在您的網(wǎng)絡(luò)中，可以信任誰？在零信任范式中，答案是否定的。網(wǎng)絡(luò)安全的零信任方法指出，只有在驗(yàn)證用戶后才應(yīng)授予訪問權(quán)限，并且只能在執(zhí)行特定任務(wù)所需的范圍內(nèi)授予訪問權(quán)限。

在本文中，我們將詳細(xì)介紹實(shí)現(xiàn)零信任的不同方法。我們探討了零信任架構(gòu)的基本原則，并考慮了這種網(wǎng)絡(luò)安全方法的主要優(yōu)點(diǎn)和缺點(diǎn)。

簡而言之，零信任

沒有人可以默認(rèn)信任。

Forrester 專家在描述一種新的安全模型時(shí)首先使用了零信任一詞，在該模型中，用戶和設(shè)備不再分為受信任和不受信任的組。該模型的核心思想是僅授予經(jīng)過身份驗(yàn)證和驗(yàn)證的用戶訪問權(quán)限。

網(wǎng)絡(luò)安全中的零信任模型有幾種常見的解釋。2018 年，Idaptive 的網(wǎng)絡(luò)安全專家將零信任定義為基于三步過程的模型：

• 驗(yàn)證用戶的身份
• 驗(yàn)證設(shè)備
• 限制特權(quán)訪問

2019 年，微軟公開實(shí)施零信任安全模型。他們表示，為了構(gòu)建理想的零信任環(huán)境，需要：

• 通過身份驗(yàn)證驗(yàn)證用戶的身份
• 通過設(shè)備管理系統(tǒng)驗(yàn)證設(shè)備運(yùn)行狀況
• 應(yīng)用最小特權(quán)原則
• 驗(yàn)證所用服務(wù)的健康狀況

值得注意的是，第四個(gè)組成部分，服務(wù)健康，更多的是微軟標(biāo)記為未來目標(biāo)的理論概念。

什么是零信任架構(gòu)？

美國國家標(biāo)準(zhǔn)與技術(shù)研究院 (NIST)于 2020 年發(fā)布了迄今為止對零信任最詳細(xì)的解釋。在特別出版物 (SP) 800-207中，NIST 描述了構(gòu)建零信任架構(gòu) (ZTA) 時(shí)需要關(guān)注的領(lǐng)域以及構(gòu)建此類架構(gòu)的原則。

根據(jù)NIST的說法，組織可以通過多種方式建立 ZTA：

• 通過關(guān)注用戶訪問權(quán)限和基于上下文的身份驗(yàn)證
• 通過將網(wǎng)絡(luò)分成不同的段，并使用不同的策略和訪問規(guī)則進(jìn)行保護(hù)
• 通過使用軟件定義的邊界方法

無論如何，零信任架構(gòu)的三個(gè)組成部分構(gòu)成了其核心：

?策略引擎授予、撤銷或拒絕特定用戶訪問所請求的企業(yè)資源。策略執(zhí)行點(diǎn) (PEP)啟用、終止和監(jiān)控用戶與企業(yè)資源之間的連接。

?策略管理員根據(jù)策略引擎的決定向 PEP 發(fā)送命令，以允許或拒絕用戶連接到所請求的資源。

這些組件不需要是單獨(dú)的、獨(dú)特的系統(tǒng)。根據(jù)他們的需要，組織可以選擇部署一個(gè)資產(chǎn)來負(fù)責(zé)執(zhí)行所有三個(gè)組件的任務(wù)?；蛘?，組織可以組合多個(gè)工具和系統(tǒng)來實(shí)現(xiàn)單個(gè)組件。

構(gòu)建零信任架構(gòu)：NIST 觀點(diǎn)

NIST 建議組織在七個(gè)支柱上構(gòu)建零信任架構(gòu)：

1. 資源——組織應(yīng)將其所有數(shù)據(jù)、計(jì)算服務(wù)和設(shè)備視為需要保護(hù)的資源。如果網(wǎng)絡(luò)用戶可以從個(gè)人設(shè)備訪問組織的資源，那么這些設(shè)備也可以被視為企業(yè)資源。

2. 通信——來自網(wǎng)絡(luò)內(nèi)部和外部的所有通信都必須一視同仁，并以最安全的方法加以保護(hù)。

3. 按會(huì)話訪問——與關(guān)鍵資源或組織的每個(gè)連接都應(yīng)僅在每個(gè)會(huì)話的基礎(chǔ)上建立。

4. 動(dòng)態(tài)策略——應(yīng)根據(jù)組織的策略規(guī)則和動(dòng)態(tài)最小特權(quán)原則授予對組織資源的訪問權(quán)限。這樣的策略應(yīng)該確定組織的資源、用戶和這些用戶的訪問權(quán)限。

