Zero Trust, который можно потрогать
Кто запрашивает доступ? К какому сервису? Можно ли выполнить это действие сейчас? Макет показывает, как контекст превращается в решение о доступе и как проверки безопасности сопровождают путь от кода до работающего сервиса.
Здания, механизмы и трубы — физические метафоры архитектуры. Изображение показывает цифровую визуализацию; цвет реальной сборки зависит от покраски. QR-коды рядом с зонами открывают соответствующие разделы этого путеводителя.
Карта зон макета
Выберите зону на схеме или в списке. На схеме показан вид сверху: конвейер находится у дальнего края, субъекты — слева, сервисы и данные — справа.
Начните с субъекта
Найдите человека или агента слева и проследите его путь к конкретному сервису.
Посмотрите в центр
Контекст и правила определяют, что разрешить. Телеметрия помогает пересматривать решение.
Изучите конвейер
Вдоль дальнего края показаны проверки, которые сопровождают создание и работу сервисов.
Конвейер проверок 02Субъекты 03Доступ 04Контекст 05Decision Fabric 06LBaaS 07Сервисы и приложения 08UEBA 09Hound 10Данные: DB и DLH
- 01Security EngineeringПроверки от разработки до работающего сервиса
- 02СубъектыЛюди, сервисы и AI-агенты
- 03Personal Network AccessT-Connect и удалённый рабочий стол
- 04Контекст субъектаУчётная запись, устройство, сессия и права
- 05Decision FabricОценка правил и текущего риска
- 06LBaaSУправляемый вход к сервисам
- 07Сервисы и приложенияWeb, API, аналитика и машинное обучение
- 08UEBAАнализ поведения и обратная связь
- 09HoundИсследование и классификация данных
- 10Данные: DB и DLHБазы данных и аналитическое хранилище
Один цвет объединяет зоны одной функциональной группы. Доступ, контекст и UEBA выделены вместе; данные и Hound образуют другую общую группу. Зоны 09 и 10 описаны вместе в разделе «Данные и Hound». Карта показывает расположение групп; точные места установки деталей приведены в инструкции сборки (PDF).
Две фабрики — два вопроса
Одна фабрика оценивает конкретное действие. Другая проверяет объекты инфраструктуры на всём жизненном цикле. Вместе они связывают управление доступом и состояние самой среды.
Можно ли выполнить это действие сейчас?
Сопоставляет учётную запись, устройство, сессию, права и запрошенные данные с правилами доступа. Выдаёт разрешение, ограничения или отказ.
Можно ли допустить объект и оставить его в работе?
Проверяет код, зависимости, образы и конфигурации. Контролирует работающие системы, а при несоответствии требованиям запускает исправление, изоляцию или замену.
Как проходит запрос доступа
Субъект запрашивает конкретное действие в сервисе. Decision Fabric оценивает запрос, а точки применения политики обеспечивают разрешение или блокировку маршрута.
Это логическая схема. Контекст поступает в механизм решений по отдельным связям; он не является промежуточной остановкой запроса. Трафик проходит через точки контроля доступа, которые применяют решение.
Широкий доступ к сети не даёт права на данные
В показанном пользовательском сценарии к базам данных обращаются сервисы. Для административного доступа потребовались бы отдельные права и контролируемый маршрут. Категории данных — например, персональные или конфиденциальные — участвуют в правилах доступа.
Кто запрашивает доступ
Субъектом может быть человек, сервис или AI-агент. У каждого есть собственная цифровая идентичность — identity — и набор разрешённых действий. На макете показаны пять примеров субъектов.
Рабочие задачи
Доступ зависит от прав сотрудника, способа входа, состояния рабочего устройства и текущей сессии.
Ограниченный круг действий
Статус подрядчика может участвовать в политике. Например, разрешить работу с проектом и запретить выгрузку персональных данных.
Повышенные полномочия
Для привилегированных действий задаются отдельные требования к подтверждению личности, устройству и сессии.
Сервис как субъект
Один сервис вызывает другой от собственного имени. Принимающая сторона проверяет его идентичность и право на конкретную операцию.
Автоматические действия
Правила учитывают, от чьего имени действует агент, какими инструментами пользуется и к каким сервисам и данным допущен.
Люди и роботы
Рабочие места и миниатюрные фигуры представляют субъектов. Роботы помогают выделить автоматизированные роли.
Персональный маршрут к сервису
Personal Network Access связывает субъекта с разрешённым ресурсом. В этой модели слой представлен T-Connect и Desktop as a Service — удалённым рабочим столом. Решение о правах принимает Decision Fabric.
Доступ к сегменту сети
Если подключение открывает множество ресурсов, объём достижимого зависит от дополнительных правил внутри сети. Сам факт подключения ничего не говорит о праве на конкретное действие.
Доступ к выбранному сервису
Маршрут открывается в пределах решения политики. Субъект получает нужный сервис, а права на операции и данные проверяются отдельно.
Контекст: кто, откуда и в какой сессии
Три профиля оцениваются отдельно. Подтверждённая учётная запись не гарантирует исправность устройства, а исправное устройство не исключает компрометацию сессии. На площадке контекста эти оценки показаны отдельными механизмами.
