მთავარი დასკვნა
განიხილეთ ტრაფიკის გზები, რესურსების პასუხისმგებლები და ის, ვინ რომელი მოწყობილობიდან აღწევს თითოეულ აპლიკაციამდე. „კერძო ქვექსელის“ სახელწოდება უსაფრთხოებას არ ამტკიცებს; გამოცადეთ მარშრუტები და კონტროლის მექანიზმები.
რას უზრუნველყოფს VPC
VPC არის ლოგიკურად იზოლირებული ქსელური სივრცე საჯარო ღრუბელში. ირჩევთ მისამართების დიაპაზონებსა და ქვექსელებს, შემდეგ აკონფიგურირებთ მარშრუტიზაციის ცხრილებსა და ქსელურ ფილტრებს. პროვაიდერის იზოლაცია დატვირთვის ქსელურ დიზაინს არ ანაცვლებს: დაუშვით და შეზღუდეთ ტრაფიკი კონკრეტული პროვაიდერის კონტროლის მექანიზმებით.
მისამართების დიაპაზონები და ქვექსელები
ჯერ დაგეგმეთ IP‑დიაპაზონები; საჭიროებისამებრ აპლიკაციის, მონაცემებისა და მართვის ფენები ცალკე ქვექსელებში განათავსეთ. ჰიბრიდული ქსელების დაკავშირებამდე შეამოწმეთ მისამართების გადაფარვა.
მარშრუტები და კავშირი
განიხილეთ თითოეული ქვექსელის მარშრუტიზაციის ცხრილი, ინტერნეტშლუზის ან NAT‑ის გავლით გზები და VPN ან გამოყოფილი კერძო კავშირები. საჯარო IP‑ის არქონა არ ნიშნავს, რომ ყველა გამავალი გზა დახურულია.
ტრაფიკის წესები და ჟურნალები
შემომავალი და გამავალი ტრაფიკი დაუშვით მხოლოდ საჭირო წყაროებიდან, საჭირო დანიშნულებებზე და საჭირო პორტებსა და პროტოკოლებზე. განიხილეთ წესების ცვლილებები და ნაკადებისა და უსაფრთხოების ჟურნალები პასუხისმგებელ გუნდს გაუგზავნეთ.
აირჩიეთ საჯარო ან კერძო ღრუბელი
საჯარო და კერძო ღრუბელს შორის არჩევანი „უსაფრთხოსა“ და „დაუცველს“ შორის არჩევანი არ არის. გადაწყვეტილება დააფუძნეთ დატვირთვის საჭიროებებს, კონტროლის მოთხოვნებს, გუნდის შესაძლებლობებს, მთლიან საოპერაციო ხარჯსა და კავშირს. კერძო გარემოში მეტი კონტროლი მეტ ოპერაციულ პასუხისმგებლობასაც მოიტანს.
| გასათვალისწინებელი საკითხი | საჯარო ღრუბელი | კერძო ღრუბელი |
|---|---|---|
| ინფრასტრუქტურა | პროვაიდერის გაზიარებული ფიზიკური რესურსები მომხმარებლების ლოგიკური იზოლაციით. | ერთი ორგანიზაციისთვის გამოყოფილი რესურსები; შეიძლება განთავსდეს ორგანიზაციაში ან პროვაიდერთან. |
| ოპერაციები | პროვაიდერი ამუშავებს საბაზისო ინფრასტრუქტურას; მომხმარებელი — სერვისებსა და კონფიგურაციას. | ოპერაციული მოვალეობები განთავსებაზეა დამოკიდებული; ორგანიზაციაში განთავსებულ კერძო ღრუბელს შეიძლება მეტი შიდა პერსონალი დასჭირდეს. |
| შეამოწმეთ | მონაცემების ადგილმდებარეობა, იდენტობა, სერვისის კონფიგურაცია და პროვაიდერის წვდომა. | მთლიანი ხარჯი, მდგრადობა, მომსახურება, განახლებები და აღდგენის შესაძლებლობა. |
სამფენიანი VPC‑განლაგების მაგალითი
აპლიკაციის გავრცელებულ განლაგებაში საჯარო ტრაფიკი აღწევს დატვირთვის დამაბალანსებლამდე, შეზღუდული წესებით გადადის აპლიკაციის სერვერებზე, მონაცემთა ბაზა კი კავშირებს მხოლოდ აპლიკაციის ფენიდან იღებს. ეს დიზაინის ნიმუშია; საჯარო და კერძო ქვექსელები კონკრეტული ღრუბლის მარშრუტიზაციისა და მისამართების ქცევით განსაზღვრეთ.