5. 監(jiān)控——為確保企業(yè)資源的適當(dāng)數(shù)據(jù)保護(hù)和安全，組織應(yīng)監(jiān)控這些資源以及對其采取的所有行動(dòng)。

6. 身份驗(yàn)證和授權(quán)——在授予對任何公司資源的訪問權(quán)限之前，組織應(yīng)該強(qiáng)制執(zhí)行動(dòng)態(tài)身份驗(yàn)證和授權(quán)。

7. 持續(xù)改進(jìn)——組織應(yīng)收集有關(guān)網(wǎng)絡(luò)資產(chǎn)、基礎(chǔ)設(shè)施和連接的當(dāng)前狀態(tài)的信息，以改善網(wǎng)絡(luò)的安全狀況。

值得注意的是，組織不必一次應(yīng)用所有這些零信任架構(gòu)設(shè)計(jì)原則。您可以將努力限制在實(shí)施最適合您需求的幾項(xiàng)原則上。

此外，網(wǎng)絡(luò)安全的零信任方法不需要完全替代傳統(tǒng)的基于邊界的網(wǎng)絡(luò)架構(gòu)。相反，它建議通過添加受網(wǎng)關(guān)保護(hù)的網(wǎng)段、改進(jìn)訪問策略和規(guī)則以及加強(qiáng)用戶活動(dòng)監(jiān)控措施來增強(qiáng)現(xiàn)有網(wǎng)絡(luò)。

而且由于零信任也有其局限性，因此在決定實(shí)施之前，您應(yīng)該考慮這種方法的優(yōu)點(diǎn)和缺點(diǎn)。

實(shí)施零信任的利弊

在構(gòu)建零信任架構(gòu)之前，請考慮這些好處和限制。與任何有前途的方法一樣，零信任有其強(qiáng)弱兩面。讓我們仔細(xì)看看在切換到零信任安全架構(gòu)之前應(yīng)該考慮的主要優(yōu)點(diǎn)和缺點(diǎn)。

首先，讓我們概述零信任方法的主要好處：

• 提高資源訪問可見性— 零信任安全方法要求您確定和分類所有網(wǎng)絡(luò)資源。這使組織能夠更好地了解誰出于何種原因訪問了哪些資源，并了解應(yīng)采取哪些措施來保護(hù)資源。
• 減少攻擊面——通過將重點(diǎn)轉(zhuǎn)移到保護(hù)個(gè)人資源上，實(shí)施零信任原則的組織面臨針對網(wǎng)絡(luò)外圍的黑客攻擊風(fēng)險(xiǎn)降低。
• 改進(jìn)監(jiān)控——實(shí)施零信任安全策略與部署用于持續(xù)監(jiān)控和記錄資產(chǎn)狀態(tài)和用戶活動(dòng)的解決方案相關(guān)聯(lián)，例如擊鍵記錄軟件。這使組織能夠更好地檢測潛在威脅并及時(shí)響應(yīng)。

但是，不能忽視零信任的一些缺點(diǎn)：

• 配置挑戰(zhàn)— 由于無法使用單一解決方案建立 ZTA，因此組織可能難以正確配置他們已經(jīng)使用的工具。例如，并非所有應(yīng)用程序都提供部署最小特權(quán)原則的方法，這是零信任理念的核心。
• 內(nèi)部威脅— 雖然顯著增強(qiáng)了對外部攻擊的保護(hù)，但 ZTA 并不能完全免疫內(nèi)部攻擊。如果攻擊者獲得合法用戶的憑據(jù)或惡意內(nèi)部人員濫用其權(quán)限，則組織的關(guān)鍵資源可能會(huì)面臨泄露風(fēng)險(xiǎn)。但是，這個(gè)問題可以通過PAM 方法部分解決，該方法具有即時(shí)管理、多因素身份驗(yàn)證 (MFA) 和手動(dòng)批準(zhǔn)訪問請求。
• 對策略決策點(diǎn)的依賴——ZTA 強(qiáng)烈依賴于策略管理員和策略引擎。未經(jīng)他們的批準(zhǔn)，無法建立與企業(yè)資源的連接。因此，整個(gè)網(wǎng)絡(luò)的性能將取決于這兩個(gè)組件的正確配置和維護(hù)。

好消息是您可以通過小步驟開始實(shí)施零信任方法，而 Ekran System 可以幫助您完成這項(xiàng)重要任務(wù)。

結(jié)論

構(gòu)建零信任架構(gòu)是一個(gè)復(fù)雜且持續(xù)的過程。但是，組織不必應(yīng)用所有零信任原則或同時(shí)實(shí)施它們。