Αποφάσισα να ξεκινήσω μια σειρά άρθρων γύρω από το Microsoft Global Secure Access, γιατί κάθε φορά που το παρουσιάζω σε πελάτες ή σε συναδέλφους, καταλαβαίνω ότι το πρόβλημα δεν είναι ποτέ το «πώς το ρυθμίζω». Το πρόβλημα είναι ότι κανείς δεν έχει σταθεί αρκετά ώρα στο «τι ακριβώς είναι αυτό, και γιατί υπάρχει». Οπότε πριν ανοίξουμε το Entra admin center και αρχίσουμε να πατάμε toggles, θέλω να μείνω σε αυτό το πρώτο μέρος αποκλειστικά στη θεωρία και στη φιλοσοφία. Τα επόμενα τέσσερα μέρη θα μπουν βαθιά στο κάθε traffic profile ξεχωριστά, Microsoft, Internet, Private, και στο Conditional Access που τα ενώνει όλα μαζί, με screenshots και πρακτικά βήματα από το δικό μου tenant.
Το πρόβλημα που δεν λύνεται πια με ένα καλό firewall
Το έχω πει και σε προηγούμενα άρθρα μου, αλλά αξίζει να το ξαναπώ εδώ γιατί είναι η αφετηρία όλης της σειράς: για δεκαετίες, η δουλειά της ασφάλειας δικτύου ήταν σχετικά απλή στη σύλληψή της. Υπήρχε ένα κτίριο, μέσα στο κτίριο υπήρχαν servers, οι χρήστες κάθονταν σε γραφεία μέσα στο ίδιο κτίριο, και η δουλειά μας ήταν να χτίσουμε ένα γερό τείχος γύρω από αυτό το περιβάλλον. Ό,τι ήταν μέσα στο τείχος θεωρούνταν σχετικά έμπιστο, ό,τι ήταν έξω θεωρούνταν εχθρικό.
Αυτό το μοντέλο έχει καταρρεύσει, όχι γιατί κάποιος το αποφάσισε, αλλά γιατί η δουλειά μετακόμισε. Τα δεδομένα και οι εφαρμογές είναι πλέον στο cloud, και οι άνθρωποι που τα χρησιμοποιούν δεν κάθονται πια μέσα σε ένα κτίριο που ελέγχουμε. Δουλεύουν από το σπίτι, από ξενοδοχεία, από αεροδρόμια. Το «τείχος» δεν έχει καν νόημα πια, γιατί δεν υπάρχει ένα σαφές «μέσα» και «έξω» να το ορίσει.
Αυτή ακριβώς η μετατόπιση είναι που γέννησε μια νέα κατηγορία λύσεων ασφάλειας, που ονομάζεται Security Service Edge, SSE. Δεν είναι όρος που εφηύρε η Microsoft, είναι όρος που εισήγαγε η Gartner το 2021, ως περιγραφή μιας κατηγορίας cloud-based υπηρεσιών ασφάλειας που προστατεύουν την πρόσβαση σε internet, SaaS εφαρμογές και ιδιωτικές εφαρμογές, ανεξάρτητα από το πού βρίσκεται φυσικά ο χρήστης. Το σημαντικό εδώ είναι η λέξη identity-aware: η προστασία δεν βασίζεται πια στο «από ποιο δίκτυο συνδέθηκες», βασίζεται στο «ποιος είσαι, σε ποια συσκευή, με τι κατάσταση κινδύνου».
Global Secure Access: η ομπρέλα, όχι το προϊόν
Ένα σημείο που μπερδεύει πολύ κόσμο, και το μπέρδεψα κι εγώ τις πρώτες φορές που το είδα, είναι ότι το Global Secure Access δεν είναι από μόνο του ένα προϊόν. Είναι ο ενοποιητικός όρος που χρησιμοποιεί η Microsoft για να περιγράψει δύο ξεχωριστά αλλά στενά συνδεδεμένα κομμάτια:
- Microsoft Entra Internet Access, που προστατεύει την πρόσβαση σε Microsoft 365, σε SaaS εφαρμογές και γενικότερα στο δημόσιο internet
- Microsoft Entra Private Access, που αντικαθιστά το κλασικό VPN για πρόσβαση σε εσωτερικές, on-premises εφαρμογές
Και τα δύο αυτά κομμάτια ζουν μέσα στο ίδιο, ενοποιημένο σημείο διαχείρισης στο Microsoft Entra admin center, το οποίο ονομάζεται Global Secure Access. Δεν είναι δύο ξεχωριστά portals που πρέπει να μαθαίνεις παράλληλα, είναι ένα σημείο, με κοινή λογική traffic forwarding profiles, κοινή ενσωμάτωση με Conditional Access, κοινά logs.
📷 Εικόνα 1: Global Secure Access → Connect → Traffic forwarding. Το Microsoft traffic profile, το Private access profile και το Internet access profile ρυθμίζονται μέσα από την ίδια, ενιαία οθόνη, όχι σε ξεχωριστά, ασύνδετα portals.
