零信任是一種 IT 安全方法的名稱，它假定沒有受信任的網(wǎng)絡(luò)邊界，并且每個網(wǎng)絡(luò)事務(wù)都必須經(jīng)過身份驗(yàn)證才能發(fā)生。零信任基于“從不信任，始終驗(yàn)證”的原則，并依賴于其他網(wǎng)絡(luò)安全方法，例如 網(wǎng)絡(luò)分段 和嚴(yán)格的訪問控制。零信任網(wǎng)絡(luò)定義了一個“保護(hù)表面”，其中包括關(guān)鍵數(shù)據(jù)、資產(chǎn)、應(yīng)用程序和服務(wù)，有時(shí)稱為 DAAS。保護(hù)面通常比整個攻擊面小得多，因?yàn)橹话P(guān)鍵資產(chǎn)。

零信任安全已經(jīng)取代了企業(yè)網(wǎng)絡(luò)邊界內(nèi)的資源應(yīng)受信任的舊假設(shè)，并將信任視為漏洞，因?yàn)椤笆苄湃巍本W(wǎng)絡(luò)上的用戶有能力在整個網(wǎng)絡(luò)中移動或?qū)е氯魏魏退袛?shù)據(jù)泄露他們被授予訪問權(quán)限。

在零信任架構(gòu)中，不會嘗試創(chuàng)建受信任的網(wǎng)絡(luò)。相反，完全消除了信任的概念。一旦確定了保護(hù)面，網(wǎng)絡(luò)流量如何穿越該面、了解哪些用戶正在訪問受保護(hù)的資產(chǎn)，以及對使用的應(yīng)用程序和連接方法進(jìn)行分類，就成為為受保護(hù)數(shù)據(jù)創(chuàng)建和執(zhí)行安全訪問策略的關(guān)鍵。當(dāng)理解了這些依賴關(guān)系后，可以將控制放置在靠近保護(hù)表面的位置以創(chuàng)建微邊界，通常是通過使用 下一代防火墻 (NGFW) 稱為分段網(wǎng)關(guān)，僅允許來自合法用戶和應(yīng)用程序的已知流量。NGFW 提供流量可見性，并基于 Kipling 方法實(shí)施訪問控制，根據(jù)誰、什么、何時(shí)、何地、為什么以及如何定義訪問策略。這有助于確定哪些流量可以通過微邊界，將未經(jīng)授權(quán)的用戶和應(yīng)用程序拒之門外，并將敏感數(shù)據(jù)拒之門外。

由于勞動力分散且偏遠(yuǎn)，因此零信任不依賴于任何特定位置。資產(chǎn)和用戶可以駐留在任何地方——本地、一個或多個云中或邊緣，無論是在員工家中還是作為物聯(lián)網(wǎng)設(shè)備。

誰創(chuàng)造了零信任？

零信任是 Forrester Research 副總裁兼首席分析師 John Kindervag 的創(chuàng)意。2010 年，當(dāng)他意識到現(xiàn)有的安全模型依賴于企業(yè)網(wǎng)絡(luò)中的一切都應(yīng)該被信任的過時(shí)假設(shè)時(shí)，他提出了該概念的模型。2013 年，當(dāng) Google 宣布在自己的網(wǎng)絡(luò)中實(shí)施零信任安全策略時(shí)，零信任模型的接受度加速。到 2019 年，Gartner 已將零信任列為安全訪問服務(wù)邊緣解決方案的核心組成部分。

您如何實(shí)現(xiàn)零信任架構(gòu)？

盡管通常被認(rèn)為實(shí)現(xiàn)起來復(fù)雜且昂貴，但零信任使用現(xiàn)有的網(wǎng)絡(luò)架構(gòu)，而不是叉車升級。沒有零信任產(chǎn)品本身，而是有與零信任架構(gòu)和環(huán)境兼容的產(chǎn)品——以及不兼容的產(chǎn)品。使用 Forrester 在 2010 年概述的五步方法，零信任架構(gòu)可以很容易地部署和維護(hù)。

