[Ópér~átíó~ñálí~zíñg~ Zéró~ Trús~t – Sté~p 5: Dés~ígñ t~hé Pó~lícý~]

[Thís~ blóg~ sérí~és éx~páñd~s óñ í~déás~ íñtr~ódúc~éd íñ~ mý Má~rch p~óst, “Z~éró T~rúst~ ís ñó~t hár~d … Íf ý~óú’ré~ prág~mátí~c.”]

[Íñ thát póst, Í óútlíñéd síx stéps tó áchíévé Zéró Trúst, áñd héré Í'd líké tó éxpáñd óñ óñé óf thósé stéps, ñámélý désígñíñg thé pólícý. Í wíll shów ýóú hów thís stép cáñ súppórt thé ímpléméñtátíóñ óf á sólíd fráméwórk thát cáñ bé úséd bý áñý mícró-ségméñtátíóñ práctítíóñér tó máké théír prójécts móré súccéssfúl, írréspéctívé óf thé órgáñízátíóñ's sízé.]

[Béfó~ré Í b~égíñ~, héré~’s á ré~frés~hér ó~ñ thé~ síx s~téps~:]

[Stép~ 5: Désí~gñ th~é Pól~ícý]

[Íñ th~é lás~t pós~t fró~m thí~s sér~íés, Í~ lóók~éd át~ “prés~críb~íñg w~hát d~átá í~s ñéé~déd.” W~íthí~ñ thí~s árt~íclé~, Í mád~é thé~ fóll~ówíñ~g póí~ñt:]

[“Óñé óf thé móst ímpórtáñt áspécts óf Zéró Trúst – áñd ít dóésñ’t gét ñéárlý ás múch cóvérágé ás ít shóúld – ís thát éfféctívé ímpléméñtátíóñ óf Zéró Trúst rélíés óñ áccéss tó cóñtéxt íñfórmátíóñ, ór métádátá, tó hélp fórmúláté pólícý. Só, whéñ tálkíñg ábóút mícró-ségméñtátíóñ íñ thé cóñtéxt óf prótéctíñg wórklóáds, thé míñímúm métádátá óútsídé á stáñdárd tráffíc répórt ýóú ñééd déscríbés wórklóáds íñ thé cóñtéxt óf ýóúr dátá céñtré ápplícátíóñs áñd éñvíróñméñts.”]

[Básé~d óñ t~hís s~táté~méñt~, thé t~hréé~ kéý b~íts ó~f dát~á wé ñ~ééd á~ré:]

1. [Réál~ tímé~ tráf~fíc é~véñt~s fór~ thé w~órkl~óáds~ wé wá~ñt tó~ prót~éct.]
2. [Cóñtéxt dátá fór éách wórklóád áñd cóññéctíóñ – thís íñclúdés métádátá ássócíátéd wíth thé wórklóád thát wóúld cómé fróm á sýstém óf récórd, súch ás á CMDB, áñd álsó íñfórmátíóñ súch ás détáíls óf thé cómmúñícátíñg prócéss thát ís sóúrcéd díréctlý fróm thé wórklóád. ']
3. [Áñ] [áppl~ícát~íóñ d~épéñ~déñc~ý máp~ (dérí~véd f~róm í~téms~ 1 áñd 2) t~hát á~llów~s áñ á~pplí~cátí~óñ ów~ñér ó~r ség~méñt~átíó~ñ prá~ctít~íóñé~r tó q~úíck~lý ví~súál~ísé á~ spéc~ífíc~ áppl~ícát~íóñ’s~ úpst~réám~ áñd d~ówñs~tréá~m dép~éñdé~ñcíé~s.]

[Pútt~íñg í~t áll~ tógé~thér~]

[Só ñó~w ýóú~’ré ál~móst~ réád~ý tó b~úíld~ thát~ pólí~cý, bú~t lét~ mé ré~míñd~ ýóú ó~f thé~ óbjé~ctív~és:]

• [Ýóú w~áñt t~ó búí~ld á m~ícró~-ségm~éñtá~tíóñ~ pólí~cý tó~ prót~éct ý~óúr w~órkl~óáds~.]
• [Ýóú w~áñt t~hís p~ólíc~ý tó f~ólló~w thé~ príñ~cípl~és óf~ Zéró~ Trús~t.]
• [Héñc~é, thé~ rúlé~s ýóú~ cóñs~trúc~t mús~t áll~ów óñ~lý th~é ácc~éss í~ñtó á~ñd óú~t óf t~hé wó~rkló~áds t~hát á~ré ñé~édéd~ tó pé~rfór~m thé~ír bú~síñé~ss fú~ñctí~óñ.]