Η λογική πίσω από αυτή την επιλογή αρχιτεκτονικής δεν είναι τυχαία. Η Microsoft δεν έχτισε ένα καινούργιο, παράλληλο σύστημα ταυτότητας για να υποστηρίξει το SSE. Το έχτισε πάνω στο ίδιο το Entra ID που ήδη χρησιμοποιούμε για sign-in, MFA και Conditional Access. Αυτό σημαίνει ότι, αν έχεις ήδη επενδύσει χρόνο στο να χτίσεις σωστές πολιτικές Conditional Access, δεν ξεκινάς από το μηδέν. Το δίκτυο γίνεται απλώς μια ακόμα διάσταση μέσα στο ίδιο μοντέλο απόφασης που ήδη χρησιμοποιείς.
Τα τρία θεμέλια: least privilege, verify explicitly, assume breach
Η Microsoft περιγράφει το Global Secure Access ως χτισμένο πάνω στις βασικές αρχές του Zero Trust: least privilege (πρόσβαση μόνο σε ό,τι πραγματικά χρειάζεται ο χρήστης, όχι σε ολόκληρο το δίκτυο), verify explicitly (κάθε αίτημα επαληθεύεται με βάση όλα τα διαθέσιμα signals, ταυτότητα, συσκευή, τοποθεσία, κίνδυνο, όχι απλώς επειδή προήλθε από «μέσα» στο δίκτυο), και assume breach (σχεδιάζεις σαν να έχει ήδη γίνει παραβίαση κάπου, περιορίζοντας τη δυνατότητα πλευρικής κίνησης).
Αυτές δεν είναι απλώς μάρκετινγκ φράσεις, μεταφράζονται σε συγκεκριμένη αρχιτεκτονική απόφαση: αντί να δίνεις σε έναν χρήστη πρόσβαση σε ολόκληρο το εταιρικό δίκτυο επειδή συνδέθηκε μέσω VPN (κλασικό μοντέλο, «trust the network»), του δίνεις πρόσβαση σε συγκεκριμένους πόρους, με βάση τη σημερινή του ταυτότητα και κατάσταση, όχι με βάση το από πού συνδέθηκε.
Πώς διαφέρει από ένα κλασικό VPN, σε επίπεδο αρχιτεκτονικής
Η πιο συχνή ερώτηση που παίρνω όταν παρουσιάζω αυτό το θέμα είναι «καλά, δεν είναι απλώς ένα ακόμα VPN;». Σε επίπεδο εμπειρίας χρήστη, η ομοιότητα είναι πραγματική, υπάρχει ένα client, υπάρχει μια σύνδεση, η κίνηση περνάει μέσα από ένα tunnel. Αλλά η θεμελιώδης διαφορά είναι πού γίνεται η απόφαση ελέγχου πρόσβασης.
Ένα κλασικό VPN λειτουργεί σε επίπεδο δικτύου: μόλις συνδεθείς, αποκτάς μια IP διεύθυνση μέσα στο εταιρικό δίκτυο, και από εκεί και πέρα η πρόσβαση καθορίζεται από κανόνες δικτύου, firewall rules, subnets, routing. Το Global Secure Access λειτουργεί σε επίπεδο ταυτότητας: η κίνηση δρομολογείται μέσα από το ιδιόκτητο δίκτυο κορμού της Microsoft, που καλύπτει πάνω από 140 περιοχές και πάνω από 190 σημεία network edge, αλλά η απόφαση για το ποιος έχει πρόσβαση σε τι δεν είναι στατική. Επαναξιολογείται συνεχώς, με βάση signals που ήδη γνωρίζει το Entra ID.
Αυτό έχει μια πρακτική συνέπεια που θα δούμε αναλυτικά στα επόμενα μέρη: το ίδιο σύστημα που αποφασίζει αν θα ζητήσει MFA από έναν χρήστη μπορεί τώρα να αποφασίσει και αν θα του επιτρέψει πρόσβαση στο internet μέσω αυτού του δικτύου, με βάση την ίδια πολιτική Conditional Access.
SSE δεν είναι SASE, και η διαφορά έχει σημασία
Ένα σημείο που αξίζει μια σύντομη διευκρίνιση, γιατί οι δύο όροι συγχέονται συχνά: το SSE είναι υποσύνολο μιας ευρύτερης κατηγορίας που λέγεται SASE, Secure Access Service Edge. Το SASE περιλαμβάνει, πέρα από τις λειτουργίες ασφάλειας του SSE, και δικτυακές λειτουργίες σε επίπεδο υποδομής, όπως SD-WAN, για τη διασύνδεση ολόκληρων γραφείων ή καταστημάτων, όχι μόνο μεμονωμένων συσκευών χρηστών. Το Global Secure Access, όπως το περιγράφει η ίδια η Microsoft, είναι το SSE κομμάτι αυτής της ευρύτερης εικόνας, με έμφαση στη σύνδεση χρηστών και συσκευών, όχι σε ολόκληρες τοποθεσίες. Αν στο μέλλον δεις τη Microsoft να μιλάει και για SASE-level δυνατότητες, θα είναι σε αυτό το ευρύτερο πλαίσιο, όχι στο σημερινό αντικείμενο της σειράς μας.