識別保護(hù)表面 ，包括敏感數(shù)據(jù)和應(yīng)用程序。Forrester 推薦使用公共、內(nèi)部和機(jī)密類別的簡單三類模型。然后可以將需要保護(hù)的數(shù)據(jù)分割成微邊界，這些微邊界可以鏈接在一起以產(chǎn)生更廣泛的零信任網(wǎng)絡(luò)。

映射所有敏感數(shù)據(jù)的事務(wù)流 ，以了解數(shù)據(jù)如何在人員、應(yīng)用程序以及與業(yè)務(wù)合作伙伴和客戶的外部連接之間移動。然后可以公開和保護(hù)網(wǎng)絡(luò)和系統(tǒng)對象的依賴關(guān)系。此練習(xí)可以產(chǎn)生可以提高整體性能和安全性的數(shù)據(jù)流優(yōu)化

根據(jù)數(shù)據(jù)和事務(wù)在整個企業(yè)（和外部合作伙伴）中的流動方式，為每個微邊界定義零信任架構(gòu)。這可以通過 使用物理或虛擬 NGFW的軟件定義網(wǎng)絡(luò)(SDN) 和安全協(xié)議來實(shí)現(xiàn)。

網(wǎng)絡(luò)設(shè)計(jì)完成后創(chuàng)建零信任策略。許多組織使用 Kipling 方法，該方法解決了您的策略和網(wǎng)絡(luò)的對象、內(nèi)容、時(shí)間、地點(diǎn)、原因和方式。這啟用了細(xì)粒度的第 7 層強(qiáng)制策略，因此只有已知和授權(quán)的應(yīng)用程序或用戶被授予訪問保護(hù)表面的權(quán)限。假設(shè)所有個人設(shè)備，無論是公司擁有的還是 BYOD，都是不安全的。

自動化、監(jiān)控和維護(hù) ，通過監(jiān)控周圍的活動來確定任何異常流量的流向。找出異常活動發(fā)生的位置并監(jiān)控所有周圍的活動。自動化日志流量的檢查和分析，以便數(shù)據(jù)可以在不影響操作的情況下流動。

零信任的核心原則是什么？

“永遠(yuǎn)不要相信，永遠(yuǎn)驗(yàn)證”。零信任的核心原則是摒棄網(wǎng)絡(luò)內(nèi)任何東西都是安全的過時(shí)信念。由于勞動力性質(zhì)的變化、幾乎可以在任何地方都有組件的基于微服務(wù)的應(yīng)用程序的采用以及業(yè)務(wù)流程日益協(xié)作的性質(zhì)，不再存在安全邊界。遠(yuǎn)程員工不再受防火墻保護(hù)，即使是連接 VPN 的員工也是如此。而且沒有安全的設(shè)備。沒有智能手機(jī)，沒有臺式機(jī)，時(shí)期。

零信任不是技術(shù)或產(chǎn)品。這是一種保護(hù)關(guān)鍵業(yè)務(wù)資產(chǎn)免受窺探和惡意軟件攻擊的方法。NGFW、多因素身份驗(yàn)證以及 微分段 和最小權(quán)限原則等產(chǎn)品支持零信任。

零信任沒有單一的方法或技術(shù)。架構(gòu)將取決于保護(hù)面的大小和由此產(chǎn)生的微分段，架構(gòu)師必須考慮零信任策略對受影響應(yīng)用程序、數(shù)據(jù)庫和其他資源的用戶體驗(yàn)的影響。

