本文深入評述了零信任架構，包括其優(yōu)勢、最佳實踐和常見的實施障礙。幫助您深入了解 ZTAA和ZTNA等零信任模型，并學習在基礎架構中應用零信任訪問控制所需的工具和技術。

01

什么是零信任？

零信任是一種現(xiàn)代安全模式，其設計原則是 "絕不信任，始終驗證"。它要求所有設備和用戶，無論他們是在組織網(wǎng)絡內(nèi)部還是外部，都必須經(jīng)過身份驗證、授權和定期驗證，才能被授予訪問權限。

簡而言之，"零信任 "就是 "在驗證之前不要相信任何人"。

零信任通過消除系統(tǒng)架構中的隱含信任來防止安全漏洞，要求在每個接入點進行驗證，而不是自動信任網(wǎng)絡內(nèi)的用戶。采用多層方法保護現(xiàn)代網(wǎng)絡環(huán)境，包括：

● 網(wǎng)絡分段

●  7 層威脅防范

● 簡化的細粒度用戶訪問控制

● 全面安全監(jiān)控

● 安全系統(tǒng)自動化

隨著遠程辦公、自帶設備（BYOD）和基于云計算的資產(chǎn)的興起，這些資產(chǎn)并不在企業(yè)擁有的網(wǎng)絡邊界內(nèi)，傳統(tǒng)的外圍安全就顯得力不從心。這就是零信任的由來。零信任架構（ZTA）在設計上不存在傳統(tǒng)的網(wǎng)絡邊界，摒棄了傳統(tǒng)的安全邊界模式（城堡護城河模式）。

從本質(zhì)上講，零信任安全不僅承認網(wǎng)絡內(nèi)外都存在威脅，而且假定入侵不可避免（或很可能已經(jīng)發(fā)生）。因此，零信任安全系統(tǒng)會持續(xù)監(jiān)控惡意活動，并將用戶訪問權限限制在工作所需的范圍內(nèi)。這樣就能有效防止用戶（包括潛在的壞人）通過網(wǎng)絡橫向移動，訪問任何未受限制的數(shù)據(jù)。

零信任安全可以多種方式應用，具體取決于你的架構設計和方法。

零信任網(wǎng)絡訪問（ZTNA）有時也被稱為 "軟件定義邊界"，是零信任模式最常見的實施方式。ZTNA 以微分段和網(wǎng)絡隔離為基礎，取代了對 VPN 的需求，在驗證和認證后允許訪問網(wǎng)絡。

根據(jù) Gartner 的定義，在 ZTNA 模式下，"通過信任代理將訪問限制在一組命名實體上。在允許訪問之前，代理驗證指定參與者的身份、上下文和政策遵守情況，并禁止網(wǎng)絡中其他地方的橫向移動"。這最大限度地減少了攻擊面，大大降低了安全風險。

零信任應用訪問（ZTAA）也基于零信任原則，但與 ZTNA 不同的是，它更進一步，不僅保護網(wǎng)絡，還保護應用。ZTAA 假定所有網(wǎng)絡都已被入侵，并限制對應用程序的訪問，直到用戶和設備經(jīng)過驗證后才可訪問。這種方法能有效阻止攻擊者進入網(wǎng)絡，并保護連接的應用程序。

零信任訪問是包含 ZTAA 和 ZTNA 的總體模式，可在整個架構（包括所有網(wǎng)絡和應用）中提供端到端的零信任。它提供基于身份的安全性，不僅考慮誰在網(wǎng)絡上，還考慮網(wǎng)絡上有什么--將零信任擴展到提供商本身。這樣，企業(yè)就能在真正的零信任環(huán)境中獲得全面的數(shù)據(jù)隱私保護。

02

零信任安全的歷史

John Kindervag 于 2010 年提出了最初的零信任模型。作為 Forrester Research 的首席分析師，Kindervag 意識到，傳統(tǒng)的訪問模式基于過時的假設，即企業(yè)應該信任其網(wǎng)絡內(nèi)的一切。當時的想法是，基于外圍的安全（即防火墻）足以驗證用戶訪問并完全確保網(wǎng)絡安全。

但是，隨著越來越多的員工開始通過各種類型的設備和各種連接遠程訪問系統(tǒng)，這種信任結構被證明不足以有效管理分布式員工。Kindervag 意識到了這一漏洞，并開發(fā)了零信任系統(tǒng)（Zero Trust）作為應對措施。

