作者丨Mohit Shah

譯者丨布加迪

策劃丨徐杰承

我們都聽(tīng)說(shuō)過(guò)許多成功的數(shù)字化轉(zhuǎn)型案例。無(wú)論是大數(shù)據(jù)、物聯(lián)網(wǎng)還是云計(jì)算，每一項(xiàng)技術(shù)都為眾多企業(yè)做出了極大貢獻(xiàn)。但卻很少有人會(huì)去關(guān)注引入這些技術(shù)所帶來(lái)的復(fù)雜性，尤其是在業(yè)務(wù)網(wǎng)絡(luò)基礎(chǔ)架構(gòu)這一環(huán)境下。

模糊的邊界將會(huì)引發(fā)安全問(wèn)題。確切地說(shuō)，移動(dòng)互聯(lián)網(wǎng)、云計(jì)算及其他技術(shù)的采用，讓外部平臺(tái)能夠滲入到企業(yè)，而物聯(lián)網(wǎng)和大數(shù)據(jù)等新興技術(shù)需要開(kāi)放和支持，這就使得外部平臺(tái)能夠觸及企業(yè)。

零信任架構(gòu)（ZTA）是一種安全方法，它基于如下理念設(shè)計(jì)：必須驗(yàn)證組織邊界內(nèi)外的每個(gè)用戶和設(shè)備后，才能授予訪問(wèn)權(quán)。本文介紹了零信任安全如何允許用戶以流暢、安全的方式訪問(wèn)其應(yīng)用程序，從而幫助業(yè)務(wù)實(shí)現(xiàn)價(jià)值。

零信任模型介紹

零信任是一種基于嚴(yán)格身份驗(yàn)證的網(wǎng)絡(luò)安全架構(gòu)。在該架構(gòu)下，只有經(jīng)過(guò)驗(yàn)證與授權(quán)的用戶和設(shè)備才能訪問(wèn)應(yīng)用程序與數(shù)據(jù)。同時(shí)，它保護(hù)這類(lèi)應(yīng)用程序和用戶遠(yuǎn)離復(fù)雜的互聯(lián)網(wǎng)危險(xiǎn)。

這類(lèi)模型最初是由 Forrester 研究公司的分析師提出的。隨著數(shù)字化轉(zhuǎn)型對(duì)企業(yè)網(wǎng)絡(luò)安全架構(gòu)帶來(lái)的影響愈發(fā)強(qiáng)烈，零信任模型的作用也變得愈發(fā)重要。

零信任模型的基礎(chǔ)

我們將零信任視為一種經(jīng)過(guò)深思熟慮的概念，可用于構(gòu)建網(wǎng)絡(luò)安全生態(tài)系統(tǒng)。因此，這能表明我們?cè)趯?shí)施這種方法后想要實(shí)現(xiàn)的最終目標(biāo)。

零信任安全模型的三大支柱：

• 關(guān)閉所有連接

防火墻等許多系統(tǒng)采用傳輸策略，數(shù)據(jù)在接受審核時(shí)被傳輸?shù)浇邮辗?。在此情況下，如果發(fā)現(xiàn)惡意文件，則會(huì)發(fā)出通知，但通常為時(shí)已晚。零信任的用處在于，它會(huì)關(guān)閉所有連接，讓系統(tǒng)可以在不熟悉的文件到達(dá)目的地之前對(duì)文件加以保存和分析。代理架構(gòu)負(fù)責(zé)以線速檢查所有流量，這包括加密流量，深度數(shù)據(jù)和威脅分析予以進(jìn)一步的支持。

• 消除攻擊面以降低風(fēng)險(xiǎn)頻率

由于零信任，用戶只需連接到他們需要的應(yīng)用程序和服務(wù)，無(wú)需連接到網(wǎng)絡(luò)。允許一對(duì)一連接，減小橫向移動(dòng)的可能性，并防止受感染設(shè)備盯上其他網(wǎng)絡(luò)資源。值得注意的是，由零信任保護(hù)的人和應(yīng)用程序在互聯(lián)網(wǎng)上不可見(jiàn)，因此無(wú)法被跟蹤或定位。

• 使用細(xì)粒度策略的數(shù)據(jù)保護(hù)

