BeyondCorp

BeyondCorp — это модель корпоративной безопасности и доступа к внутренним ресурсам, разработанная компанией Google, которая отказывается от традиционной концепции периметра сети (VPN) и предоставляет доступ к приложениям и данным на основе идентификации пользователя, устройства и контекста, а не на основе местоположения в сети. В основе модели лежит принцип «нулевого доверия» (Zero Trust), согласно которому ни один запрос, независимо от его происхождения (изнутри или извне корпоративной сети), не считается доверенным по умолчанию.

История

Концепция BeyondCorp была впервые публично представлена компанией Google в 2014 году в серии статей, опубликованных в блоге Google Cloud Platform. Разработка модели была вызвана практической необходимостью: Google требовалось обеспечить безопасный доступ к своим внутренним системам для сотрудников, работающих из любой точки мира, с любых устройств, включая личные, без использования традиционных VPN-решений, которые создавали узкие места и усложняли управление.

В 2011 году компания Google начала внутренний проект по перестройке своей сети безопасности, который в итоге и привёл к созданию BeyondCorp. Ключевой идеей стало перемещение контроля доступа с сетевого уровня на уровень приложений и пользователей. В 2017 году Google выпустила коммерческую версию этой модели под названием Cloud Identity-Aware Proxy (IAP), которая стала частью платформы Google Cloud Platform.

Основные принципы

BeyondCorp базируется на нескольких фундаментальных принципах, отличающих её от традиционных моделей безопасности:

• Отказ от периметра: Внутренняя сеть больше не считается доверенной зоной. Все ресурсы, включая внутренние приложения, рассматриваются как доступные из интернета.
• Доступ на основе идентификации и контекста: Решение о предоставлении доступа принимается на основе аутентификации пользователя, проверки устройства (его состояния, версии ОС, наличия обновлений безопасности) и контекста запроса (геолокация, время суток, тип сети).
• Динамическое управление доступом: Права доступа могут меняться в реальном времени в зависимости от изменения контекста (например, если устройство было скомпрометировано или пользователь изменил местоположение).
• Минимизация привилегий: Пользователям предоставляется минимально необходимый набор прав для выполнения их задач.
• Шифрование и аутентификация: Все соединения между пользователем и ресурсом шифруются, а аутентификация происходит на уровне приложения, а не сети.

Архитектура

Архитектура BeyondCorp включает несколько ключевых компонентов:

• Прокси-сервер доступа (Access Proxy): Это центральный элемент, который перехватывает все запросы к внутренним ресурсам. Он выполняет аутентификацию пользователя, проверяет устройство и принимает решение о предоставлении доступа на основе политик безопасности.
• Инвентаризация устройств (Device Inventory): Система, которая собирает и хранит информацию о всех устройствах, имеющих доступ к корпоративным ресурсам. Это включает данные об операционной системе, установленных обновлениях, состоянии антивируса и т.д.
• Служба управления идентификацией (Identity Provider): Используется для аутентификации пользователей (например, через OAuth 2.0 или OpenID Connect).
• Служба политик (Policy Engine): Централизованная система, которая определяет, какие пользователи и с каких устройств могут получить доступ к конкретным ресурсам. Политики могут быть как статическими, так и динамическими.

Преимущества и недостатки

Преимущества

• Повышенная безопасность: Устраняется риск атак, связанных с компрометацией периметра сети (например, через VPN-уязвимости).
• Гибкость и мобильность: Сотрудники могут безопасно работать из любой точки мира, с любого устройства, не подключаясь к корпоративной сети.
• Упрощение управления: Централизованное управление политиками доступа и инвентаризацией устройств.
• Снижение затрат: Отказ от дорогостоящих VPN-решений и связанной с ними инфраструктуры.

Недостатки

• Сложность внедрения: Требует значительных изменений в архитектуре ИТ-инфраструктуры, включая модернизацию приложений и систем управления устройствами.
• Зависимость от облачных сервисов: Для реализации модели часто требуются облачные провайдеры (например, Google Cloud, AWS, Azure), что может быть проблематично для организаций с строгими требованиями к локализации данных.
• Необходимость в инвентаризации устройств: Для эффективной работы требуется полная и актуальная информация о всех устройствах, что может быть сложно в крупных организациях.
• Потенциальные проблемы с производительностью: Прокси-сервер доступа может стать узким местом при большом количестве запросов.

Применение

Модель BeyondCorp активно используется в компаниях, которые стремятся к переходу на модель «нулевого доверия». В России она применяется в основном в крупных технологических компаниях и банках, где требуется высокая степень безопасности и гибкости. Однако, из-за сложности внедрения и зависимости от зарубежных облачных платформ, её распространение в России ограничено. Некоторые российские компании разрабатывают собственные аналоги, основанные на тех же принципах, но с использованием локальных решений.

Критика

Основная критика BeyondCorp связана с её сложностью и высокой стоимостью внедрения. Критики отмечают, что модель требует полной перестройки ИТ-инфраструктуры, что может быть экономически нецелесообразно для малых и средних предприятий. Также высказываются опасения по поводу зависимости от одного поставщика облачных услуг (в случае использования Google Cloud). Кроме того, модель не решает проблему защиты от внутренних угроз, если злоумышленник уже имеет легитимный доступ к системе.

Интересные факты

• Название «BeyondCorp» (буквально «за пределами корпорации») подчёркивает отказ от идеи корпоративного периметра.
• Google использовала эту модель для обеспечения доступа к своим внутренним системам для более чем 100 000 сотрудников по всему миру.
• В 2020 году компания Google выпустила открытую версию своей модели — BeyondCorp Enterprise, которая доступна для коммерческого использования.

Источники

• Google Cloud Blog. «BeyondCorp: A New Approach to Enterprise Security» (2014).
• Google Cloud Documentation. «Cloud Identity-Aware Proxy Overview».
• Ward, R., & Beyer, B. «BeyondCorp: A New Approach to Enterprise Security». ;login: The USENIX Magazine, 2014.
• Официальная документация Google Cloud Platform.