Γιατί με ενδιαφέρει αυτό ως CISO, πριν καν δω ένα demo
Πριν προχωρήσω στα επόμενα μέρη με configuration και screenshots, θέλω να σταθώ σε κάτι που συχνά χάνεται όταν μιλάμε μόνο για τεχνικά χαρακτηριστικά: το γιατί αυτό το θέμα αξίζει τη θέση του σε ένα πρόγραμμα GRC.
Τεκμηρίωση τεχνικών μέτρων δικτύου για NIS2. Το NIS2 απαιτεί από τους οργανισμούς εντός πεδίου εφαρμογής να έχουν τεχνικά και οργανωτικά μέτρα για την ασφάλεια δικτύων και συστημάτων πληροφοριών, συμπεριλαμβανομένου του ελέγχου πρόσβασης. Ένα SSE μοντέλο, όπου η πρόσβαση σε πόρους καθορίζεται δυναμικά με βάση ταυτότητα και όχι στατικά με βάση φυσική τοποθεσία δικτύου, είναι ακριβώς το είδος αρχιτεκτονικής που μπορείς να παρουσιάσεις ως τεκμηριωμένο μέτρο, με σαφή αιτιολόγηση γιατί επιλέχθηκε.
Ενιαίο μοντέλο απόφασης, λιγότερη πολυπλοκότητα προς έλεγχο. Ένα από τα μεγαλύτερα προβλήματα σε κάθε audit δεν είναι η απουσία ελέγχων, είναι το ότι οι έλεγχοι ζουν σε διαφορετικά, ασύνδετα συστήματα, ένα σύστημα για ταυτότητα, ένα άλλο για δίκτυο, ένα τρίτο για συσκευές. Το ότι το Global Secure Access ζει μέσα στο ίδιο Entra ID με το Conditional Access σημαίνει ότι, από σκοπιά τεκμηρίωσης, έχεις έναν λιγότερο ασύνδετο κρίκο στην αλυσίδα ελέγχων σου, κάτι που τα ISO 27001 controls γύρω από network security management εκτιμούν ιδιαίτερα, γιατί μειώνει την πιθανότητα ασυνεπειών ανάμεσα σε συστήματα.
Ένα risk που ήδη υπάρχει, ανεξάρτητα αν έχεις λύση γι’ αυτό. Το ίδιο το γεγονός ότι το παλιό perimeter δεν υπάρχει πια είναι ένα risk που πρέπει να είναι καταγεγραμμένο στο risk register σου, ανεξάρτητα από το αν αποφασίσεις τελικά να χρησιμοποιήσεις Global Secure Access, κάποια εναλλακτική λύση SSE, ή να συνεχίσεις με το υπάρχον VPN σου. Αυτή η σειρά άρθρων δεν είναι μια σύσταση «κάνε αυτό», είναι μια ανάλυση του «να τι υπάρχει σήμερα, να πώς δουλεύει, αποφάσισε εσύ αν σε καλύπτει».
Τι θα δούμε στα επόμενα μέρη
Σε αυτό το σημείο έχουμε το θεωρητικό υπόβαθρο που χρειαζόμαστε. Στα επόμενα τέσσερα μέρη θα μπούμε στην πράξη, ένα traffic forwarding profile τη φορά, και μετά στο Conditional Access που τα δένει όλα μαζί:
- Μέρος 2: το Microsoft traffic profile, το προεπιλεγμένο profile που καλύπτει Exchange Online, SharePoint Online, Teams και τις υπόλοιπες υπηρεσίες Microsoft 365
- Μέρος 3: το Internet access profile, που καλύπτει τη γενική πρόσβαση στο δημόσιο internet και σε SaaS εφαρμογές, μαζί με web content filtering και security profiles
- Μέρος 4: το Private access profile, που αντικαθιστά το κλασικό VPN για πρόσβαση σε εσωτερικές εφαρμογές, μέσω Quick Access και private network connectors
- Μέρος 5: το Conditional Access σε βάθος, με συγκεκριμένα παραδείγματα πολιτικών πάνω στο Internet access profile, block χωρίς client, απαίτηση compliant device, και web content filtering μέσω security profile
Κάθε μέρος θα έχει τα δικά του screenshots από το δικό μου tenant, τα δικά του πρακτικά βήματα, και τη δική του ενότητα NIS2/ISO 27001. Αν τρέχεις ήδη κάποιο κομμάτι του Global Secure Access στον οργανισμό σου, ή σκέφτεσαι να ξεκινήσεις, χαίρομαι πάντα να το συζητήσουμε στα σχόλια ή στο LinkedIn.
