本文轉(zhuǎn)載自微信公眾號“SDNLAB”。

過去一年網(wǎng)絡安全事件頻頻發(fā)生。去年年底的SolarWinds事件被稱為“十年來最嚴重的網(wǎng)絡安全危機”，以及“臺灣84%的公民信息被泄露”“5.38億條微博用戶信息泄露”“多地高校數(shù)萬學生隱私遭泄漏”等等。

[[382548]]

2020年12月發(fā)生的SolarWinds供應鏈攻擊滲透了美國幾乎所有的關鍵部門，思科、微軟、英特爾等科技巨頭以及超過9成的財富500強企業(yè)躺槍。

還有數(shù)據(jù)表明，遠程辦公導致全球網(wǎng)絡犯罪激增400%。據(jù)估計，在2021年，勒索軟件將每5秒鐘攻擊一次新的受害者，全球勒索軟件破壞成本將達到200億美元，是2015年的57倍。

在這些安全事件和可怕數(shù)據(jù)的不斷敲打下，網(wǎng)絡安全必須迎來一場深度改革。

是時候改革了

其實大多數(shù)網(wǎng)絡安全事件都有一些共性。首先是權(quán)限問題，入侵者一旦獲得賬戶，就能利用管理賬戶的權(quán)限進行攻擊，利用企業(yè)內(nèi)部網(wǎng)絡的默認信任關系來進行橫向移動。另外，被攻擊目標一般缺乏完善的訪問控制措施，還缺乏完善、深入的安全監(jiān)測與響應能力，導致未能快速發(fā)現(xiàn)并阻止攻擊行為。

這是由于傳統(tǒng)的安全措施都集中企業(yè)邊界，也就是內(nèi)部網(wǎng)絡和外部網(wǎng)絡之間。打個比方，我們的企業(yè)就是一個城堡，城堡內(nèi)部的一切活動都是默認可信的，數(shù)據(jù)和業(yè)務都在城堡內(nèi)部進行管理，安全部門只對進出城堡的活動進行監(jiān)控和保護。

但是，隨著云計算、虛擬化等技術(shù)的發(fā)展，企業(yè)的數(shù)據(jù)和應用慢慢的從內(nèi)網(wǎng)移動到外網(wǎng)，企業(yè)邊界不斷延伸，城堡的大門被打破。

另一方面，傳統(tǒng)的外部訪問控制措施已經(jīng)不足以應對現(xiàn)代攻擊技術(shù)。

安全模式是時候改革了，零信任安全架構(gòu)或許是一個理想選擇。據(jù)調(diào)查，2021年將會有40%的企業(yè)積極嘗試零信任安全技術(shù)：

[[382550]]

零信任核心原則：從不信任，始終驗證

(1) 顯示確認

零信任的第一個基本原則是對所有資源的訪問都需要經(jīng)過驗證。用戶每次訪問共享文件、應用程序或云存儲設備時，都要驗證該用戶對相關資源的訪問。因為在零信任架構(gòu)中，用戶的每個網(wǎng)絡活動都是潛在的威脅。要實現(xiàn)這種模式，需要：遠程身份驗證、訪問協(xié)議、外圍安全和網(wǎng)絡訪問控件。

(2) 最小權(quán)限原則

最小權(quán)限原則指每個用戶只能訪問其工作所需的訪問權(quán)限。通過限制每個用戶的訪問權(quán)限，可以有效防止黑客進入內(nèi)部后的橫向攻擊。這種精細的授權(quán)策略一般來說是由數(shù)據(jù)所有者來管理權(quán)限，并定期審核訪問權(quán)限和成員身份。

(3) 日志記錄

監(jiān)視和日志記錄可以說是零信任安全模型最重要的功能。在系統(tǒng)的監(jiān)視下，網(wǎng)絡中的每一個活動都被記錄在案，并且經(jīng)過可視化安全分析，可以有效辨別出哪些是異常賬戶，勒索軟件和惡意操作都清清楚楚地展示在你的眼皮底下。

零信任7大要素

零信任不僅僅是一個概念，它是一個完備的安全模型，包括七大要素。

(1) 零信任數(shù)據(jù)：數(shù)據(jù)是黑客攻擊的最終目標，因此，零信任首先要保護數(shù)據(jù)，然后才是構(gòu)建額外的安全層。然而，數(shù)據(jù)是經(jīng)常流動的，它們通常在工作站、移動設備、應用程序服務器、數(shù)據(jù)庫、SaaS應用程序之間傳輸，而且通常還是跨公司、跨公網(wǎng)的進行共享。要保護這些數(shù)據(jù)，公司必須要了解其數(shù)據(jù)在何處，誰可以訪問，并監(jiān)視數(shù)據(jù)訪問以檢測和響應潛在威脅。

