目前，企業(yè)的零信任安全建設已從理論和技術(shù)探索階段，正式邁入了零信任的應用實踐和快速發(fā)展階段。而根據(jù)NIST的定義：零信任安全是一種覆蓋端到端安全性的網(wǎng)絡安全體系，包含身份、訪問、操作、終端、與基礎設施環(huán)境。其中，端點安全將是企業(yè)零信任體系建設的重要部分。

由于端點設備承載著企業(yè)組織大量業(yè)務數(shù)據(jù)的產(chǎn)生、使用和流轉(zhuǎn)，隨著其應用的多樣化和復雜化，特別是云上端點應用的大量增加，導致了企業(yè)端點安全威脅態(tài)勢不斷惡化，企業(yè)安全運營團隊面臨著比預期中更大的安全挑戰(zhàn)。

2023年，企業(yè)在零信任安全建設中，只有進一步提升端點安全的防護能力，才能確保整體建設目標的實現(xiàn)。在此背景下，傳統(tǒng)端點安全技術(shù)由于面臨全面性、兼容性、智能化等應用挑戰(zhàn)，正在被新的防護需求與理念重新定義。企業(yè)應該根據(jù)零信任框架要求和最小化訪問授權(quán)原則，推動新一代端點安全的能力建設與應用優(yōu)化。

01確定身份優(yōu)先的安全原則

據(jù)CrowdStrike發(fā)布的《2023年全球威脅報告》指出：身份是組織最寶貴的資產(chǎn)之一，含有豐富的個人數(shù)據(jù)。目前，基于身份的端點安全攻擊激增。而確保身份安全是構(gòu)建穩(wěn)健零信任安全框架的核心。要在零信任環(huán)境下定義端點安全，首先要認識到端點安全和身份管理系統(tǒng)融合的價值和必要性。每家企業(yè)的端點設備上都會有很多個數(shù)字身份，包括從端點訪問的應用程序、API接口、平臺和使用者，以及設備本身的數(shù)字身份。

新一代端點安全方案，需要以實現(xiàn)身份安全作為優(yōu)先原則，在完善數(shù)據(jù)采集、提升數(shù)據(jù)質(zhì)量、增強數(shù)據(jù)分析能力以及在保護身份方面進行更快速的創(chuàng)新。

02實現(xiàn)持續(xù)的監(jiān)控和驗證

實現(xiàn)端點設備的持續(xù)監(jiān)控和驗證對于獲得可靠可擴展的零信任框架至關(guān)重要，從端點設備上獲取的監(jiān)控數(shù)據(jù)，對于識別潛在的入侵和破壞活動非常寶貴。企業(yè)組織需要能夠?qū)崟r監(jiān)控、驗證和跟蹤每個端點的安全運行狀態(tài)，發(fā)現(xiàn)可能的安全威脅。在目前最新的端點安全方案中，都能夠?qū)崿F(xiàn)較完善的監(jiān)控管理服務，比例思科的SecureX和身份服務引擎（ISE），微軟公司的Azure Active Directory和Defender，CrowdStrike公司的Falcon平臺、Okta公司的Identity Cloud，以及Palo Alto 的Prisma Access解決方案。

03自動化的漏洞管理與端點彈性

攻擊者會掃描企業(yè)擁有的每個端點設備，以發(fā)現(xiàn)其中沒有受到保護或配置錯誤的薄弱端口。而研究人員發(fā)現(xiàn)，過度配置的端點與沒有實施任何安全措施的端點一樣易受攻擊。因此，需要為端點設備提供更大的彈性，來幫助緩解端點安全漏洞管理復雜和混亂的現(xiàn)狀現(xiàn)象。

根據(jù)零信任的理念定義，端點設備應該能夠根據(jù)安全態(tài)勢變化自行關(guān)閉，并驗證其核心組件的安全性，當發(fā)現(xiàn)存在安全漏洞時，端點將能夠自動執(zhí)行補丁版本控制，并在沒有人干預的情況下重置為經(jīng)過優(yōu)化的配置。在零信任的環(huán)境下，端點設備自動化的漏洞管理與修復能力對于安全團隊是不可或缺的，因為他們現(xiàn)在正面臨著時間緊張的問題?？紤]到做好漏洞管理的重要性，采用數(shù)據(jù)驅(qū)動的自動化方法將會給企業(yè)帶來幫助。

04端點隔離與攻擊面管理

以目標為導向是零信任方面變得更強大的關(guān)鍵，其假設入侵和闖入活動在任何情況下都會存在。而端點安全是企業(yè)零信任安全建設的第一道防線，攻擊者只要突破了一個端點，就有機會控制企業(yè)整個的信息化基礎設施及寶貴數(shù)據(jù)資產(chǎn)。

因此，在新一代端點安全建設中，需要通過應用微隔離策略，端點設備的隔離和攻擊面管理。正如NIST的零信任框架所定義，微隔離是零信任的關(guān)鍵組成部分，其將網(wǎng)絡劃分為最小化的孤立網(wǎng)段，減小端點系統(tǒng)的攻擊面，并提高數(shù)據(jù)和業(yè)務資源的安全性。通過微隔離技術(shù)，企業(yè)還可以迅速識別和隔離網(wǎng)絡上的可疑活動。在一些較先進的微隔離技術(shù)方案中，可以將端點上的每個數(shù)字身份都視為單獨的實體，并根據(jù)上下文信息執(zhí)行訪問的細粒度策略控制，有效地防止了任何危險的橫向移動。

05向一體化安全能力演進

研究數(shù)據(jù)顯示，2023年的端點安全威脅正變得比CISO們預期的更具挑戰(zhàn)性，與此同時，很多企業(yè)還面臨安全預算縮減和提升投資回報率的要求。在此背景下，實現(xiàn)各種端點安全能力的融合才是真正保障客戶利益的最大化。在Gartner發(fā)布的《2022年端點安全技術(shù)成熟度曲線報告》中，也再次指出：傳統(tǒng)的單點式端點安全建設面臨巨大挑戰(zhàn)，需要向多種功能融合的UES方向邁進，單獨的EDR、DLP、微隔離、EPP等安全防護功能最終會融入到一體化解決方案中，其本質(zhì)原因還在于端點安全需要立體化、縱深化、智能化防御，任何一方面的短板都會組織造成巨大的損失。