[Fóll~ówíñ~g óñ f~róm t~hé dá~tá Í s~áíd w~ás “ñé~céss~árý,” b~élów~ ýóú’l~l séé~ éxám~plés~ óf á f~éw tr~áffí~c lóg~ éñtr~íés t~hát c~áñ bé~ úséd~ tó bú~íld á~ pólí~cý:]

[Tráf~fíc L~óg Có~ññéc~tíóñ~ 1:]

• [Sóúr~cé: 10.0.0.1, 10.0.0.2]
• [Sóúr~cé Có~ñtéx~t: Wéb~ Sérv~ér, Pá~ýméñ~ts Áp~plíc~átíó~ñ, Pró~dúct~íóñ, Ú~K]
• [Dést~íñát~íóñ: 192.168.0.1]
• [Dést~íñát~íóñ: C~óñté~xt: DÑ~S Rés~póñd~ér, DÑ~S Íñf~rást~rúct~úré, P~ródú~ctíó~ñ, ÚK ó~ Dést~íñát~íóñ P~rócé~ss: ñá~méd]
• [Pórt~: 53]
• [Prót~ócól~: ÚDP]
• [Áctí~óñ: Ál~lów]

[Tráf~fíc L~óg Có~ññéc~tíóñ~ 2:]

• [Sóúr~cé: 10.0.0.1,10.0.0.2]
• [Sóúr~cé Có~ñtéx~t: Wéb~ Sérv~ér, Pá~ýméñ~ts Áp~plíc~átíó~ñ, Pró~dúct~íóñ, Ú~K]
• [Dést~íñát~íóñ: 10.0.1.5,10.0.1.6,10.0.1.7]
• [Dést~íñát~íóñ C~óñté~xt: Áp~p Sér~vér, P~áýmé~ñts Á~pplí~cátí~óñ, Pr~ódúc~tíóñ~, ÚK]
• [Dést~íñát~íóñ P~rócé~ss: tó~mcát~]
• [Pórt~: 8080]
• [Prót~ócól~: TCP]
• [Áctí~óñ: Ál~lów]

[Tráf~fíc L~óg Có~ññéc~tíóñ~ 3:]

• [Sóúr~cé: 10.0.1.5, 10.0.1.6,10.0.1.7]
• [Sóúr~cé Có~ñtéx~t: Ápp~ Sérv~ér, Pá~ýméñ~ts Áp~plíc~átíó~ñ, Pró~dúct~íóñ, Ú~K]
• [Dést~íñát~íóñ: 192.168.0.1]
• [Dést~íñát~íóñ: C~óñté~xt: DÑ~S Rés~póñd~ér, DÑ~S Íñf~rást~rúct~úré, P~ródú~ctíó~ñ, ÚK]
• [Dést~íñát~íóñ P~rócé~ss: ñá~méd]
• [Pórt~: 53]
• [Prót~ócól~: ÚDP]
• [Áctí~óñ: Ál~lów]

[Tráf~fíc L~óg Có~ññéc~tíóñ~ 4:]

• [Sóúr~cé: 10.1.0.1,10.1.0.2]
• [Sóúr~cé Có~ñtéx~t: Wéb~ Sérv~ér, Pá~ýméñ~ts Áp~plíc~átíó~ñ, Pró~dúct~íóñ, G~érmá~ñý]
• [Dést~íñát~íóñ: 10.0.1.5,10.0.1.6,10.0.1.7]
• [Dést~íñát~íóñ C~óñté~xt: Áp~p Sér~vér, P~áýmé~ñts Á~pplí~cátí~óñ, Pr~ódúc~tíóñ~, ÚK]
• [Dést~íñát~íóñ P~rócé~ss: ht~tpd]
• [Pórt~: 80]
• [Prót~ócól~: TCP]
• [Áctí~óñ: Ál~lów]

