Praca zdalna stała się w firmach normą, a razem z nią VPN. Księgowa łączy się z serwerem księgowym z domu, kierownik projektu z serwerem plików z biura klienta, dostawca z systemem magazynowym, żeby zaktualizować aplikację. Wszyscy przechodzą przez ten sam VPN, często z tym samym hasłem, które ktoś ustawił cztery lata temu.
Jednocześnie słychać, że VPN jest „przestarzały” i wszyscy przechodzą na Zero Trust. Rzeczywistość jest prostsza: VPN nadal jest dobrym rozwiązaniem dla wielu firm, jeśli jest dobrze skonfigurowany, ale ma ograniczenia, które warto znać, gdy firma rośnie.
W tym artykule wyjaśniamy, jak naprawdę działa firmowy VPN, dlaczego bez drugiego składnika uwierzytelniania jest groźniejszy niż jego brak, gdzie kończą się jego możliwości, co znaczy Zero Trust bez żargonu i jak zdecydować, który model pasuje do Ciebie teraz.
Jak działa firmowy VPN i co faktycznie robi
VPN (wirtualna sieć prywatna) tworzy szyfrowany tunel między komputerem pracownika a siecią firmową. Po połączeniu pracownik jest w praktyce tak, jakby siedział w biurze: widzi serwery, drukarki, foldery udostępnione i aplikacje wewnętrzne. To rozwiązuje dwa problemy. Po pierwsze, dane są po drodze szyfrowane, więc publiczne Wi-Fi w hotelu przestaje być zagrożeniem. Po drugie, systemów wewnętrznych nie trzeba wystawiać do internetu, bo są dostępne wyłącznie przez tunel.
Ważne jest jednak, żeby rozumieć, czego VPN nie robi. Sprawdza, kto się łączy, tylko w chwili logowania. Nie sprawdza, czy używany komputer jest bezpieczny. A połączony pracownik zwykle dostaje dostęp do całej sieci, a nie tylko do systemów, których potrzebuje. Księgowa, która potrzebuje serwera księgowego, widzi też serwer plików, system magazynowy i każdy inny komputer w biurze.
Dlaczego VPN bez 2FA to otwarte drzwi
To najczęstszy problem, jaki spotykamy, przejmując opiekę nad VPN. VPN jest chroniony wyłącznie nazwą użytkownika i hasłem. Hasło jest często takie samo jak hasło do poczty. Hasło do poczty wyciekło rok temu przez jakiś zewnętrzny portal, w którym pracownik zarejestrował się służbowym adresem.
Skutek: atakujący z wyciekniętym hasłem łączy się z VPN z dowolnego miejsca na świecie i trafia do Twojej sieci z takimi samymi uprawnieniami jak pracownik. Tak zaczyna się większość ataków ransomware: nie od wyrafinowanego włamania, ale od VPN ze znanym hasłem.
Drugi składnik uwierzytelniania (2FA) usuwa ten warunek: bez potwierdzenia w telefonie lub kluczem sprzętowym hasło jest bezwartościowe. To nie dodatkowe zalecenie, lecz minimalny wymóg, bez którego VPN nie powinien być włączony. W rozwiązaniach VPN, którymi opiekujemy się, 2FA jest obowiązkowe od pierwszego dnia, a dla klientów hostingu ERP VPN z 2FA jest wliczony w usługę.
Z 2FA muszą iść w parze jeszcze dwie rzeczy: osobne konta dla każdej osoby (nie „wspólne konto VPN księgowości”) oraz odebranie dostępu w tym samym dniu, w którym pracownik lub dostawca odchodzi.
Gdzie są granice VPN
Nawet poprawnie skonfigurowany VPN ma ograniczenia, które stają się widoczne, gdy firma rośnie.
Płaska sieć. Połączony pracownik widzi wszystko. Jeśli jego komputer jest zainfekowany, złośliwe oprogramowanie widzi to samo przez tunel. Segmentacja sieci to ogranicza, ale wymaga stałej pracy.
Niezweryfikowane urządzenie. VPN wpuszcza prywatny komputer pracownika z nieaktualnym systemem i bez antywirusa dokładnie tak samo jak laptop zarządzany przez firmę.
Systemy w chmurze. Coraz więcej aplikacji firmowych działa nie na serwerze w biurze, ale w chmurze: Microsoft 365, CRM, księgowość. Nie potrzebują VPN, ale pozostają dostępne samym hasłem, jeśli nikt nie ustawił polityki dostępu.
Dostawcy i partnerzy. Każdy zewnętrzny dostawca dostaje konto VPN, które daje dostęp do całej sieci ze względu na jeden system. Rok później takich kont jest dziesięć i nikt nie wie, które są jeszcze potrzebne.
Jeśli rozpoznajesz co najmniej dwie z tych sytuacji, VPN nie jest już głównym zabezpieczeniem, tylko jednym z jego elementów.
