользователи этой системы полагаются на свое доверие и соглашение с Esri для достижения этих целей.
В системе SaaS все пользователи получают доступ к ArcGIS Online исключительно с помощью HTTPS-запросов к известным и защищенным конечным точкам REST, без доступа к серверным системам, сети, в которой они размещены, или любым другим защищенным ресурсам. Esri предоставляет базовый уровень безопасности для ArcGIS Online вместе с различными настройками безопасности или прав, которые могут быть настроены в соответствии с потребностями каждой организации в безопасности в системе SaaS, от ограничения доступа пользователей по умолчанию до управления правами доступа и публикации ресурсов.
ArcGIS Pro – это настольное приложение для Windows, которое используется для широкого спектра рабочих процессов анализа, редактирования и визуализации данных. В рамках этих рабочих процессов ArcGIS Pro обычно подключается к наборам данных, которые могут быть организованы в три категории:
Если эти подключения требуют аутентификации, ArcGIS Pro должен знать о стандарте аутентификации и специально поддерживать его, чтобы пользователи могли подключаться к этому местоположению данных. В настоящее время программное обеспечение поддерживает широкий спектр шаблонов аутентификации, от пользователей баз данных до корпоративных удостоверений или аутентификации операционной системы, ключей и секретов доступа, учетных данных сервисных учетных записей и других. ZTA часто внедряет новые и более сложные требования к аутентификации для систем хранения данных, такие как многофакторная аутентификация пользователей или отказ от поддержки сервисных учетных записей без привязки к интерфейсу или выделенных учетных записей доступа к данным. Любая реализация средств управления безопасностью ZTA в базах данных, файловых системах, веб-сервисах или других системах хранения данных должна быть тщательно продумана с учетом потенциального влияния на пользователей ArcGIS.
ArcGIS Pro также выполняет запросы HTTPS при обмене данными с ArcGIS Enterprise, ArcGIS Online или другими внешними веб-сервисами. Когда эти запросы защищены неожиданным образом или с помощью шаблонов ZTA, подобных браузерным, таких как управление сеансами на основе файлов cookie, ArcGIS Pro может не подключиться к этим конечным точкам, поскольку в настоящее время он поддерживает только набор известных и тщательно протестированных шаблонов безопасного доступа для запросов HTTPS.
Другие приложения ArcGIS Desktop, такие как ArcGIS Drone2Map, ArcGIS Earth, ArcGIS AllSource, Survey123 или Insights Desktop, также могут быть затронуты архитектурными решениями ZTA. Каждое из этих приложений использует соединения на основе HTTPS для запроса к данным и их визуализации, поэтому те же предостережения или опасения остаются актуальными.
Безопасность мобильных устройств и приложений — это обширная, сложная и проблематичная сфера кибербезопасности. Важность этой области возросла с массовым внедрением мобильных приложений и увеличением их личного использования сотрудниками и участниками корпоративной среды. К распространенным темам безопасности мобильных устройств относятся управление корпоративной мобильностью (EMM), регистрация устройств, управление конечными точками, управление трафиком, управление мобильными устройствами (MDM), управление мобильными приложениями (MAM) и другие. Различные решения поставщиков также способствуют повышению безопасности мобильных рабочих процессов или направлены на их поддержку, а также на управление, основанное на пользователях и поведении, что может помочь предотвратить эти проблемы.
В то время как мобильные устройства могут поддерживать VPN на уровне устройства и приложения или аналогичные, концепция VPN как решения кибербезопасности ставится под сомнение в ZTA, и многие мобильные приложения предполагают наличие интернет-сервисов для доступа через публичные беспроводные сети и из различных мест.
ZTA часто внедряется для рабочих процессов с мобильными устройствами, требуя некоторой комбинации аутентификации на основе устройства, регистрации устройств и непрерывного мониторинга доступа. Эти средства управления часто реализуются на уровне мобильной операционной системы, которая может быть доступна или недоступна для мобильных приложений ArcGIS. Например, устройство может быть зарегистрировано с помощью Azure Entra ID, который затем может использоваться как условная проверка перед тем, как будет разрешена аутентификация через Azure AD, но если мобильное приложение ArcGIS не знает о данном требовании или о том, как получить доступ к регистрационной информации устройства, эта информация не будет отправлена в конечную точку Entra ID, и аутентификация может завершиться ошибкой.
ArcGIS Enterprise – это набор серверных веб-приложений и веб-сервисов, доступ к которым пользователи получают с помощью HTTPS-запросов от клиента, будь то браузер, мобильное приложение или настольное приложение. Хотя влияние на эти клиенты обсуждалось в предыдущих разделах, конфигурация ZTA также может повлиять на сам ArcGIS Enterprise. Например, если все запросы внутренней сети должны быть аутентифицированы в соответствии с системной политикой, эта политика может включать все запросы ArcGIS Enterprise от компонента к компоненту, которые либо защищены токенами и ключами, управляемыми ArcGIS, либо аутентификацией пользователя и пароля. Если сеть спроектирована таким образом, чтобы фильтровать каждый внутренний сетевой запрос, требуя определенного сертификата, ключа или заголовка, эти внутренние запросы компонентов, скорее всего, будут заблокированы и не будут выполнены.
Упомянутые выше последствия подчеркивают важность понимания специфики любой реализации модели нулевого доверия, чтобы подготовиться к ее потенциальному влиянию на компоненты ArcGIS. Один из подходов к достижению требований нулевого доверия в ArcGIS заключается в том, чтобы учитывать существующее состояние безопасности системы, что все запросы пользователей индивидуально аутентифицируются токенами ArcGIS, что является надежным механизмом, и в достаточной степени проверяет активность пользователей для достижения этого стандарта.
Распространенной технологией, используемой в рамках управления архитектурой с нулевым доверием, являются прокси-серверы с поддержкой удостоверений. Хотя этот шаблон может достичь некоторых целей для трафика через браузер, он, вероятно, будет мешать доступу из ArcGIS Pro или мобильных приложений к ArcGIS Enterprise.