建立零信任IT環(huán)境的5個步驟

雷英

零信任不是產(chǎn)品或服務(wù)，當(dāng)然也不僅是流行語。相反，它是網(wǎng)絡(luò)安全防御的一種特殊方法。顧名思義，不是“先驗證，后信任”，而是“永遠不要信任，永遠要驗證”。

本質(zhì)上，零信任是通過限制數(shù)據(jù)訪問來保護數(shù)據(jù)。無論是否在網(wǎng)絡(luò)范圍之內(nèi)，企業(yè)都不會自動信任任何人或任何事物。零信任方法要求在授予訪問權(quán)限之前，對試圖連接到企業(yè)的應(yīng)用程序或系統(tǒng)的每個人、設(shè)備和帳戶等進行驗證。

然而，網(wǎng)絡(luò)安全系統(tǒng)設(shè)計之初不是已有這個功能了嗎？難道零信任只是在此基礎(chǔ)上增加某些額外的控件？

的確，零信任框架包括許多企業(yè)廣泛使用的數(shù)據(jù)保護技術(shù)。但是，零信任代表著一個清晰的支點，即如何思考網(wǎng)絡(luò)安全防御。這種方法不僅可以保護整個企業(yè)，而且還可以將該范圍擴大到組織內(nèi)外的每個網(wǎng)絡(luò)、系統(tǒng)、用戶和設(shè)備。利用強大的身份、多因素身份驗證、受信任的端點、網(wǎng)絡(luò)分段、訪問控制和用戶規(guī)則來分隔和規(guī)范敏感數(shù)據(jù)以及系統(tǒng)訪問，從而讓零信任成為可能。

簡而言之，零信任是一種新的思考網(wǎng)絡(luò)安全方法，可幫助組織在瞬息萬變的安全威脅形勢下保護其數(shù)據(jù)、客戶和自己的競爭優(yōu)勢。

網(wǎng)絡(luò)安全零信任正恰逢其時

企業(yè)高管已經(jīng)感受到保護企業(yè)系統(tǒng)和數(shù)據(jù)的壓力了。投資者和數(shù)據(jù)主體（客戶和消費者）也堅持要求有更好的數(shù)據(jù)安全。某些數(shù)據(jù)和應(yīng)用程序為本地部署，而某些則在云中，安全問題將變得更加復(fù)雜，從員工到承包商和合作伙伴，每個人都在使用多個位置的各種設(shè)備來訪問這些應(yīng)用程序。同時，政府和行業(yè)法規(guī)也在提高保護重要數(shù)據(jù)的要求，零信任可以幫助企業(yè)滿足這些合規(guī)要求。

零信任網(wǎng)絡(luò)安全技術(shù)

零信任背后的技術(shù)正在迅速發(fā)展，這也讓該方法如今更加實用。實現(xiàn)零信任網(wǎng)絡(luò)安全框架的方法不是單一的，也不僅只是一種技術(shù)，而是需要多種技術(shù)，這樣才可以確保只有經(jīng)過安全驗證的用戶和設(shè)備才能訪問目標(biāo)應(yīng)用程序和數(shù)據(jù)。

例如，基于“最低特權(quán)”的原則授予訪問權(quán)限，僅為用戶提供完成工作所需的數(shù)據(jù)。這包括實施到期特權(quán)和一次性使用的憑證，這些憑證在不需要訪問后會被自動吊銷。此外，將連續(xù)檢查和記錄流量，并限制訪問范圍，以防止數(shù)據(jù)在系統(tǒng)和網(wǎng)絡(luò)之間進行未經(jīng)授權(quán)的橫向移動。

零信任框架使用多種安全技術(shù)來增加對敏感數(shù)據(jù)和系統(tǒng)的訪問粒度。比如，身份和訪問管理（IAM）、基于角色身份的訪問控制（RBAC）、網(wǎng)絡(luò)訪問控制（NAC）、多因素身份驗證（MFA）、加密、策略執(zhí)行引擎、策略編排、日志記錄、分析以及評分和文件系統(tǒng)權(quán)限。

同樣重要的是，可以使用技術(shù)標(biāo)準(zhǔn)和協(xié)議來支持零信任方法。云安全聯(lián)盟（CSA）開發(fā)了一種稱為軟件定義邊界（SDP）的安全框架，該框架已應(yīng)用于某些零信任措施?；ヂ?lián)網(wǎng)工程任務(wù)組（IETF）通過批準(zhǔn)主機標(biāo)識協(xié)議（HIP）為零信任安全模型做出了貢獻，該協(xié)議代表了OSI堆棧中的新安全網(wǎng)絡(luò)層。在這些進步的技術(shù)基礎(chǔ)上，許多供應(yīng)商逐漸將零信任解決方案推向市場。

基于這些技術(shù)、標(biāo)準(zhǔn)和協(xié)議，組織可以使用3種不同的方法來實現(xiàn)零信任安全：

網(wǎng)絡(luò)微分段，將網(wǎng)絡(luò)刻畫到小的粒度節(jié)點，一直到某個設(shè)備或應(yīng)用程序。安全協(xié)議和服務(wù)交付模型是為每個單獨的細分市場設(shè)計的。

SDP，基于一種“需要了解”的策略，即在授予對應(yīng)用程序基礎(chǔ)結(jié)構(gòu)的訪問權(quán)限之前，先驗證設(shè)備的狀態(tài)和身份。