與此同時，谷歌也開始開發(fā)自己的零信任系統(tǒng)。谷歌創(chuàng)建了 BeyondCorp，用于將傳統(tǒng)的虛擬專用網(wǎng)絡 (VPN) 訪問策略遷移到一種新的基礎架構，在這種基礎架構中，沒有任何系統(tǒng)是可信的，所有端點都對訪問進行控制和監(jiān)控。后來，谷歌又開發(fā)了 BeyondProd，提供了一種零信任方法，用于在云優(yōu)先的微服務環(huán)境中安全地管理代碼部署。

Kindervag 的零信任模型和谷歌的 BeyondCorp 都圍繞著幾個主要原則：

細分

傳統(tǒng)網(wǎng)絡暴露了對所有數(shù)據(jù)資產(chǎn)、服務器和應用程序的直接訪問。零信任模式對這些資源的各個子集進行了細分，使用戶無法在不經(jīng)過嚴格控制的網(wǎng)關的情況下直接訪問這些資源。這有時被稱為 "網(wǎng)絡隔離"。微分段技術通過將工作負載相互隔離，使管理員可以監(jiān)控不同服務器和應用程序之間的信息流，而不僅僅是客戶端和服務器之間的信息流，從而進一步完善了這一概念。

訪問控制

無論用戶是身處辦公室還是遠程辦公，他們都只能訪問適合其各自角色的信息和資源。網(wǎng)絡的每個部分都應進行身份驗證和授權驗證，以確保流量來自經(jīng)過身份驗證和授權的用戶，而不論請求的位置或來源如何。

可見性

網(wǎng)關應檢查并記錄所有流量，管理員應定期監(jiān)控日志，確保用戶只嘗試訪問允許訪問的系統(tǒng)。通常，管理員會使用云訪問安全代理軟件來監(jiān)控用戶與云應用程序之間的流量，并在發(fā)現(xiàn)可疑行為時發(fā)出警告。

通過零信任模式，企業(yè)可以消除對網(wǎng)絡和資源的直接訪問，建立細粒度的訪問控制，并獲得對用戶行為和流量的可見性。但是，他們需要模型來指導實施。

谷歌為希望效仿 BeyondCorp 的企業(yè)提供了大量的文檔，為零信任設定了行業(yè)標準。然而，大多數(shù)公司發(fā)現(xiàn)，谷歌的方法在理論上很有趣，但在實踐中卻無法實現(xiàn)（它的實現(xiàn)本質(zhì)上需要對谷歌現(xiàn)有的網(wǎng)絡組件和全球架構進行剝離和替換）。相反，企業(yè)必須依靠第三方服務的組合來在其基礎設施中實施零信任架構。

03

零信任模式的基礎

零信任是一個集成的、端到端安全策略，基于三個核心原則：

永不信任，始終驗證

始終基于所有可用數(shù)據(jù)點進行身份驗證和授權，包括用戶身份、位置、設備、數(shù)據(jù)源、服務或工作負載。持續(xù)驗證意味著不存在可信區(qū)域、設備或用戶。

假設有漏洞

通過假設防御系統(tǒng)已經(jīng)被滲透，可以采取更強大的安全態(tài)勢來應對潛在威脅，從而在發(fā)生漏洞時將影響降到最低。通過分段訪問和減少攻擊面、驗證端到端加密，并實時監(jiān)控網(wǎng)絡，限制“爆炸半徑”——由入侵引起的潛在損害的范圍和范圍。

應用最低權限訪問

零信任遵循最低權限原則 (PoLP)，該原則限制任何實體的訪問權限，只允許執(zhí)行其功能所需的最小特權。換句話說，PoLP 可以防止用戶、帳戶、計算進程等在整個網(wǎng)絡中進行不必要的廣泛訪問。

以上原則為構建零信任架構 (ZTA) 奠定了基礎。

身份安全

身份是唯一描述用戶或?qū)嶓w的屬性或?qū)偌?。通常被稱為用戶安全，其中心是使用身份驗證和訪問控制策略來識別和驗證試圖連接到網(wǎng)絡的用戶。身份安全依賴于動態(tài)和上下文數(shù)據(jù)分析，以確保正確的用戶在正確的時間被允許訪問?；诮巧脑L問控制 (RBAC)和基于屬性的訪問控制 (ABAC) 將應用于該策略以授權用戶。

端點安全

與身份安全類似，端點(或設備)安全對嘗試連接到企業(yè)網(wǎng)絡的設備(包括用戶控制和自主設備，例如物聯(lián)網(wǎng)設備)執(zhí)行“記錄系統(tǒng)”驗證。其側重于在每個步驟中監(jiān)視和維護設備運行狀況。組織應該對所有代理設備(包括移動電話、筆記本電腦、服務器和物聯(lián)網(wǎng)設備)進行清點和保護，以防止未經(jīng)授權的設備訪問網(wǎng)絡。

