OGOwnGate

· Команда OwnGate

Zero Trust на 100 сотрудников: как построить периметр без бюджета банка

Маркетологи внушили бизнесу, что архитектура нулевого доверия доступна только корпорациям с миллиардными бюджетами. Разбираем, как компании на 50–200 человек внедрить честный Zero Trust за выходные с помощью шлюза OwnGate.

Архитектура микропериметров Zero Trust для малого и среднего бизнеса

Попробуйте прийти на профильную конференцию по информационной безопасности и сказать: *«Мы хотим внедрить Zero Trust в компании на 80 человек»*.

Вас тут же окружат улыбчивые менеджеры по продажам в костюмах и наперебой начнут сыпать коммерческими предложениями:

  • «Вам нужен Cisco ISE за 50 000 долларов!»;
  • «Возьмите Zscaler с годовой подпиской на $120 000!»;
  • «Без нашего аппаратно-программного комплекса за 15 миллионов рублей Zero Trust не взлетит!».

После такого у любого технического директора среднего бизнеса опускаются руки: *«Понятно, Zero Trust — это элитная игрушка для Сбера, Газпрома и финтеха. А мы уж как-нибудь по старинке на OpenVPN посидим»*.

Это грандиозный обман вендоров.

Zero Trust — это не коробка с софтом за сто тысяч долларов. Это архитектурный принцип. И построить честный контур нулевого доверия для компании на 50–200 человек можно своими силами буквально за пару дней.

---

Почему старая модель «крепости и рва» убивает бизнес

Традиционная сетевая безопасность малого бизнеса устроена по принципу средневекового замка:

1. Вокруг замка вырыт глубокий ров (внешний фаервол);

2. На воротах стоит стражник (VPN-сервер);

3. Если путник пересёк ров и назвал стражнику пароль — он оказывается внутри замка.

А внутри замка доверие стопроцентное. Человек, подключившийся к офисному VPN или воткнувший кабель в патч-корд за столом, видит всю локальную подсеть: сервер баз данных, веб-интерфейсы принтеров, сетевые диски SMB, виртуальные машины гипервизора.

Что происходит при реальной атаке:

  • Бухгалтер или младший маркетолог случайно кликает по фишинговой ссылке в почте;
  • На его ноутбук садится троян или вредоносный скрипт;
  • Поскольку ноутбук уже подключен к «доверенной» сети компании, вредонос начинает свободное боковое перемещение (Lateral Movement): сканирует соседние порты, перехватывает NTLM-хэши через LLMNR и за три часа добирается до контроллера домена.

Вся безопасность «крепости» рухнула из-за одной опечатки в письме.

---

Три заповеди честного Zero Trust

Архитектура нулевого доверия выбрасывает идею «внутренней доверенной сети» на помойку и формулирует три простых правила:

1. Никому не доверяй, всегда проверяй (Never trust, always verify).

Каждый HTTP-запрос, каждое открытие страницы и каждая попытка подключиться к сервису проверяется заново. Не важно, сидит сотрудник за рабочим столом в офисе генерального директора или на общественном Wi-Fi в аэропорту. Внутренняя сеть считается враждебной по умолчанию.

2. Наименьшие привилегии (Least Privilege).

Сотруднику не нужна «вся сеть». Фронтендеру нужен только GitLab и тестовый стенд. Бухгалтеру — только 1С. Доступ выдаётся к конкретным приложениям (Application-Level Access), а не к сетевым подсетям (IP Routing).

3. Исходи из факта компрометации (Assume Breach).

Система проектируется так, что даже если один ноутбук или одна учётка полностью взломана, атакующий заперт в микро-периметре одного сервиса и не может дотянуться до соседних систем.

---

Как собрать Zero Trust на 100 человек через OwnGate

Вам не нужны тяжелые энтерпрайз-комбайны. С централизованным шлюзом доступа OwnGate переход на Zero Trust укладывается в 4 последовательных шага:


                  ┌──────────────────────────────────────────────┐

                  │                 [СОТРУДНИК]                  │

                  │   Ноутбук / Телефон / Домашний ПК            │

                  └──────────────────────┬───────────────────────┘

                                         │

                                  HTTPS (порт 443)

                                         ▼

                  ┌──────────────────────────────────────────────┐

                  │                [ШЛЮЗ OWNGATE]                │

                  │  1. Кто ты? (Active Directory)               │

                  │  2. Докажи! (Обязательный TOTP 2FA)          │

                  │  3. Что тебе положено? (Роли OIDC)           │

                  └──────┬───────────────┼───────────────┬───────┘

                         │               │               │

                  (Только авторизованные │ изолированные │ сессии)

                         ▼               ▼               ▼

                   ┌───────────┐   ┌───────────┐   ┌───────────┐

                   │  GitLab   │   │  База 1С  │   │  Grafana  │

                   └───────────┘   └───────────┘   └───────────┘

Шаг 1. Ликвидация «толстого» VPN

Вместо того чтобы выдавать сотрудникам доступ к сетевому уровню через OpenVPN, мы прячем внутренние веб-сервисы за шлюзом доступа (Identity-Aware Reverse Proxy).

Сотрудники открывают приложения через защищённые веб-адреса. Прямой маршрутизации в локальную подсеть больше нет. Боковое перемещение (Lateral Movement) для вируса становится физически невозможным.

Шаг 2. Единый второй фактор (2FA) для всего стека

Шлюз требует подтверждение по TOTP (Яндекс Ключ, Google Authenticator) при каждом входе в корпоративный контур. Даже скомпрометированный пароль ничего не даёт атакующему.

Шаг 3. Изоляция приложений по микропериметрам

Разработчики не видят 1С. Бухгалтерия не знает о существовании Grafana и Sentry. Права на доступ к сервисам раздаются динамически через доменные группы шлюза.

Шаг 4. Централизованный аудит сессий

Все входы, выходы и подозрительные попытки авторизации пишутся в единый нестираемый журнал аудита.

---

Результат

За одни выходные, без закупки специализированного «железа» и без раздувания бюджета, небольшая компания получает контур безопасности, соответствующий самым строгим международным стандартам.

Zero Trust — это не про деньги. Это про здравый смысл и правильный инструмент авторизации.

← Все статьи