Учётная запись
Как подтверждена личность, насколько надёжен способ входа и есть ли признаки компрометации. FIDO2 помогает защитить вход от фишинга учётных данных.
Устройство
Известно ли устройство, соответствует ли требованиям и работают ли средства защиты. Учитываются аппаратная идентичность TPM и сигналы Diameter Agent.
Текущая сессия
Время, окружение, характер операций и изменения поведения. Даже после успешного входа риск может измениться.
Что разрешено этому субъекту
Учитываются роль, организация, статус подрядчика, принадлежность ресурса и другие свойства. Правила по атрибутам — ABAC — входят в общую логику управления доступом.
Какой сервис и какие данные нужны
Решение учитывает конкретную операцию, категорию данных и риск сервиса. Просмотр профиля и массовая выгрузка требуют разных полномочий.
Decision Fabric: разрешить, ограничить или отказать
Центральный механизм объединяет правила доступа, полномочия и текущий риск. В модели сюда входят IAM/IDM, условный доступ и оценка контекста. Результат применяется в точках контроля доступа к ресурсам.
Что учитывается
- Идентичность субъекта и способ её подтверждения
- Состояние устройства и текущей сессии
- Права, роли и атрибуты
- Запрошенный сервис и конкретная операция
- Категория данных, риск данных и сервиса
- Сигналы поведения от UEBA
Детальность решения: субъект → сервис → операция → категория данных.
Возможные результаты в модели
Наблюдение может сопровождать другие результаты. Дополнительное подтверждение само по себе ещё не означает разрешение.
Один сервис — разные решения
Пример политики: сотруднику доступен рабочий отчёт; подрядчику запрещена выгрузка персональных данных; при изменении риска требуется новое подтверждение.
Право на операцию есть, устройство соответствует требованиям, риск сессии допустим.
ALLOW · разрешитьСервис доступен, но запрошенная категория данных запрещена правилами для подрядчика.
DENY · отказатьПоявился сигнал необычного поведения. Политика требует дополнительного подтверждения.
STEP-UP · подтвердитьLBaaS: вход к выбранному сервису
LBaaS — балансировка нагрузки как сервис. На макете ворота обозначают управляемый вход перед приложениями: разрешённый запрос направляется к нужному сервису.
Проверку и применение прав обеспечивают точки контроля политики. Сам по себе балансировщик не заменяет авторизацию.
Сервисы и разрешённые связи
Четыре модуля представляют приложения с разными задачами. Трубы между ними показывают явные связи: разрешение на доступ к одному сервису не открывает все остальные.
Веб-приложение
Пользовательский интерфейс и операции, доступные конкретному субъекту.
Программные вызовы
Доступ к отдельным операциям с проверкой вызывающего субъекта.
Аналитика
Работа с DB2 и Lakehouse в пределах разрешённых данных.
Машинное обучение
Вычислительные задачи с собственной идентичностью и правами.
Реестр сервисов
Описывает владельца, назначение, зависимости, среду и идентичность сервиса. Эти сведения помогают оценить запрос и состояние инфраструктуры.
Реестр операций
Описывает точки обращения к сервису: например, /profile/read и /admin. Для каждой операции задаются права и доступные данные.
Микросегментация
Ограничивает межсервисные маршруты. HBF — межсетевой экран на узле; eBPF может использоваться для наблюдения и применения сетевых правил.
Разрешённый маршрут и право на вызов проверяются отдельно
Принимающий сервис проверяет идентичность вызывающей стороны и её полномочия. Достижимость по сети сама по себе не даёт права выполнить операцию.
Данные и Hound: знать, что защищаем
DB обозначает базу данных, DLH — аналитическое хранилище Lakehouse. Правила учитывают содержимое хранилищ: где находятся данные, к какой категории относятся и какой сервис с ними работает.
Операционная база
Первый цилиндр представляет данные для повседневных операций приложений.
База для аналитики
Второй цилиндр связан с аналитическим сервисом и его правами на данные.
Lakehouse
Три яруса модулей изображают комплекс аналитического хранения и обработки данных.
Исследование и классификация
В этой архитектуре Hound исследует базы и Lakehouse, классифицирует содержимое и обновляет сведения о данных. Результат поступает в механизм решений как контекст данных.
Персональные, конфиденциальные, ограниченные
ПДн, Confidential и Restricted — примеры категорий, которые участвуют в политике. Цветные вставки служат их метафорой. Категория и оценка риска данных — разные входы решения.
UEBA: поведение меняет оценку риска
UEBA — аналитика поведения пользователей и других субъектов. Аналитический механизм собирает события со всей среды, выявляет отклонения и передаёт сигналы в оценку риска. Политики определяют, как на них реагировать.
Какие события собирает
- Входы и действия учётных записей
- Состояние устройств и сессий
- Вызовы сервисов и сетевые события
- Обращения к данным
- Результаты решений о доступе
Какие оценки обновляет
- Риск учётной записи
- Риск устройства
- Риск сессии
- Риск сервиса и данных
Сигналы возвращаются в контекст и Decision Fabric.
