VPN-шлюз сам стал входом в сеть
С 03.10.2026 группа UTA0576 цепочкой уязвимостей нулевого дня получала root на обновлённых шлюзах Ivanti Connect Secure.
Volexity, 13.10.2026OpenZTA Zero Trust · доступ по устройству и политике
Доступ к ресурсу, а не к сети — только с проверенного устройства.пилотные внедрения
Устройство получает сертификат, ключ которого хранится в TPM или Secure Enclave, — его не перенести на чужой компьютер. Агент постоянно проверяет состояние: шифрование диска, брандмауэр, безопасную загрузку, антивирус. Шлюз пускает к веб-ресурсу, только если проверены и пользователь, и устройство. Сейчас проводим пилотные внедрения вместе с нашей командой.
● TPM 2.0 · Secure Enclave
● Windows · macOS · Linux
● сервер в вашей инфраструктуре
устройство · MacBook · ivanovaагент на связи
93%правил
✓ ключ в Secure Enclave
✓ шифрование диска · critical
✓ брандмауэр включён · high
✓ удалённое управление выкл. · critical
! не все обновления установлены · low
ivanova · MacBook → wiki.corpALLOW
petrov · Windows: диск не зашифрованDENY
ноутбук без сертификата → wiki.corpDENY
✓ выполнено: critical 100% · high 100% · low 67%Envoy · :443
55проверок состояния устройства: Windows — 12, macOS — 24, Linux — 19
30готовых правил доступа на CEL — с версиями и редактором
5уровней важности с порогами 0–100% и действиями block, allow, notify
TPM 2.0или Secure Enclave на Mac — ключ устройства в защищённом модуле
Интерфейс
Так выглядит Zero Trust в работе
Журнал решений шлюза: кого и с какого устройства пустили к ресурсу, кому отказали и какое правило не выполнено.
Демонстрационные данные.
Почему сейчас
Атакующие входят через VPN — с верным паролем и кодом MFA.
VPN проверяет учётную запись, но не устройство, с которого входят, и после входа часто открывает доступ ко всей сети. Сами VPN-шлюзы стали целью: по уязвимостям Cisco ASA и Firepower агентство CISA выпустило экстренную директиву ED 25-03 (25.09.2025), а по Verizon DBIR 2026 эксплуатация уязвимостей — 31% первичных входов.
от входа по SSL VPN до шифрования
Так в 2025 году действовала группа Akira через SSL VPN SonicWall — в том числе на учётных записях с OTP-MFA. Второй фактор подтверждает человека, но ничего не говорит о его устройстве.
Help Net Security, 29.09.2025начались со входа через подрядчика
В 2025 году — против 6% в 2024-м. Подрядчику нужен доступ к конкретным системам с проверенного устройства, а не вся сеть с любого ноутбука.
Solar 4RAYS, 12.03.2026Как это работает
Сертификат устройства → проверка состояния → решение шлюза.
01
Сертификат
Удостоверяющий центр выпускает устройству сертификат под ключ в TPM (Windows и Linux, с аттестацией AIK/EK) или в Secure Enclave (macOS).
02
Состояние
Агент постоянно проверяет устройство: шифрование диска, брандмауэр, безопасную загрузку, антивирус, блокировку экрана, автовход, удалённый доступ, настройки SSH.
03
Политика
Правила на CEL сравнивают состояние с требованиями. Для каждого уровня важности задаётся порог — какая доля правил должна быть выполнена, от 0 до 100%.
04
Решение
Шлюз на Envoy запрашивает решение у сервера и пропускает к ресурсу только проверенные устройство и пользователя. Каждое решение попадает в журнал.
Возможности
Не «пустили в сеть», а решение по ресурсу: кто, с какого устройства, в каком состоянии.
Сертификат, который не скопировать
Собственный удостоверяющий центр выпускает сертификаты под ключ в TPM (Windows и Linux, аттестация AIK/EK) и Secure Enclave (macOS). Отдельные корни ECDSA P-384 для VPN и mTLS.
55 проверок на трёх ОС
Windows — 12, macOS — 24, Linux — 19: антивирус, шифрование диска, брандмауэр, безопасная загрузка, блокировка экрана, UAC, автовход, удалённый доступ, настройки SSH, автообновления в Linux.
30 готовых правил и свой редактор
Правила на языке выражений CEL с версиями и редактором. Готовый набор для Windows, macOS и Linux — от «Дисковое шифрование включено» до «Вход под root по SSH отключён».
Строгость — по уровням важности
Пять уровней: critical, high, medium, low, info. Для уровня задаётся порог от 0 до 100% выполненных правил, для политики — действие: block, allow или notify.
Envoy перед веб-ресурсами
Шлюз на Envoy с ext_authz пропускает к веб-ресурсам по HTTPS только проверенные устройства — сценарий проверен на стенде. Для SSH и SMTP авторизация реализована, полный сценарий SSH проходим в пилоте.
Журнал решений и история устройств
Решения шлюза хранятся в журнале на ClickHouse, состояние устройств — в истории: видно, кого и к какому ресурсу пустили или нет. Метрики — в Grafana.
Windows, macOS и Linux
Windows — служба и значок в трее. Linux — служба systemd, пакеты deb, rpm, tar.gz и вариант для OpenRC. macOS — LaunchDaemon и расширение для работы с Secure Enclave.
Роли и несколько организаций
Роли Supervisor, Administrator и User; несколько организаций в одной установке. Вход в консоль — по клиентскому сертификату, паролю или через Яндекс ID.
Кому полезно
ИБ задаёт требования, ИТ разворачивает, подрядчик получает ровно свой ресурс.