(2) 零信任人員：有數(shù)據(jù)表明有81%的數(shù)據(jù)被盜是由于賬號密碼被別人盜取，所以僅憑賬號密碼已經(jīng)不能證明用戶的身份了。在零信任架構(gòu)中，就算是在防火墻后面的操作都默認為違規(guī)，需要驗證每個請求。也就是說，無論你是誰、你在哪里、你要做什么，零信任架構(gòu)都不認識你，身份驗證、授權(quán)、加密一樣不能少。這樣能有效防止網(wǎng)絡釣魚，密碼錯誤或惡意內(nèi)部人員等人為錯誤。

[[382551]]

(3) 零信任網(wǎng)絡：零信任網(wǎng)絡使用下一代防火墻之類的技術(shù)來對網(wǎng)絡進行分段、隔離和限制，并創(chuàng)建多個檢查點，在這樣的網(wǎng)絡中黑客無法導航，寸步難行。

(4) 零信任工作負載：無論是在何種云環(huán)境中，工作負載(比如應用系統(tǒng)、虛擬機、容器、Serveless等)都非常容易受到攻擊。零信任將存儲到操作系統(tǒng)到Web前端的整個堆棧視為威脅，并使用符合“零信任”原則的兼容控件對其進行保護。

(5) 零信任設備：在過去幾年，網(wǎng)絡上的設備呈爆炸式增長，這些連接的設備中每一個都可以作為黑客滲入網(wǎng)絡的入口。所以，無論是移動設備還是物聯(lián)網(wǎng)設備，零信任網(wǎng)絡都將其視為威脅載體，對其進行隔離、控制和保護。

(6) 可視化和分析：零信任安全架構(gòu)支持監(jiān)視、記錄、關聯(lián)和分析網(wǎng)絡中的每一個活動，這一點很重要，因為任何人都不能保護他看不到或看不懂的東西。高級威脅檢測和用戶行為分析能幫助我們掌握網(wǎng)絡中任何潛在威脅。

(7) 自動化和編排：要知道我們?nèi)斯o法監(jiān)視每一個網(wǎng)絡中發(fā)生的事件，所以自動化是必不可少的，將監(jiān)視和威脅檢測系統(tǒng)自動化可以節(jié)省很多人力資源，更重要的是，這可以提高事件響應、任務授權(quán)的速度，還能提升策略的準確性。

挑戰(zhàn)重重

零信任看起來確實很完美，但在現(xiàn)實中很難實現(xiàn)。

首先面臨的一個問題是，并不是所有的資源和應用程序都適用零信任協(xié)議。很多舊版應用程序和管理工具都不能使用身份驗證，如果有必要，就得另想其他辦法來保護他們。

其次，雖然零信任安全系統(tǒng)把企業(yè)保護得滴水不漏，但是對員工不友好，很多員工會覺得操作太麻煩，可能會想方設法地規(guī)避那些層層驗證，從而造成系統(tǒng)中的薄弱環(huán)節(jié)。所以，員工的支持與配合對于建立一個成功的零信任網(wǎng)絡非常重要。

最后，很多法規(guī)還沒有將零信任納入，它還不能作為一個安全協(xié)議。這意味著，在監(jiān)管嚴格的行業(yè)中，如果企業(yè)采用零信任模型，可能無法通過審核，這時候只能實施防火墻和防病毒軟件之類的傳統(tǒng)安全方法了。

努力實現(xiàn)

要成功實現(xiàn)零信任安全需要足夠的時間與耐心。首先，需要仔細分析企業(yè)當前的安全系統(tǒng)，找到薄弱的地方，先刪除掉那些不夠謹慎安全的默認設置。還需要將當前系統(tǒng)各部分的數(shù)據(jù)、網(wǎng)絡連接方式映射出來，這樣可以一目了然的確定哪些位置需要添加驗證點。

接下來就是重組安全網(wǎng)絡，這得視情況而定，有的企業(yè)需要直接覆蓋舊系統(tǒng)，有的只需要添加額外的安全措施。當然，還需要一些其他的安全工具，例如端點檢測和響應(EDR)，防火墻和防病毒軟件

最后，員工培訓也很重要。首先得向員工們解釋為什么企業(yè)要采用這種方法，并鼓勵他們遵循協(xié)議。內(nèi)部威脅一直是企業(yè)管理者的心頭大患，例如當年微盟的“員工刪庫跑路”事件，華爾街日報的調(diào)查顯示，70%的企業(yè)管理者擔心內(nèi)部人員威脅，但事實上，大多數(shù)內(nèi)部威脅并非是員工惡意，而是疏忽或缺乏必要的安全意識。

關于未來

關于企業(yè)安全，微軟企業(yè)服務大中華區(qū) Cybersecurity 首席架構(gòu)師張美波曾表示，“零信任”是一個持續(xù)進化的旅程，而不是一個結(jié)果。零信任并不是一蹴而就的，企業(yè)應根據(jù)自身目前的情況和實際需求，參考“零信任”原則，逐步對企業(yè)組織、流程和技術(shù)進行優(yōu)化調(diào)整。

未來，絕大部分企業(yè)會持續(xù)的、長期以混合安全模式架構(gòu)(即“零信任”模式與傳統(tǒng)安全模式共存)運行，并逐步遷移到“零信任”模式。