零信任可能要求企業(yè)重新評估如何保護(hù)每項(xiàng)資產(chǎn)，因?yàn)閳?zhí)法有效地從網(wǎng)絡(luò)邊界轉(zhuǎn)移到保護(hù)表面中的單個系統(tǒng)和應(yīng)用程序。零信任不是確定請求來自何處以及該網(wǎng)絡(luò)是否安全，而是嘗試對特定用戶和設(shè)備進(jìn)行身份驗(yàn)證，以確保他們是誰以及他們聲稱的身份。這應(yīng)該包括基于提供的其他身份驗(yàn)證為設(shè)備分配信任的能力，例如，如果提供了正確的用戶 ID 和密碼，“已知”智能手機(jī)不需要令牌。

零信任可能是一個挑戰(zhàn)，因?yàn)樗鼤拗圃L問，并可能激怒那些隨意訪問不需要執(zhí)行其工作職能的應(yīng)用程序的人。對零信任網(wǎng)絡(luò)的需求和好處進(jìn)行適當(dāng)?shù)慕逃团嘤?xùn)應(yīng)該在最初的推出和新用戶的加入中發(fā)揮重要作用。

零信任在遠(yuǎn)程勞動力安全中的作用是什么？

全球冠狀病毒大流行大大增加了在家工作的員工數(shù)量，許多分析人士認(rèn)為，即使威脅過去，許多組織仍將繼續(xù)為無需親自到場工作的員工推廣在家工作 (WFH)工作職能。隨著遠(yuǎn)程訪問系統(tǒng)的用戶數(shù)量增加，對遠(yuǎn)程工作人員和設(shè)備的網(wǎng)絡(luò)攻擊以及通過遠(yuǎn)程工作人員對公司系統(tǒng)的網(wǎng)絡(luò)攻擊也可能會增加。因此，由于大部分遠(yuǎn)程員工，企業(yè)網(wǎng)絡(luò)面臨網(wǎng)絡(luò)犯罪和勒索軟件的風(fēng)險(xiǎn)越來越大。

鑒于在家工作的員工數(shù)量增加，對遠(yuǎn)程員工的攻擊可能會繼續(xù)增加。網(wǎng)絡(luò)犯罪分子已經(jīng)準(zhǔn)備好并愿意利用家庭目標(biāo)的更大范圍的工作，這將企業(yè)網(wǎng)絡(luò)和數(shù)據(jù)置于比正常情況更高的風(fēng)險(xiǎn)水平。許多組織已經(jīng)采用或?qū)⒉捎昧阈湃伟踩Ｐ停淠康氖菍γ總€用戶以及他們用于訪問的設(shè)備進(jìn)行身份驗(yàn)證，同時(shí)將每個用戶的權(quán)限降低到進(jìn)行業(yè)務(wù)交易所需的絕對最低限度。

這減輕了員工對大部分安全堆棧的責(zé)任，因?yàn)榱阈湃渭僭O(shè)員工在被證明并非如此之前是天生不安全的。即使是最小的組織也可以開始采用零信任安全策略，例如堅(jiān)持對每個用戶（無論是內(nèi)部用戶還是外部用戶）進(jìn)行多因素身份驗(yàn)證。

許多為不斷增長的遠(yuǎn)程勞動力而苦苦掙扎的組織通過使用基于 Web 的網(wǎng)關(guān)前端來做到這一點(diǎn)，無論它來自何處，對保護(hù)表面的所有訪問都必須通過該網(wǎng)關(guān)前端。這樣的網(wǎng)關(guān)可以執(zhí)行身份驗(yàn)證任務(wù)，甚至可以確保設(shè)備和操作系統(tǒng)在授予訪問權(quán)限之前應(yīng)用了最新的安全補(bǔ)丁。

由于 WFH 員工通常依賴兩個或更多設(shè)備來執(zhí)行工作功能，因此零信任安全性完全與設(shè)備和網(wǎng)絡(luò)無關(guān)非常重要。由于遠(yuǎn)程工作將繼續(xù)存在，零信任在新設(shè)備和未知設(shè)備上實(shí)現(xiàn)安全連接的能力將繼續(xù)成為其持續(xù)增長的一個因素。