Службе ИБ
Требования к устройствам в виде правил на CEL, пороги по уровням важности, журнал решений шлюза и история состояния устройств для разбора отказов.
ИТ-администраторам
Сервер на Docker Compose, пакеты агентов для Windows, macOS и Linux, консоль с ролями и несколькими организациями, метрики в Grafana.
Тем, кто отвечает за подрядчиков
Подрядчик получает доступ к нужному веб-ресурсу, а не к сети, и только с устройства, которое прошло проверки.
Развёртывание
Один сервер на Docker Compose и агент на каждом устройстве.
- Статус
- Пилотные внедрения вместе с командой вендора. Готовность к пилоту подтверждена на лабораторном стенде: пройдено 12 из 14 сценариев — mTLS, консоль, удостоверяющий центр, API агента, решения allow и deny, HTTPS через Envoy, авторизация SSH
- Сервер
- Docker Compose, около 15 сервисов на одном сервере в вашей инфраструктуре
- Устройства
- Windows и Linux с TPM 2.0, Mac с Secure Enclave
- Агенты
- Windows — служба и значок в трее; Linux — служба systemd, пакеты deb, rpm, tar.gz и для OpenRC; macOS — LaunchDaemon и расширение для Secure Enclave
- Удостоверяющий центр
- Сертификаты под ключ в TPM (аттестация AIK/EK) и Secure Enclave; отдельные корни ECDSA P-384 для VPN и mTLS
- Проверки и правила
- 55 проверок состояния (Windows 12, macOS 24, Linux 19); 30 правил по умолчанию на CEL с версиями и редактором; 5 уровней важности, пороги 0–100%, действия block, allow, notify
- Ресурсы
- Веб по HTTPS (
:443) через Envoy с ext_authz — проверено на стенде. SSH и SMTP — авторизация реализована, полный сценарий SSH проходим в пилоте - Вход и роли
- Вход в консоль через Яндекс ID (OAuth), по паролю или клиентскому сертификату; роли Supervisor, Administrator, User; несколько организаций в одной установке
- Журналы и метрики
- Журнал решений шлюза в ClickHouse, история состояния устройств, метрики в Grafana
- Сеть
- Для входа в консоль через Яндекс ID нужен интернет. Изолированный контур без интернета — в дорожной карте
Пилот вместе с командой вендора
За 30 дней — отчёт: какие устройства проходят проверки и кого шлюз пускает к ресурсам.
ШАГ 1
Задача
Выбираем веб-ресурсы и пилотные группы — сотрудников, администраторов, подрядчиков — и требования к их устройствам.
ШАГ 2
Развёртывание
Ставим сервер в вашей инфраструктуре и агенты на пилотные устройства с TPM 2.0 или Secure Enclave.
30 ДНЕЙ
Проверки и решения
Проверки состояния и решения доступа к веб-ресурсам — сначала в режиме наблюдения, затем с блокировкой там, где договорились.
ИТОГ
Отчёт и план
Какие устройства не проходят проверки, какие решения принял шлюз, что нужно для внедрения, — и план следующего этапа.
Для пилота нужны устройства с TPM 2.0 или Mac с Secure Enclave, а для входа в консоль через Яндекс ID — доступ в интернет.
Вопросы
Что обычно спрашивают ИБ и ИТ
Готов ли продукт к промышленной эксплуатации?
Сейчас мы проводим пилотные внедрения вместе с нашей командой. На лабораторном стенде пройдено 12 из 14 сценариев, включая выпуск сертификатов, mTLS, решения allow и deny и доступ по HTTPS через Envoy. Решение о промышленном внедрении принимаем по итогам пилота: в отчёте — что работает на ваших устройствах и что нужно сделать до внедрения.
Какие ресурсы можно закрыть?
Веб-ресурсы по HTTPS через шлюз Envoy — этот сценарий проверен на стенде. Для SSH и SMTP авторизация реализована; полный сценарий SSH проходим в пилоте. Другие типы ресурсов сейчас не заявляем — расскажите о задаче, обсудим.
Это замена VPN?
Не целиком. Zero Trust закрывает доступ к веб-ресурсам: шлюз пускает к конкретному ресурсу проверенные устройство и пользователя, а не открывает сеть. В пилоте можно перевести на эту схему выбранные веб-ресурсы и сравнить с текущим доступом через VPN.
Работает ли без интернета?
Сервер разворачивается в вашей инфраструктуре, но изолированный контур без интернета сейчас не поддерживается: в частности, интернет нужен для входа в консоль через Яндекс ID. Работа в изолированном контуре — в дорожной карте.
Какие устройства подходят?
Компьютеры на Windows и Linux с TPM 2.0 и Mac с Secure Enclave. На каждый ставится агент: на Windows — служба со значком в трее, на Linux — служба systemd из пакета deb, rpm, tar.gz или для OpenRC, на macOS — LaunchDaemon с расширением для Secure Enclave.
Что нужно от нас для пилота?
Список веб-ресурсов и пилотные группы, сервер под Docker Compose и пилотные устройства с TPM 2.0 или Secure Enclave. Развёртывание, настройку правил и разбор результатов проводим вместе с вами.
Отдаёт ли события в SIEM и работает ли с нашим SSO?
Пока нет: выгрузки в SIEM и входа по OIDC/SAML в продукте нет. Решения шлюза хранятся в журнале на ClickHouse, метрики — в Grafana; требования к интеграциям фиксируем в отчёте пилота.
Пилот Zero Trust
Проверим на ваших устройствах и ваших веб-ресурсах.
Оставьте заявку — согласуем ресурсы, пилотные группы и требования к устройствам. Пилот проводим вместе с нашей командой.
Заявка отправлена
Свяжемся с вами по указанной почте, чтобы согласовать пилот Zero Trust.