零信任代理，可充當(dāng)客戶端和服務(wù)器之間的中繼，有助于防止攻擊者入侵專用網(wǎng)絡(luò)。

在特定情境中哪種方法最佳，取決于保護對象是哪些應(yīng)用程序，當(dāng)前的基礎(chǔ)架構(gòu)如何，是在未開發(fā)的環(huán)境中還是傳統(tǒng)環(huán)境中進行等多種因素。

構(gòu)建零信任環(huán)境的5個步驟

建立零信任框架并不意味著一定需要完全的技術(shù)轉(zhuǎn)型。通過使用以下這些循序漸進的方法，企業(yè)以可控的、迭代的方式進行，從而幫助獲取最佳效果，同時對用戶和操作系統(tǒng)的干擾降到最低。

（1）界定保護表面范圍。零信任環(huán)境下，企業(yè)不會專注于攻擊表面，而只會專注于保護表面，專注于對公司最有價值的關(guān)鍵數(shù)據(jù)、應(yīng)用程序、資產(chǎn)和服務(wù)。保護表面，比如信用卡信息、受保護的健康信息、個人身份信息、知識產(chǎn)權(quán)、應(yīng)用程序（現(xiàn)成的或定制的軟件）、SCADA控件、銷售點終端、醫(yī)療設(shè)備、制造資產(chǎn)和IoT設(shè)備等資產(chǎn)以及DNS，DHCP，Active Directory等服務(wù)。

一旦界定保護面后，可以將控件盡可能地移近它，附上限制性的、精確的和可理解的策略聲明，以此創(chuàng)建一個微邊界（或分隔的微邊界）。

（2）記錄事務(wù)流量。流量在網(wǎng)絡(luò)中的傳輸方式?jīng)Q定了它的保護方式。因此，獲得有關(guān)DAAS相互依賴關(guān)系的上下文信息十分重要。記錄特定資源的交互方式有助于適當(dāng)加強控制并提供有價值的上下文信息，確保最佳的網(wǎng)絡(luò)安全環(huán)境，同時對用戶和業(yè)務(wù)運營的干擾降到最低。

（3）構(gòu)建零信任IT網(wǎng)絡(luò)。零信任網(wǎng)絡(luò)完全可以自定義，而不僅是一個通用的設(shè)計，而且該體系結(jié)構(gòu)主要圍繞保護表面構(gòu)建。一旦定義了保護表面并根據(jù)業(yè)務(wù)需求記錄了流程，就可以從下一代防火墻開始制定零信任架構(gòu)。下一代防火墻充當(dāng)分段網(wǎng)關(guān)，在保護表面周圍創(chuàng)建一個微邊界，對任何嘗試訪問保護表面內(nèi)的對象使用分段網(wǎng)關(guān)，可以強制執(zhí)行附加的檢查和訪問控制層，一直到第7層。

（4）創(chuàng)建零信任安全策略。構(gòu)建網(wǎng)絡(luò)后，將需要創(chuàng)建零信任策略來確定訪問流程。訪問用戶對象、訪問應(yīng)用程序、訪問原因、傾向的這些應(yīng)用程序連接方式以及可以使用哪些控件來保護該訪問，這些問題都要提前了解。使用這種精細的策略實施級別，可以確保僅允許已知的流量或合法的應(yīng)用程序連接。

（5）監(jiān)視和維護網(wǎng)絡(luò)。這是最后一步，包括檢查內(nèi)部和外部的所有日志，并側(cè)重于零信任的操作方面。由于零信任是一個反復(fù)的過程，因此檢查和記錄所有流量將大大有益，可提供寶貴的參考，以了解如何隨著時間的推移改進網(wǎng)絡(luò)。

其他注意事項和優(yōu)秀實踐

對于考慮采用零信任安全模型的企業(yè)，以下是一些其他的注意事項：

選擇架構(gòu)或技術(shù)之前，確保具有正確的策略。零信任是以數(shù)據(jù)為中心的，因此，重要的是考慮數(shù)據(jù)的位置，需要訪問的人以及可以使用哪種方法來保護數(shù)據(jù)。Forrester建議將數(shù)據(jù)分為3類———公開、內(nèi)部和機密，組建帶有微邊界的“數(shù)據(jù)塊”。

從小處著手積累經(jīng)驗。為整個企業(yè)實施零信任的規(guī)模和范圍可能是巨大的。例如，谷歌花了7年時間才實施自己的BeyondCorp項目。

考慮用戶體驗。零信任框架不必破壞員工的正常工作流程，即使他們（及其設(shè)備）正受到訪問權(quán)限驗證的審查。有些過程在后臺進行，或許用戶根本看不到。

對用戶和設(shè)備身份驗證實施強有力的措施。零信任的基礎(chǔ)在于，在完全驗證為有權(quán)訪問內(nèi)部資源之前，沒有任何人、任何設(shè)備可以信任。因此，基于強身份、嚴(yán)格的身份驗證和非持久權(quán)限的企業(yè)范圍IAM系統(tǒng)是零信任框架的關(guān)鍵構(gòu)建塊。

將零信任框架納入數(shù)字化轉(zhuǎn)型項目。重新設(shè)計工作流程時，還可以轉(zhuǎn)換安全模型。

當(dāng)下是采用零信任安全模型最好的時候。技術(shù)已經(jīng)成熟，協(xié)議和標(biāo)準(zhǔn)已經(jīng)確定，對于新的安全性方法的需求不容忽視。