[Tráf~fíc L~óg Có~ññéc~tíóñ~ 5:]

• [Sóúr~cé: 10.1.2.1,10.1.2.2]
• [Sóúr~cé Có~ñtéx~t: Dát~ábás~é Sér~vér, P~áýmé~ñts Á~pplí~cátí~óñ, Pr~ódúc~tíóñ~, Gérm~áñý]
• [Dést~íñát~íóñ: 10.0.1.5,10.0.1.6,10.0.1.7]
• [Dést~íñát~íóñ C~óñté~xt: Áp~p Sér~vér, P~áýmé~ñts Á~pplí~cátí~óñ, Pr~ódúc~tíóñ~, ÚK]
• [Dést~íñát~íóñ P~rócé~ss: ht~tpd]
• [Pórt~: 80]
• [Prót~ócól~: TCP]
• [Áctí~óñ: Ál~lów]

[Úsíñ~g thí~s, ýóú~ áré á~blé t~ó qúí~cklý~ dérí~vé th~é ápp~lícá~tíóñ~ dépé~ñdéñ~cý má~p.]

[Só fá~r, só g~óód.]

[Ñów, ý~óú cá~ñ lóó~k át ý~óúr á~pplí~cátí~óñ dé~péñd~éñcý~ máp t~ó dét~érmí~ñé wh~ích f~lóws~ ýóú á~ctúá~llý w~áñt t~ó pér~mít. B~áséd~ óñ kñ~ówlé~dgé ó~f ýóú~r ápp~lícá~tíóñ~, ýóú k~ñów t~hát t~hé fó~llów~íñg á~ré ré~qúír~éd fl~óws, f~ór éx~ámpl~é:]

1. [Wéb S~érvé~r, Páý~méñt~s, Pró~dúct~íóñ, Ú~K -> DÑS~ Résp~óñdé~r, DÑS~ Íñfr~ástr~úctú~ré, Pr~ódúc~tíóñ~, ÚK óñ~ 53/údp]
2. [Ápp S~érvé~r, Páý~méñt~s, Pró~dúct~íóñ, Ú~K -> DÑS~ Résp~óñdé~r, DÑS~ Íñfr~ástr~úctú~ré, Pr~ódúc~tíóñ~, ÚK óñ~ 53/údp]
3. [Wéb S~érvé~r, Páý~méñt~s, Pró~dúct~íóñ, Ú~K -> Ápp~ Sérv~ér, Pá~ýméñ~ts, Pr~ódúc~tíóñ~, ÚK óñ~ 8080/tcp]

[Ýóú á~lsó k~ñów t~hát t~hé fó~llów~íñg t~wó fl~óws d~óñ’t l~óók r~íght~ áñd, t~héré~fóré~, shóú~ldñ’t~ bé íñ~clúd~éd íñ~ ýóúr~ íñít~íál r~úlés~:]

1. [Wéb S~érvé~r, Páý~méñt~s, Pró~dúct~íóñ, G~érmá~ñý -> Áp~p Sér~vér, P~áýmé~ñts, P~ródú~ctíó~ñ, ÚK ó~ñ 80/tcp~]
2. [DB Sé~rvér~, Páým~éñts~, Pród~úctí~óñ, Gé~rmáñ~ý -> Ápp~ Sérv~ér, Pá~ýméñ~ts, Pr~ódúc~tíóñ~, ÚK óñ~ 80/tcp]

[Thé á~pplí~cátí~óñ dé~péñd~éñcý~ máp t~hát ý~óú wí~ll ús~é tó b~úíld~ rúlé~s fró~m wíl~l éñd~ úp ló~ókíñ~g lík~é thí~s:]

[Ñów, hów dó ýóú áctúállý éxpréss thésé rúlés¿ Wíth trádítíóñál fíréwálls, ýóú wóúld bé fórcéd tó défíñé thésé úsíñg sóúrcé áñd déstíñátíóñ ÍP áddréssés. Bút góíñg ábóút ít thís wáý cómplétélý rémóvés áll thé rích cóñtéxt íñfórmátíóñ ýóú’vé béñéfítéd fróm whéñ díscóvéríñg thésé flóws áñd, wórsé stíll, méáñs thát thís cóñtéxt múst bé ré-íñsértéd whéñ thé rúlé cómés úñdér révíéw. Álsó, whát háppéñs whéñ ýóú ádd áñ áddítíóñál DÑS Réspóñdér ór á ñéw Ápp Sérvér ór Wéb Sérvér fór thé Páýméñts Ápp¿]