零信任使用用戶標(biāo)識(shí)和設(shè)備狀態(tài)來(lái)智能驗(yàn)證訪問(wèn)權(quán)限。它還因基于環(huán)境（比如設(shè)備、用戶、請(qǐng)求的應(yīng)用程序和內(nèi)容類(lèi)型）采用特定的業(yè)務(wù)法規(guī)而受到認(rèn)可。當(dāng)環(huán)境發(fā)生變化（比如用戶的設(shè)備或位置）時(shí)，由于策略是可調(diào)整的，因此用戶的訪問(wèn)能力也會(huì)受到定期檢查。

零信任對(duì)企業(yè)的優(yōu)勢(shì)

• 有效控制云和容器環(huán)境

說(shuō)到遷移到云和使用云，安全專(zhuān)家最擔(dān)心的是失去可見(jiàn)性和訪問(wèn)管理。盡管云服務(wù)提供商（CSP）近年來(lái)在安全方面取得了顯著進(jìn)步，但工作負(fù)載安全這個(gè)問(wèn)題仍然是 CSP 和使用云的公司的共同責(zé)任。

實(shí)施零信任架構(gòu)時(shí)，安全策略基于所識(shí)別的通信工作負(fù)載，并直接與工作負(fù)載相關(guān)聯(lián)。因此，安全措施會(huì)盡可能貼近需要保護(hù)的資產(chǎn)，不受 IP 地址和協(xié)議等網(wǎng)絡(luò)結(jié)構(gòu)的影響。保護(hù)機(jī)制不僅能夠適應(yīng)試圖傳輸?shù)墓ぷ髫?fù)載，而且環(huán)境變化后，依然能夠保持一致。

• 降低數(shù)據(jù)泄露風(fēng)險(xiǎn)

由于零信任基于最小特權(quán)原則，因此會(huì)假設(shè)每個(gè)實(shí)體（設(shè)備、用戶和工作負(fù)載）都是敵對(duì)的。每個(gè)請(qǐng)求都要經(jīng)過(guò)審查，個(gè)人和設(shè)備都需得到確認(rèn)，權(quán)限都要得到評(píng)估，之后才能建立信任。此外，每當(dāng)環(huán)境發(fā)生變化，比如用戶的位置或所訪問(wèn)的數(shù)據(jù)，這種“信任”都會(huì)進(jìn)行重復(fù)審查。

由于不可信賴，通過(guò)受感染設(shè)備或其他弱點(diǎn)訪問(wèn)網(wǎng)絡(luò)或云實(shí)例的攻擊者將無(wú)法獲取數(shù)據(jù)。此外，通過(guò)零信任安全方法所建立安全的網(wǎng)段，無(wú)法橫向遷移。因而，攻擊者將無(wú)處可去，所有訪問(wèn)都將受到阻止。

• 助力合規(guī)計(jì)劃

零信任分段可用于針對(duì)特定類(lèi)別的敏感數(shù)據(jù)設(shè)立邊界，這包括數(shù)據(jù)備份、PCI 數(shù)據(jù)和信用卡數(shù)據(jù)。采用細(xì)粒度限制有助于受監(jiān)管的信息和不受監(jiān)管的信息之間保持?jǐn)?shù)據(jù)的清晰分離。對(duì)于在數(shù)據(jù)泄露事件中提供過(guò)度特權(quán)訪問(wèn)的扁平網(wǎng)絡(luò)設(shè)計(jì)，零信任分段解決方案提供了更大的可見(jiàn)性和控制性。

• 降低業(yè)務(wù)和組織層面的風(fēng)險(xiǎn)

在零信任模型中，所有應(yīng)用程序和服務(wù)都被視為是有害的，除非它們的身份特征得到明確驗(yàn)證，否則無(wú)法通信。

因此，零信任通過(guò)暴露網(wǎng)絡(luò)上的所有內(nèi)容以及這些資產(chǎn)的連接方式來(lái)降低風(fēng)險(xiǎn)。由于已建立了基準(zhǔn)，零信任還會(huì)刪除過(guò)度配置的軟件和服務(wù)以及定期驗(yàn)證每個(gè)通信資產(chǎn)的憑據(jù)，以降低風(fēng)險(xiǎn)。

結(jié)論

零信任架構(gòu)，可以幫助你確保應(yīng)用程序的安全性、適應(yīng)性與可擴(kuò)展性。企業(yè)必須保持零信任網(wǎng)絡(luò)架構(gòu)才能保持競(jìng)爭(zhēng)力。無(wú)論用戶和設(shè)備位于何處，零信任都能夠保護(hù)企業(yè)數(shù)據(jù)，并為應(yīng)用程序的快速流暢運(yùn)行保駕護(hù)航。