Пример аномалии
Пользователь обычно читает несколько отчётов, а теперь массово выгружает данные. UEBA может выделить отклонение, после чего политика ограничит выгрузку или потребует подтверждение.
Security Engineering: проверки на всём пути
Конвейер показывает, как требования безопасности сопровождают разработку, сборку, развёртывание и работу сервиса. Проверочные ворота — gates — обозначают условия перехода к следующему этапу.
Инструменты этой архитектуры
Spirit и Diameter представлены как часть системы проверок жизненного цикла и текущего состояния среды. Diameter Agent также участвует в оценке устройства.
Актуальная картина инфраструктуры
Реестры описывают существующие объекты. Сканеры дополняют их данными об уязвимостях, настройках и состоянии работающих систем.
Несоответствие требованиям запускает исправление
До развёртывания проверка может остановить выпуск. Для уже работающего объекта выбирают исправление, изоляцию или замену с учётом риска. Контейнер отбраковки на макете объединяет эти сценарии в одну метафору.
Примеры причин
- Секреты в исходном коде
- Уязвимые зависимости или образы
- Недопустимые настройки
- Компоненты без поддержки
- Объекты, не прошедшие правила допуска
Legacy: управляемый план замены
Для устаревших систем определяют риски, ограничивают связи и планируют миграцию. Пока замена не завершена, компенсирующие меры снижают риск. Завершение миграции позволяет вывести старый компонент из эксплуатации.
Меньше возможностей для атаки
Модель показывает, как сократить доступную поверхность атаки, ограничить последствия компрометации и замечать изменения риска. Эффект зависит от правил, полноты внедрения и качества текущих данных.
Атаки на парольный вход
Вход без пароля по FIDO2 защищает от фишинга учётных данных. Полный отказ от паролей исключает их подбор и повторное использование для этого входа; восстановление доступа тоже должно быть защищено.
Широкая сетевая доступность
Персональный маршрут уменьшает число ресурсов, к которым может обратиться субъект. Доступ к операциям проверяется на стороне сервиса.
Распространение внутри среды
Ограниченные межсервисные связи сдерживают дальнейшее продвижение атакующего после компрометации одного узла.
Избыточные полномочия
Правила связывают субъекта, действие и данные. Можно разрешить чтение отчёта, сохранив запрет на выгрузку персональных данных.
Неизвестные чувствительные данные
Исследование и классификация помогают обнаруживать содержимое хранилищ и учитывать его в правилах доступа.
Злоупотребление разрешённым доступом
Поведенческие сигналы помогают заметить аномалию у легитимного субъекта и пересмотреть разрешение.
Уязвимое и устаревшее ПО
Проверки до выпуска уменьшают вероятность допуска известных проблем, а контроль работающей среды помогает выявлять новые несоответствия и запускать исправление.
Принципы управления доступом: NIST SP 800-207. Защита входа по FIDO: FIDO Alliance. Decision Fabric, Hound, Spirit и Diameter здесь описывают конкретную архитектуру макета.
Как собран макет
Шесть платформ 300 × 300 мм образуют основание 900 × 600 мм. Модули устанавливаются на штифты. Макет напечатан из белого PLA на Creality K2 Plus; цветовое оформление добавляется вручную.
6 платформ
Дальний ряд A1–A2–A3, ближний B1–B2–B3. Панели соединяются штифтами диаметром 4,4 мм.
44 модуля
Корпуса, арки, стойки и ярусы Lakehouse. Штифты задают положение; окончательная фиксация зависит от сборки.
18 детализированных элементов
Фигуры людей и агентов, интерьер, механизмы оценки риска, Hound, UEBA и центр принятия решений.
Около 8 суток печати
Оценка слайсера: 187 ч печати, около 7 ч на смену заданий, 3,91 кг PLA. Основной комплект — 15 заданий. Фактическое время может отличаться.
Термины без лишнего жаргона
Названия на табличках сохранены, чтобы их было легко сопоставить с макетом. Здесь — смысл основных сокращений.
- Identity · идентичность
- Сведения о том, какой человек, сервис или агент обращается к системе, и способы подтверждения этого.
- IAM / IDM
- Управление цифровыми идентичностями, учётными записями и правами доступа.
- Conditional Access · условный доступ
- Проверка условий допуска: например, состояния устройства, способа входа и риска сессии.
- Endpoint · точка обращения
- Конкретный адрес или операция сервиса. Чтение профиля и административное действие могут иметь разные права.
- FIDO2 / Passwordless
- FIDO2 позволяет подтверждать вход криптографическим ключом вместо пароля. Passwordless означает вход без пароля.
- TPM
- Аппаратный модуль, который помогает защищать ключи и подтверждать идентичность устройства.
- UEBA
- User and Entity Behavior Analytics — анализ поведения пользователей и других субъектов для выявления отклонений.
- LBaaS
- Load Balancer as a Service — балансировка нагрузки и направление запросов к сервисам.
- DB / DLH / ПДн
- База данных / Data Lakehouse, аналитическое хранилище / персональные данные.
Посмотреть логическую схему макета
Компоновочный эскиз показывает принципы и связи. Для установки напечатанных деталей используйте координаты из инструкции сборки.
