Zero-Trust-Access-Gateway-Architektur

Remote-Anwendungszugriff

• iDP-Integration
  Integration mit Cloud-Identitätsanbietern zur Validierung der Client-Identität und der Anmeldedaten, bevor der Zugriff auf geschützte Anwendungen und Dienste gewährt wird.

• Standortbasierte Richtlinienlogik
  Nutzung des Standorts von Kundenanfragen in Kombination mit anderen Kommunikationsmerkmalen, um Entscheidungen über den Dienstzugang und die Weiterleitung von Anfragen zu treffen.

• Selektive Authentifizierung
  Steuern Sie die Authentifizierungsanforderungen für Clientsitzungen basierend auf ihren vordefinierten Sicherheitszonen.

Zugriffssegmentierung

• Veröffentlichungen von Diensten für mehrere Netzsegmente
  Veröffentlichen Sie gemeinsam genutzte Ressourcen und Dienste über mehrere Zugriffszonen oder VLANs mit dedizierten Regeln und Logik basierend auf der Vertrauensebene. Logische Isolierung einzelner Anwendungsdienste bedeutet, dass auch Bereitstellungen auf Basis von Microservices-Architekturen unterstützt werden können.

• PCI DSS-Konformität
  Der Datenverkehr für den Zugriff auf vertrauliche Informationen kann auf isolierte Clientquellzonen mit erzwungener Verschlüsselung und zusätzlichen Anforderungen für die mehrstufige Authentifizierung beschränkt werden. Diese Fähigkeiten kombiniert mit Web Application Firewall Services und Verschlüsselung von Daten während der Übertragung tragen zur PCI DSS-Zufriedenheit bei.

Kosten konsolidieren und senken

• Lösungen Konsolidierung
  Erhöhte Remote-Arbeitsumgebungen können die Kosten für sichere Anwendungsveröffentlichungs- und Zugriffslösungen verdoppeln – die Konsolidierung von Services in einer einheitlichen Lösung vereinfacht das Management und reduziert Betriebskosten.

• Maximierung des Return on Investment
  Wenn Kemp Load Balancer als Zero Trust Access Gateways (ZTAG) genutzt werden, wird der Return on Investment für die vorhandene Infrastruktur maximiert.

Begrenzen Sie seitliche Bewegungen, um interne Bedrohungen abzuschwächen

• Überprüfung des Zugriffs auf Sicherheitsgruppen
  Nutzen Sie die Integration mit gängigen Verzeichnisdiensten und Identitätsanbietern, um die Sicherheitsgruppenmitgliedschaft als logische Eingabe zum Bestimmen der erforderlichen Anwendungszugriffsberechtigung einzuschließen.

• Aktive Steuerung des Datenverkehrs
  Nutzen Sie die Zuordnung eines Benutzers zu einer Sicherheitsgruppe, um die Dienste innerhalb einer Anwendung zu bestimmen, zu denen er Zugang haben soll, sowie die Kommunikationsarten, die er ausführen darf. Leiten Sie nicht verifizierte Verbindungen aktiv um und wenden Sie eine strengere Authentifizierung an, bevor sie vertrauenswürdige Dienste erreichen, um Brute-Force-Zugriffsversuche zu vereiteln.

Schutz von Microservices und Container-Anwendungen

• East-West-Datenverkehrsmanagement
  Anwendung eines Zero-Trust-Modells auf die Kommunikation innerhalb von Diensten, um von einem Defense-in-Depth-Modell für Microservices-Architekturen zu profitieren und das Schadenspotenzial im Falle einer Kompromittierung der Umgebung zu reduzieren.

• Zugriffskontrolle auf Serviceebene
  Implementieren Sie eine fein abgestufte Zugriffskontrolle für die einzelnen Dienste innerhalb einer Anwendung, im Gegensatz zu einem Alles-oder-Nichts-Modell, das herkömmliche Sicherheitszugriffsmodelle oft erfordern.

• Kubernetes-Integration
  Durch die Nutzung der Kubernetes-Endpoint-Publishing- und Ingress-Controller-Funktionen von Kemp können Zugriffsrichtlinien, die auf herkömmliche Workloads angewendet werden, auf containerisierte Workloads ausgeweitet werden.

Zugriffssteuerung für Objektspeicher

• Methodenbasierte Zugriffsrichtlinien
  Granulare Steuerung des Anwendungs- und Benutzerzugriffs auf S3-Buckets bis hin zu Speichervorgängen auf der Grundlage von Client-Sicherheitszone und Identität (z. B. können Clients in Sicherheitszone A nur Lesevorgänge ausführen, während Clients in Sicherheitszone B auch Schreibvorgänge, aber keine Löschvorgänge ausführen dürfen).

• Kontextuelles S3-Verkehrsflussbewusstsein
  Verwenden Sie Datenverkehrsheaderinformationen, die für S3-Datenverkehrsflüsse üblich sind, z. B. Authentifizierungsheader, um Entscheidungen über den Zugriff auf den Objektspeicher-Bucket und die Steuerung des Datenverkehrs zu treffen.