Zero Trust: сетевая безопасность без периметра

У нас в «ФинКорп» работало 200 сотрудников, и архитектура была классической: для удалёнщиков — VPN, на периметре — firewall, а внутри — просто плоская сеть. Ну, и как это обычно бывает, рано или поздно случается беда: один из сотрудников открыл фишинговое письмо. Тут же на рабочую станцию села малварь, начала двигаться по внутренней сети (это мы называем lateral movement) и, конечно, добралась до нашей финансовой БД. Вся эта история заняла всего 2 часа.

Слабое место периметральной модели в одной мысли: «внутри — значит доверенный». Стоит злоумышленнику пробить периметр (фишинг, скомпрометированный VPN, инсайдер) — и перед ним открыто всё.

Принцип Zero Trust, по сути, очень прост и звучит так: «Never trust, always verify». Это значит — не доверяйте никому и проверяйте буквально каждый запрос.

1. Identity verification — аутентифицируется каждый запрос, без исключений.

# Keycloak/Okta для пользователей
# Service accounts + mTLS для сервисов
# Пример: Envoy sidecar проверяет JWT на каждый запрос
- name: envoy.filters.http.jwt_authn
  typed_config:
    providers:
      keycloak:
        issuer: https://auth.fincorp.ru/realms/production
        audiences: ["api-gateway"]
        remote_jwks:
          http_uri:
            uri: https://auth.fincorp.ru/realms/production/protocol/openid-connect/certs

2. Device trust — проверка состояния устройства

• OS обновлена? Антивирус активен? Диск зашифрован?
• Инструменты: CrowdStrike, Kolide, osquery

3. Microsegmentation — это когда сервис A может достучаться только до сервиса B, и никуда больше. Мы как бы создаём микро-границы внутри сети.

# Kubernetes NetworkPolicy
apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-api
spec:
  podSelector:
    matchLabels:
      app: api-service
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - port: 8080

4. Least privilege — минимальные необходимые права

5. Continuous monitoring — аномалии ловятся в реальном времени.

В «ФинКорп» мы решили внедрять Zero Trust поэтапно, чтобы не сломать уже работающую систему. Мы двигались шаг за шагом:

Месяц 1: Identity foundation

• Keycloak как единый IdP (SSO для всех сервисов)
• Обязательная 2FA для всех пользователей
• Service accounts с JWT для межсервисной коммуникации

Месяц 2: Microsegmentation

• Kubernetes: NetworkPolicy для каждого namespace
• Cilium для L7 policy (HTTP path/method filtering)
• Серверы вне K8s: WireGuard mesh (Netbird) + ACL

Месяц 3: Access proxy + monitoring

• Замена VPN на ZTNA-прокси (Pomerium / Cloudflare Access)
• Логирование всех access decisions
• Алерты на аномальный доступ

# Pomerium — open-source ZTNA proxy
# Заменяет VPN для доступа к веб-сервисам
# pomerium-config.yaml
routes:
  - from: https://grafana.fincorp.ru
    to: http://grafana.internal:3000
    policy:
      - allow:
          and:
            - email:
                is: "@fincorp.ru"
            - groups:
                has: "engineering"
  - from: https://admin.fincorp.ru
    to: http://admin.internal:8080
    policy:
      - allow:
          and:
            - groups:
                has: "platform-admins"
            - device:
                is_valid_client_certificate: true

В Zero Trust внутренний трафик тоже шифруется — «сеть не доверенная». Mutual TLS: обе стороны проверяют сертификаты друг друга.

# Через Istio service mesh — mTLS автоматически
apiVersion: security.istio.io/v1
kind: PeerAuthentication
metadata:
  name: default
  namespace: production
spec:
  mtls:
    mode: STRICT  # Все соединения — только mTLS

# Или через Cilium — WireGuard encryption между нодами
helm upgrade cilium cilium/cilium \
  --set encryption.enabled=true \
  --set encryption.type=wireguard

Результат: даже если злоумышленник получит доступ к внутренней сети, он не сможет:

• Прослушивать трафик (всё зашифровано)
• Подделать запросы (mTLS проверяет identity)
• Обратиться к сервису без авторизации (policy enforcement)