應用程序安全

應用程序和工作負載安全包括本地和基于云的服務和系統(tǒng)。保護和管理應用層是成功采用零信任狀態(tài)的關鍵。安全性封裝了每個工作負載和計算容器，以防止跨網(wǎng)絡收集數(shù)據(jù)和未經(jīng)授權的訪問。

數(shù)據(jù)安全

側重于保護和強制訪問數(shù)據(jù)。為了做到這一點，數(shù)據(jù)被分類，然后與除需要訪問的用戶之外的所有人隔離。這個過程包括基于任務關鍵度對數(shù)據(jù)進行分類，確定數(shù)據(jù)應該存儲在哪里，并相應地開發(fā)數(shù)據(jù)管理策略，作為健壯的零信任方法的一部分。

可見性和分析

對與訪問控制、分段、加密和其他零信任組件相關的所有安全流程和通信的可見性提供了對用戶和系統(tǒng)行為的重要洞察。在此級別監(jiān)控網(wǎng)絡可改進威脅檢測和分析，同時能夠做出明智的安全決策并適應不斷變化的安全環(huán)境。

自動化

通過自動化在整個企業(yè)中一致地應用策略的手動安全流程來提高可擴展性、減少人為錯誤并提高效率和性能。

基礎設施安全

確保工作負載中的系統(tǒng)和服務免受未經(jīng)授權的訪問和潛在漏洞的影響。

網(wǎng)絡安全

側重于隔離敏感資源，防止未經(jīng)授權的訪問。這涉及實施微分段技術、定義網(wǎng)絡訪問以及加密端到端流量以控制網(wǎng)絡流量。這些原則為構建零信任架構（ZTA）奠定了基礎。

04

零信任的好處

一個有效實施的零信任模型應該超越安全性，它能讓企業(yè)更有效地運營，為每個人提供安全、細粒度的訪問，包括：

● 降低基礎設施的復雜性

● 在混合物理和云環(huán)境中工作

● 使用各種不同的設備和在不同的物理位置工作

● 遵守內(nèi)部和監(jiān)管標準

虛擬專用網(wǎng)絡（VPN）往往難以適配現(xiàn)代科技環(huán)境的復雜性。雖然零信任和VPN并不相互排斥，但許多組織在采用零信任模式后發(fā)現(xiàn)VPN并無必要。

VPN提供基于邊界的安全，可提供全網(wǎng)訪問；相比之下，ZTNA只允許在驗證和認證后訪問特定資源。與VPN相比，ZTNA通過減少攻擊面和實施更細粒度的控制，加強了內(nèi)部和外部網(wǎng)絡的安全性。此外，ZTNA還具有更高的靈活性和可擴展性，提高了資源利用率，減輕了IT壓力。

05

實施零信任網(wǎng)絡訪問的障礙

盡管零信任在安全方面的優(yōu)勢顯而易見，但當企業(yè)遷移到新的網(wǎng)絡安全模式時，可能會遇到重大障礙。即使使用第三方服務，許多企業(yè)仍難以成功實施零信任網(wǎng)絡訪問。

根據(jù) Cybersecurity Insiders 的一份報告，只有15%的公司已經(jīng)制定了零信任戰(zhàn)略，另有63%的公司打算在不久的將來制定戰(zhàn)略。同樣，在 2019 年進行的一項調(diào)查中顯示，只有 16% 的物理數(shù)據(jù)中心實施了零信任架構。

如果您的企業(yè)計劃采用零信任方法，就需要對這些潛在的挑戰(zhàn)進行預測和規(guī)劃。

適應復雜和混合環(huán)境

現(xiàn)代企業(yè)擁有高度復雜和分布式的基礎設施。IT 領導者面臨的挑戰(zhàn)是創(chuàng)建一個零信任戰(zhàn)略，以應對可能擁有數(shù)百個不同數(shù)據(jù)庫、服務器、代理、內(nèi)部應用程序和第三方 SaaS 應用程序的環(huán)境。更復雜的是，每種應用都可能在多個不同的物理和云數(shù)據(jù)中心運行，每個數(shù)據(jù)中心都有自己的網(wǎng)絡和訪問策略。

對于許多企業(yè)來說，要使網(wǎng)絡達到符合零信任協(xié)議的水平，需要進行大量的自定義配置和耗時的開發(fā)項目，這種負擔可能會促使組織走不可擴展或不安全的捷徑。

使用大雜燴工具

要在這樣的組織中建立支持零信任模式的基礎設施，就必須實施大量不同的微分隔工具、軟件定義的邊界工具和身份感知代理。這一系列工具可能包括VPN、多因素身份驗證（MFA）、設備審批、入侵防御系統(tǒng)（IPS）、單點登錄（SSO）解決方案等。

