Soluções · Substituição de VPN
A VPN entrega a rede. Eles só precisavam de uma máquina.
As VPNs de acesso remoto foram feitas para unir duas redes e não conseguem fazer menos que isso. O HBX coloca uma pessoa identificada em um dispositivo, por uma janela de tempo, e não deixa nenhuma rota permanente para trás.
O que você opera hoje
Uma VPN não concede acesso a um sistema. Concede participação em uma rede.
Você emite um perfil para que um engenheiro alcance um controlador em uma unidade. O que o perfil faz de fato é colocar o notebook dele no mesmo trecho da rede onde esse controlador vive, com um endereço dentro do seu perímetro. A partir dali, tudo o que esse trecho da rede alcança fica a um scan de distância, e a rede não se importa com qual dessas coisas era o assunto do ticket.
A unidade de acesso é a sub-rede
Não há como escrever “esta pessoa, este dispositivo” em um túnel. Aproxima-se com rotas, regras de firewall e um grupo no diretório, e a aproximação se desajusta na primeira vez que alguém muda o endereçamento de uma planta.
O movimento lateral é a rede funcionando corretamente
Quando um notebook está nessa rede, mover-se para os lados não é um ataque. Cada vizinho do equipamento que você pretendia expor é alcançável por quem tiver aquele perfil, ou por quem acabar com aquele notebook.
Outra pessoa está no caminho
O acesso remoto entregue pela nuvem faz o seu tráfego passar pelos servidores de um fornecedor, porque é ali que a política é aplicada. O seu provedor fica no meio de uma conexão entre duas máquinas que são ambas suas.
E quando algo parece errado às 3 da manhã, o único controle que você tem é uma chave com duas posições.
Derrubar o túnel e você corta cada pessoa e cada integração que passa por aquela VPN, inclusive as que fazem trabalho legítimo no meio de uma janela de manutenção.
Deixá-lo de pé e a conexão de que você desconfia continua, porque não há como cortar uma única conexão.
O que a substitui
Uma pessoa, um dispositivo, uma janela, e nada de pé depois.
Não há perfil para provisionar nem rota para adicionar. A decisão é tomada por solicitação, para um destino e uma janela.
Como o HBX Access decideUm nome, não um endereço
Cada acesso parte de uma identidade que o seu diretório já respalda. O registro nomeia a pessoa responsável e o destino, não um endereço de rede e uma duração, e por isso se lê como evidência que um auditor consegue usar.
Alcançar uma coisa é alcançar uma coisa
A aprovação vale para o dispositivo em si, não para o trecho da rede em que ele por acaso está. O vizinho dele não fica incluído, e mudar os endereços de uma unidade não amplia nada em silêncio.
Termina sem que ninguém decida
O acesso expira porque foi assim que foi autorizado. O conector remove o acesso temporário quando a janela termina, então ninguém precisa se lembrar do prestador de março.
Por onde vai o tráfego
Elimine o túnel que abrange toda a rede. Não publique nada na internet.
Um conector roda ao lado do sistema, dentro da sua rede privada, e se conecta para fora. Nada para abrir no seu firewall e nenhuma mudança a negociar antes que o primeiro dispositivo seja alcançável.
Depois que o acesso é aprovado, o tráfego vai diretamente do dispositivo da pessoa para esse conector. O HBX não está na rota, e é por isso que o HBX não consegue ler o que passa por ela. Essa é a forma da solução, não uma promessa sobre a nossa conduta.
Somente saída
O conector se registra sozinho e mantém a conversa a partir de dentro. Isso não abre nada novo para o lado de fora.
Uma revogação com alça
Cada conexão pode ser parada separadamente, então parar uma para uma. O resto do parque continua funcionando enquanto você descobre o que aconteceu.
Traga o túnel de que você menos gosta.
Meia hora, um servidor de VPN, um conjunto de perfis que ninguém quer mexer. Vamos mostrar como é de fato substituí-lo, e onde se encaixa e onde não.
As pessoas recebem um console → HBX Human Access. Os agentes recebem o seu próprio acesso temporário → HBX Agent Access.