澄清對零信任安全的5大誤區(qū)
不只是“信任但要驗證”，零信任模型應該假設(shè)威脅者會開展發(fā)起威脅活動——即使他們還沒有。目前有一些對零信任的誤解阻礙了其發(fā)展。
多年來，主流的安全信條是“信任但要驗證”。然而，這種觀念已不足以應對當今無邊界、全球化、移動化、基于云的威脅環(huán)境。
據(jù)Gartner預計，在2019年組織機構(gòu)將投入1370億美元在IT安全和風險管理上，因為2018年66%的企業(yè)都經(jīng)歷過安全漏洞。你可能會想安全投資這么大，我們應該會比壞人領(lǐng)先幾步，但現(xiàn)狀是幾乎每周都會有備受矚目的網(wǎng)絡(luò)威脅新聞出現(xiàn)。
零信任安全是對陳舊安全策略的一劑良藥，因為它要求組織機構(gòu)永遠不要信任并始終進行驗證。每個企業(yè)必須認識到威脅者存在于網(wǎng)絡(luò)內(nèi)外，并且基于邊界的安全無法再防御基于身份和基于證書的侵入。而身份和證書是當今主要的威脅媒介?，F(xiàn)在的解決方案是通過僅在適當?shù)臅r候授予足夠的權(quán)限，將信任完全移除。
然而，目前有一些對零信任的誤解阻礙了其發(fā)展。讓我們看一下5大誤區(qū)，并澄清事實。
誤區(qū)1：零信任安全之路始于數(shù)據(jù)完整性
請放心，加密敏感數(shù)據(jù)并確保其完整性仍然是理想做法。 沒有人否認這一點。但是如果威脅者已經(jīng)獲得了訪問權(quán)限(包括解密密鑰)，那么還能如何限制威脅者竊取數(shù)據(jù)呢?
Forrester估計80%的數(shù)據(jù)泄露事件都是由于特權(quán)證書濫用造成的。與個人賬戶相比，特權(quán)證書為竊取數(shù)據(jù)提供了更大的平臺，所以只要一個受損的證書就可以影響數(shù)百萬人并造成大巨大的損失。這也就不意外Gartner建議將特權(quán)訪問管理(PAM)置于任何安全項目列表的第一位了。
在組織開始實施以保護身份為中心的安全措施之前，賬戶威脅將持續(xù)為數(shù)據(jù)泄露提供完美的偽裝。因此，零信任之路應該始終從保護身份開始。
誤區(qū)2：零信任只適用于大型組織機構(gòu)
谷歌是很早采用零信任模式的公司之一。因此很多人仍然認為該模型只適用于大型組織機構(gòu)。但實際情況是，沒有公司在面對網(wǎng)絡(luò)威脅是安全的。事實上，根據(jù)“2018年Verizon數(shù)據(jù)泄露調(diào)查報告”，61%的數(shù)據(jù)泄露事件影響到了小型企業(yè)。
好消息是零信任安全不會讓你傾家蕩產(chǎn)。企業(yè)規(guī)模和預算不應該成為阻礙，因為即使是很小的企業(yè)也可以通過成本效益高、循序漸進的方法開始零信任工作。例如，很多組織機構(gòu)通過使用密碼庫或多因素身份驗證等容易實現(xiàn)的功能，顯著提高了其安全性。每年在每個系統(tǒng)上花費幾百美元是非常值得的，可以避免潛在數(shù)百萬美元的罰款、處罰或品牌損失。
誤區(qū)3：我需要完全替換整個網(wǎng)絡(luò)安全環(huán)境
谷歌在第一次建立其零信任安全架構(gòu)時，的確決定從頭開始建立整個安全網(wǎng)絡(luò)。但對于大部分組織機構(gòu)來說，情況并非如此。
零信任可以簡單的通過增強環(huán)境中已有的安全控制開始。例如，你可以從部署“MFA無處不在”方案開始，這種方案并不復雜并能夠帶來巨大的價值。這第一步非常有助于建立身份保障并能夠顯著減少威脅層面，為你的組織機構(gòu)走向零信任之路打下堅實的基礎(chǔ)。
誤區(qū)4：零信任僅限于本地部署
很多組織機構(gòu)認為零信任只適用于本地工作，而不能應用到公有云上。當敏感信息存儲在傳統(tǒng)網(wǎng)絡(luò)外部時，這將成為一個問題。
事實上零信任可以輕松擴展到云環(huán)境中，而且隨著各行各業(yè)轉(zhuǎn)向混合，多云環(huán)境，這一點變得越來越重要。此外，零信任不僅包括基礎(chǔ)設(shè)施，數(shù)據(jù)庫和網(wǎng)絡(luò)設(shè)備，還應該擴展到其他威脅層面，這些層面正日益成為現(xiàn)代組織機構(gòu)發(fā)展的戰(zhàn)略要求，包括大數(shù)據(jù)，DevOps和容器等。
誤區(qū)5：零信任的唯一好處是它能將我面臨的風險降低
減少風險顯然是零信任帶來的主要益處，但是絕對不是唯一的好處。
Forrester總結(jié)道零信任可以將一個組織機構(gòu)面臨的風險降低37%甚至更多。但是他們也發(fā)現(xiàn)部署零信任的組織機構(gòu)可以減少31%的安全支出，在整體IT安全預算中節(jié)省數(shù)百萬美元。
零信任還可以帶來更大的商業(yè)信心。Forrester研究發(fā)現(xiàn)部署零信任的組織機構(gòu)對采用移動工作模型的信心高出66%，保護DevOps環(huán)境的信心高出44%。因此他們能夠更有信心和保障加速使用新的商業(yè)模型，帶來新的用戶體驗。
重要的是，今天的安全工作并不安全。零信任模型不只是“信任但要驗證”，一個零信任模型假設(shè)威脅者會發(fā)起進攻——即使他們還沒有。采用了零信任，你可以減少威脅層面，提高審計和合規(guī)的可見性，并降低復雜性和成本。
零信任是現(xiàn)代混合型企業(yè)實現(xiàn)安全的根本方法。記住：永遠不要信任。始終進行驗證。
這些才不是誤區(qū)。
【本文是51CTO專欄作者“李少鵬”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