然而，其中許多系統(tǒng)都是針對云提供商、操作系統(tǒng)和設備的。許多組織不支持同質(zhì)的設備集，而是在多個云和物理數(shù)據(jù)中心運行，用戶同時使用 Mac 和 Windows，服務器運行多個 Linux 發(fā)行版或 Windows Server 版本，并支持各種不同的網(wǎng)絡連接設備。

這些工具的供應商往往要求企業(yè)購買冗余技術來支持所有這些環(huán)境。這些供應商還可能將重點放在網(wǎng)絡層，而不是將控制放在用戶和應用程序附近，從而增加不必要的復雜性。

從傳統(tǒng)系統(tǒng)過渡

圍繞隱式信任設計的傳統(tǒng)系統(tǒng)和第三方應用程序會帶來更多挑戰(zhàn)。企業(yè)通常無法在不重建的情況下，以符合零信任模式的方式配置傳統(tǒng)或第三方應用程序。管理員通常必須創(chuàng)建自己的框架和基礎設施來支持它們，這就增加了復雜性、時間和費用，而且需要各個層面的支持。

彌補安全漏洞

向零信任過渡可能會帶來安全漏洞，從而增加風險。大多數(shù)組織都是采取零敲碎打的方式，逐步實現(xiàn)零信任。雖然這有助于管理成本和資源，但也會帶來安全漏洞，尤其是在從傳統(tǒng)架構遷移的情況下。

管理成本限制

向 ZTA 遷移的成本可能會很高，尤其是在從傳統(tǒng)系統(tǒng)過渡的情況下。全面的零信任框架可能需要從頭開始構建基礎設施。這是一個長期、多階段的過程，需要大量的資源和時間。雖然這些成本可以通過漸進式采用得到一定程度的控制，但采用的速度和規(guī)?？赡苁且粋€挑戰(zhàn)。更不用說培訓人才和投入資源在實施后維護零信任架構的成本了。

即使在項目開發(fā)之后，企業(yè)也需要為持續(xù)維護預留資源。例如，微分區(qū)需要定期更新 IP 數(shù)據(jù)，并配置和驗證更改，以最大限度地減少用戶訪問。此外，當管理員將新系統(tǒng)和應用程序引入網(wǎng)絡時，他們必須以符合零信任協(xié)議的方式添加這些系統(tǒng)和應用程序，需要額外的框架開發(fā)。

平衡安全性與性能

零信任通過鎖定訪問權限，直到用戶通過驗證，將安全性放在首位。挑戰(zhàn)在于確保零信任訪問管理不會影響工作流程和性能。例如，如果員工改變了角色，他們需要更新對所需數(shù)據(jù)的訪問權限。如果不能快速識別這種角色變化，用戶就會被鎖定，無法訪問工作所需的關鍵文件，從而影響工作效率，給工作流程造成障礙。

決策因素

在大型企業(yè)中建立零信任模式需要主要利益相關者的支持，以確保正確的規(guī)劃、培訓和實施。該項目幾乎涉及組織中的每一個人，因此管理人員和領導者都必須就計劃達成一致。由于許多組織在實施此類變革時進展緩慢，單是決策因素因素就會給項目的成功實施帶來很大壓力。

06

如何實現(xiàn)零信任

現(xiàn)代訪問管理始于一個問題：誰有權訪問什么？

零信任的實施不會一蹴而就。通常情況下，現(xiàn)有的基礎設施可以集成到零信任方法中，但要達到成熟，大多數(shù)網(wǎng)絡都需要采用和集成更多的功能和流程。

事實上，循序漸進地采用零信任安全態(tài)勢可以降低風險，從最初的規(guī)劃到基本、中級和高級階段，零信任成熟度模型能夠逐步改善網(wǎng)絡安全保護、響應和運行。

向零信任遷移需要全面了解網(wǎng)絡架構的當前狀態(tài)，包括其所有資產(chǎn)（包括物理和虛擬資產(chǎn)）、主體和業(yè)務流程。如果這些信息不完整，企業(yè)的網(wǎng)絡安全就會存在盲點。通過對網(wǎng)絡的當前狀態(tài)進行全面審計和分析，您就可以規(guī)劃出需要采取哪些措施來優(yōu)化網(wǎng)絡，來實現(xiàn)理想的零信任。