შექმენით შესვლის ფენა
განათავსეთ დატვირთვის დამაბალანსებელი ან შლუზი, რომელიც ინტერნეტიდან მხოლოდ საჭირო ტრაფიკს იღებს; მართვის პორტები საჯარო ინტერნეტში არ გახსნათ.
შეზღუდეთ აპლიკაციის ფენა
აპლიკაციის ინსტანციებზე შესვლის ფენიდან მხოლოდ საჭირო პორტები დაუშვით. განახლებებისა და ადმინისტრირებისთვის განსაზღვრეთ ცალკე კონტროლირებადი გზა.
მოახდინეთ მონაცემთა ფენის იზოლაცია
მონაცემთა ბაზას საჯარო მისამართი არ მიანიჭოთ. ქსელური კავშირები შეზღუდეთ ავტორიზებული აპლიკაციის ფენით და მონაცემთა ბაზაზე წვდომისას აპლიკაციას ავთენტიფიკაცია გაუვლეთ. სარეზერვო ასლები და აღდგენა ცალკე გამოცადეთ.
გამოცადეთ სრული გზა
გამოცადეთ როგორც დაშვებული, ისე აკრძალული ნაკადები, დაადასტურეთ ფაქტობრივი მარშრუტები და ჟურნალის მოვლენები და ცვლილებების შემდეგ გაიმეორეთ.
მართეთ ღრუბლოვანი აპების გამოყენება CASB‑ით
ღრუბლოვანი წვდომის უსაფრთხოების ბროკერი (CASB) კონტროლის მექანიზმების კატეგორიაა, რომელიც პოლიტიკას მომხმარებლებსა და ღრუბლოვან აპლიკაციებს შორის იყენებს. აპლიკაციის მიხედვით CASB‑ს შეუძლია პროქსით გზაშივე შეამოწმოს ტრაფიკი, API‑ინტეგრაციებით განიხილოს შენახული მონაცემები ან ორივე მიდგომა შეაერთოს. პროდუქტები დაფარვითა და კონტროლის მექანიზმებით განსხვავდება, ამიტომ არჩევამდე გადაამოწმეთ აპლიკაციის მხარდაჭერა და ტექნიკური შეზღუდვები.
ხილვადობა და აპლიკაციების ინვენტარი
გამოავლინეთ სამუშაოდ გამოყენებული დამტკიცებული და დაუმტკიცებელი SaaS, ანგარიშის ტიპები და გაზიარების ნიმუშები. აღმოჩენილი ინფორმაცია ბიზნესპასუხისმგებლებთან გადაამოწმეთ; უცნობი აპლიკაცია ავტომატურად მავნე აქტივობას არ ნიშნავს.
მონაცემების პოლიტიკა
თითოეული აპლიკაციის API‑ის ან ტრაფიკის შემოწმების შესაძლებლობების მიხედვით განსაზღვრეთ მგრძნობიარე ფაილების გაზიარების, ატვირთვისა და შენახვის პოლიტიკა. გამოცადეთ, სად მუშაობს რეალურად ისეთი კონტროლი, როგორიცაა DLP, კარანტინი და დაბლოკვა.
მომხმარებელი და კონტექსტი
გადაწყვეტილებებში გამოიყენეთ მომხმარებლის, მოწყობილობის მართვის, მდებარეობის, სარისკო მოქმედებებისა და გაზიარების კონტექსტი. პოლიტიკა მართეთ დოკუმენტირებული გამონაკლისებით, აღრიცხვითა და ბიზნესის დამტკიცებით.
გაიგეთ კონტროლის საზღვრები
CASB ავტომატურად ვერ ხედავს ყველა ღრუბლოვან რესურსსა თუ მომხმარებლის მოქმედებას. დაფარვა დამოკიდებულია შერჩეულ აპებზე, დაკავშირებულ ანგარიშებზე, API‑უფლებებზე, დაშიფრულ ტრაფიკსა და ინტეგრაციის მეთოდზე. გამოიყენეთ ის ქსელის, იდენტობის, ბოლო მოწყობილობისა და ღრუბლოვანი კონფიგურაციის კონტროლთან ერთად.