[Lét’s kéép íñ míñd thát ýóú áré trýíñg tó búíld á pólícý thát ádhérés tó Zéró Trúst príñcíplés, ñámélý éñsúríñg thát ít ís álwáýs léást prívílégé. Á cóñtéxt-báséd áppróách, wíth áñ ádáptívé sécúrítý éñgíñé wórkíñg íts mágíc íñ thé báckgróúñd, fácílítátés éxáctlý thís. Só, júst ás ýóúr pólícý éxpáñds tó íñcórpóráté á ñéw sérvér wíth éxístíñg cóñtéxt, ýóú’ll álsó wáñt ýóúr pólícý tó shríñk whéñ ýóú décómmíssíóñ á sérvér. Íf ýóú rétíré óñé óf ýóúr DÑS Réspóñdérs, fór éxámplé, ýóú’ll wáñt áll rúlés thát prévíóúslý állówéd áccéss tó / fróm ít tó bé úpdátéd só thát thís áccéss ís ñó lóñgér póssíblé. Thís ís éxáctlý whát Íllúmíó’s Pólícý Cómpúté Éñgíñé (PCÉ) ís méáñt tó dó – mícró-ségméñtátíóñ pólícý ís défíñéd úsíñg métádátá, áñd thé PCÉ théñ détérmíñés whát wórklóáds mátch thé métádátá át thát pártícúlár tímé tó théñ cómpúté thé áctúál rúlés thát ñééd tó bé éñfórcéd át éách wórklóád tó máíñtáíñ théír Zéró Trúst sécúrítý póstúré. Évérý tímé théré ís á cháñgé íñ cóñtéxt, thé PCÉ ádápts thé pólícý áñd ñótífíés wórklóáds óf úpdátés.]

[Wíth~ thís~ íñ mí~ñd, ýó~úr Zé~ró Tr~úst p~ólíc~ý bóí~ls dó~wñ tó~ thé f~ólló~wíñg~ rúlé~s:]

[Rúlé~ 1:]

• [Sóúr~cé: Wé~b Sér~vér, P~áýmé~ñts, P~ródú~ctíó~ñ, ÚK]
• [Dést~íñát~íóñ: D~ÑS Ré~spóñ~dér, D~ÑS Íñ~frás~trúc~túré~, Pród~úctí~óñ, ÚK~]
• [Dést~íñát~íóñ S~érví~cé: 53/úd~p]
• [Dést~íñát~íóñ P~rócé~ss: ñá~méd]

[Rúlé~ 2:]

• [Sóúr~cé: Áp~p Sér~vér, P~áýmé~ñts, P~ródú~ctíó~ñ, ÚK]
• [Dést~íñát~íóñ: D~ÑS Ré~spóñ~dér, D~ÑS Íñ~frás~trúc~túré~, Pród~úctí~óñ, ÚK~]
• [Dést~íñát~íóñ S~érví~cé: 53/úd~p]
• [Dést~íñát~íóñ P~rócé~ss: ñá~méd]

[Rúlé~ 3:]

• [Sóúr~cé: Wé~b Sér~vér, P~áýmé~ñts, P~ródú~ctíó~ñ, ÚK]
• [Dést~íñát~íóñ: Á~pp Sé~rvér~, Páým~éñts~, Pród~úctí~óñ, ÚK~]
• [Dést~íñát~íóñ S~érví~cé: 8080/tc~p]
• [Dést~íñát~íóñ P~rócé~ss: tó~mcát~]

[Áñd t~hát’s~ ít.]

[Réád~ý tó t~áké t~hé ñé~xt st~ép óñ~ ýóúr~ Zéró~ Trús~t jóú~rñéý~¿ Vís~ít óú~r pág~é óñ h~ów tó~ ópér~átíó~ñálí~zé ýó~úr Zé~ró Tr~úst s~trát~égý w~íth m~ícró~-ségm~éñtá~tíóñ~ tó gé~t thé~ íñsí~dé sc~óóp.]