美國國家標準與技術研究院（NIST）概述了遷移到零信任架構的六個步驟。

識別企業(yè)中的行為者

誰是你的主體和用戶？為了讓零信任發(fā)揮作用，需要知道誰是你的企業(yè)主體以及他們的訪問權限。注意擁有特殊權限的用戶，比如開發(fā)人員或系統(tǒng)管理員，一般開通對傳統(tǒng)系統(tǒng)的空白訪問權限。零信任應該允許這些用戶有足夠的靈活性，同時應用日志和審計操作來驗證和確認訪問。

識別企業(yè)擁有的資產(chǎn)

零信任架構還需要能夠識別和管理資產(chǎn)和設備。這些資產(chǎn)包括筆記本電腦、手機和物聯(lián)網(wǎng)設備等硬件組件，以及用戶賬戶和應用程序等數(shù)字工件。管理企業(yè)資產(chǎn)不僅涉及編目，還包括配置管理和監(jiān)控。

確定關鍵流程并評估與執(zhí)行相關的風險

下一步是對業(yè)務流程和數(shù)據(jù)進行清點和排序。業(yè)務流程應告知如何批準和拒絕資源訪問請求。

為候選 ZTA 制定政策

初始ZTA遷移的目標服務或流程取決于多個因素，包括：

● 流程對組織的重要性

● 受影響的對象群體

● 工作流程所用資源的當前狀態(tài)

根據(jù)風險評估資產(chǎn)和工作流程的價值?？紤]工作流程使用或影響的所有上游資源、下游資源和實體。這些都會影響哪些資產(chǎn)被選為候選遷移資產(chǎn)。

確定候選解決方案

確定潛在候選清單后，創(chuàng)建并考慮實施零信任策略的解決方案清單。在確定哪些候選方案最適合遷移時，請牢記各種零信任原則和要求。

初始部署和監(jiān)控

選定候選工作流程并確定要應用哪些ZTA解決方案后，就可以開始部署了。這將是一個迭代過程，需要觀察和監(jiān)控新的解決方案，根據(jù)需要更新工作流程。

07

零信任的最佳實踐

嚴格執(zhí)行身份驗證和授權

所有資源都必須經(jīng)過驗證和身份驗證。這通常包括使用多因素身份驗證 (MFA) 等技術來授予訪問權限，而不是基于隱式信任進行操作。

維護數(shù)據(jù)完整性

衡量和監(jiān)控所有自有資產(chǎn)的安全性，以確保數(shù)據(jù)完整性并減少網(wǎng)絡威脅。

收集數(shù)據(jù)以提高安全性

定期從多個來源收集數(shù)據(jù)，如網(wǎng)絡基礎設施和通信，以不斷調(diào)整和改進安全態(tài)勢。

將每個數(shù)據(jù)源和計算設備都視為資源

任何可以訪問網(wǎng)絡的設備都應視為資源。無論網(wǎng)絡位置如何，都要確保所有通信的安全-位置不再意味著信任。通過外部或內(nèi)部網(wǎng)絡連接的用戶和設備必須滿足相同的安全要求才能獲得訪問權限。

按會話授予資源訪問權限

強制執(zhí)行最低權限，要求用戶為每個會話申請訪問權限。

使用動態(tài)策略適度訪問

使用透明的動態(tài)安全策略保護資源，以適應網(wǎng)絡及其用戶不斷變化的需求。

08

南凌科技零信任解決方案

南凌科技零信任解決方案，以身份驅(qū)動網(wǎng)絡行為，動態(tài)驗證、持續(xù)保護，對客戶端進行全方位、無處不在的安全管控，實現(xiàn)對電腦、手機等多終端的網(wǎng)絡安全保護，具備強大的兼容性，方便安裝，幫助企業(yè)構建端到端的安全訪問體系，提升業(yè)務訪問效率，應對辦公安全風險。

方案價值

● 持續(xù)動態(tài)驗證

基于零信任原則的安全訪問，可持續(xù)動態(tài)檢測訪問行為，極大降低企業(yè)在應用訪問和數(shù)據(jù)傳輸中面臨的安全挑戰(zhàn)。

● 統(tǒng)一安全策略

從身份授權到終端管理、安全防護、預警與溯源，端到端的閉環(huán)式安全訪問體系強化整體安全狀況。

● 最佳用戶體驗

高效易用，VPN一鍵連接；智能易管，自服務網(wǎng)絡診斷；合規(guī)安全，終端安全基線準入。

目前，南凌科技零信任終端——凌云星連APP已上線，結合南凌科技骨干網(wǎng)資源與運營服務，為客戶提供“云網(wǎng)安”一體化SASE解決方案。

南凌科技將安全和服務作為企業(yè)高質(zhì)量發(fā)展的差異化增長極，厚植安全運營能力，為客戶提供更多高質(zhì)量、高價值的服務。