Zero Trust prostymi słowami
Zero Trust to nie produkt, który można kupić. To zasada: nie ufaj nikomu tylko dlatego, że jest w sieci. Każdy dostęp do każdego systemu jest sprawdzany osobno, trzema pytaniami:
- Kto się łączy? Użytkownik jest weryfikowany hasłem i 2FA, a jego konto jest aktywne.
- Z jakiego urządzenia? Urządzenie jest znane, aktualne, ma działającą ochronę i zaszyfrowany dysk.
- Do czego? Pracownik dostaje dostęp tylko do systemu, którego potrzebuje, a nie do całej sieci.
W praktyce oznacza to, że księgowa łączy się bezpośrednio z systemem księgowym, a nie z siecią. System sprawdza jej tożsamość i stan jej komputera i wpuszcza ją tylko do księgowości. Jeśli komputer nie spełnia wymagań, dostęp jest odrzucany, niezależnie od tego, czy siedzi w biurze, czy w domu.
W środowisku Microsoft duża część tej zasady już jest: dostęp warunkowy Entra ID sprawdza użytkownika i urządzenie przy każdym logowaniu do Microsoft 365 i innych połączonych aplikacji. Dla starszych systemów wewnętrznych, które działają tylko na serwerze w biurze, stosuje się bramy aplikacji, które wystawiają jedną aplikację, a nie całą sieć.
Zero Trust nie jest przeciwieństwem VPN. W wielu firmach działają razem: dostęp Zero Trust do chmury i podstawowych aplikacji, a VPN do pozostałych systemów wewnętrznych, ale już z 2FA, sprawdzaniem urządzeń i podzieloną na segmenty siecią.
Kiedy VPN wystarcza, a kiedy czas przejść dalej
VPN z 2FA wystarcza, gdy firma ma do kilkudziesięciu pracowników, jeden lub kilka serwerów wewnętrznych, wszyscy pracownicy używają komputerów zarządzanych przez firmę, a dostęp zewnętrznych dostawców jest rzadki i kontrolowany. Wtedy najważniejsze nie jest zmienianie technologii, tylko utrzymanie obecnej: aktualizowanie sprzętu VPN, przeglądanie kont, monitorowanie logowań.
Warto pomyśleć o przejściu na model Zero Trust, gdy:
- Rośnie liczba pracowników i urządzeń, a część z nich to urządzenia prywatne.
- Twoje podstawowe systemy są już w chmurze, a VPN służy tylko do kilku starszych serwerów.
- Masz wielu zewnętrznych dostawców, którzy potrzebują dostępu do jednego konkretnego systemu.
- Dotyczy Cię NIS2 lub DORA, a te przepisy mówią wprost o kontroli dostępu, zasadzie minimalnych uprawnień i zarządzaniu urządzeniami.
- Zdarzył się lub niemal zdarzył incydent, w którym ktoś połączył się z VPN cudzymi danymi logowania.
Przejście to nie jeden projekt. Zwykle odbywa się etapami: najpierw 2FA i porządek w kontach, potem dostęp warunkowy do Microsoft 365, następnie zarządzanie urządzeniami, a na końcu bramy aplikacji w miejsce szerokiego VPN. Każdy etap daje korzyść sam w sobie.
Jak MDP CLOUD opiekuje się VPN
VPN to nie jednorazowa instalacja, ale system, który się starzeje. Nasze zarządzanie siecią VPN obejmuje to, co najczęściej zostaje niezrobione: aktualizacje sprzętu i oprogramowania VPN, bo podatności bram VPN należą do najczęściej wykorzystywanych; comiesięczny przegląd kont i usuwanie odeszłych pracowników i dostawców; 2FA dla wszystkich bez wyjątku; monitoring logowań, który zgłasza logowania o nietypowych porach lub z nietypowych miejsc; oraz segmentację sieci, żeby użytkownik VPN widział tylko to, czego potrzebuje. Gdy firma jest gotowa, stopniowo dodajemy do tego samego VPN dostęp warunkowy i zarządzanie urządzeniami, bez zatrzymywania pracy i bez zaczynania od zera.
Od czego zacząć
- Sprawdź, czy Twój VPN ma 2FA. Jeśli nie, to pierwszy i najważniejszy krok, który można zrobić w ciągu kilku dni.
- Wyciągnij listę kont VPN i odłącz wszystkie, których właścicieli nie potrafisz już wskazać. Zastąp konta wspólne osobistymi.
- Sprawdź wersję oprogramowania sprzętu VPN i to, czy producent nadal je wspiera. Niewspierany sprzęt VPN to otwarte drzwi nawet z 2FA.
- Wypisz systemy, z którymi pracownicy faktycznie łączą się przez VPN. Często okazuje się, że połowa z nich jest już w chmurze i VPN nie jest im potrzebny.
- Jeśli nikt nie może tego robić stale, zarządzanie siecią VPN lub szersze wsparcie IT dla firm przejmie te zadania jako codzienną rutynę.
VPN nie jest przestarzały. Przestarzały jest VPN bez 2FA, bez opieki i z kontami, których nikt nie przegląda. To dobre miejsce na początek.
