Soluciones · Reemplazo de VPN
La VPN entrega la red. Ellos solo necesitaban una máquina.
Las VPN de acceso remoto se crearon para unir dos redes y no pueden hacer menos que eso. HBX pone a una persona identificada en un dispositivo, durante una ventana de tiempo, y no deja ninguna ruta permanente detrás.
Lo que usted opera hoy
Una VPN no otorga acceso a un sistema. Otorga pertenencia a una red.
Usted emite un perfil para que un ingeniero llegue a un controlador en una sede. Lo que el perfil hace en realidad es poner su laptop en la misma parte de la red donde vive ese controlador, con una dirección dentro de su perímetro. Desde ahí, todo lo que esa parte de la red alcanza queda a un escaneo de distancia, y a la red no le importa cuál de esas cosas era el motivo del ticket.
La unidad de acceso es la subred
En un túnel no hay forma de escribir “esta persona, este dispositivo”. Se aproxima con rutas, reglas de firewall y un grupo en el directorio, y la aproximación se desajusta la primera vez que alguien cambia el direccionamiento de una planta.
El movimiento lateral es la red funcionando correctamente
Una vez que una laptop está en esa red, moverse hacia los lados no es un ataque. Cada vecino del equipo que usted quería exponer es alcanzable por quien tenga ese perfil, o por quien termine con esa laptop.
Alguien más está en el camino
El acceso remoto entregado desde la nube hace pasar su tráfico por los servidores de un proveedor, porque ahí es donde se aplica la política. Su proveedor queda en medio de una conexión entre dos máquinas que son ambas suyas.
Y cuando algo parece raro a las 3 de la mañana, el único control que usted tiene es un interruptor con dos posiciones.
Cortar el túnel y se corta a cada persona y a cada integración que viaja por esa VPN, incluidas las que hacen trabajo legítimo en plena ventana de mantenimiento.
Dejarlo arriba y la conexión de la que usted desconfía continúa, porque no hay forma de cortar una sola conexión.
Lo que la reemplaza
Una persona, un dispositivo, una ventana, y nada en pie después.
No hay perfil que aprovisionar ni ruta que agregar. La decisión se toma por solicitud, para un destino y una ventana.
Cómo decide HBX AccessUn nombre, no una dirección
Cada acceso parte de una identidad que su directorio ya respalda. El registro nombra a la persona responsable y al destino, no una dirección de red y una duración, y por eso se lee como evidencia que un auditor puede usar.
Llegar a una cosa es llegar a una cosa
La aprobación es para el dispositivo mismo, no para la parte de la red en la que casualmente está. Su vecino no queda incluido, y cambiar las direcciones de una sede no amplía nada en silencio.
Termina sin que nadie lo decida
El acceso vence porque así fue autorizado. El conector elimina el acceso temporal cuando termina la ventana, así que nadie tiene que acordarse del contratista de marzo.
Por dónde va el tráfico
Elimine el túnel que abarca toda la red. No publique nada en internet.
Un conector corre junto al sistema, dentro de su red privada, y se conecta hacia afuera. Nada que abrir en su firewall y ningún cambio que negociar antes de que el primer dispositivo sea alcanzable.
Una vez aprobado el acceso, el tráfico va directamente del dispositivo de la persona a ese conector. HBX no está en la ruta, y por eso HBX no puede leer lo que la atraviesa. Esa es la forma de la solución, no una promesa sobre nuestra conducta.
Solo saliente
El conector se registra solo y mantiene la conversación desde adentro. Esto no abre nada nuevo hacia afuera.
Una revocación con asa
Cada conexión se puede detener por separado, así que detener una detiene una. El resto del parque sigue funcionando mientras usted averigua qué pasó.
Tráiganos el túnel que menos le gusta.
Media hora, un servidor de VPN, un conjunto de perfiles que nadie quiere tocar. Le mostraremos cómo se ve realmente reemplazarlo, y dónde encaja y dónde no.
Las personas reciben una consola → HBX Human Access. Los agentes reciben su propio acceso temporal → HBX Agent Access.