Программно-определяемый периметр

Идентичность и целостность устройства пользователя проверяются с помощью сервиса аттестации. Затем пользователь проходит аутентификацию через специальный шлюз аутентификации. После успешной аутентификации клиент получает токен (например, SAML-токен или JSON Web Token) от службы авторизации атрибутов. В токене определены ресурсы, к которым пользователь получает доступ.

Используя токен, клиент обращается к контроллеру SDP. Контроллер устанавливает соединения VPN с одним или несколькими шлюзами SDP. Каждый шлюз SDP дополнительно проверяет токен пользователя. Только после успешной верификации токена шлюзом пользователь получает доступ к защищённой группе безопасности.

До момента аутентификации и авторизации пользователя все IP-пакеты, которые не относятся к процессу аутентификации, отклоняются.

Автоматически определяемый периметр (англ. Automatically Defined Perimeter, ADP) представляет собой расширение концепции SDP. С помощью ADP подключения пользователя к защищённым сетевым ресурсам динамически устанавливаются и разрываются в зависимости от текущей необходимости. Таким образом, в каждый момент времени клиент имеет соединение только с теми ресурсами, которые ему актуально необходимы.

Поскольку сетевые ресурсы, защищённые с помощью SDP, не регистрируются в публичной системе доменных имён, а также любой неавторизованный доступ автоматически блокируется, потенциальная площадь атаки на сеть существенно сокращается. Сеть, построенная по принципу SDP, становится невидимой для внешних пользователей.

С помощью программно-определяемого периметра предотвращаются или значительно затрудняются следующие типы атак:

• DDoS-атаки
• Внедрение кода
• Эксплойты в приложениях и операционных системах
• Атаки типа «человек посередине»
• Межсайтовый скриптинг
• Межсайтовая подделка запроса
• Pass-the-Hash
• Эскалация привилегий злоумышленником — например, с локальной инфраструктуры в облако и обратно

Кроме того, использование SDP позволяет осуществлять аудит всех сетевых обращений, что полезно, например, для ИТ-экспертизы и расследования инцидентов.

В традиционных системах контроля сетевого доступа (Network Access Control, NAC) сеть сначала устанавливает соединение с ресурсом, после чего происходит аутентификация и авторизация пользователя. В модели SDP, напротив, сначала выполняется определение аутентификации и авторизации, а уже потом создаётся сетевое соединение в виде VPN.