组织越来越多地实施零信任策略以增强其数字安全状况。根据《信息安全杂志》的统计，有15％的组织表示他们在2019年底之前实施了零信任策略。另有59％的参与者表示，他们打算在未来12个月内实施。
要了解为什么如此众多的组织涌向零信任，首先要深入了解零信任策略的好处。看看它如何帮助企业应对不断演变的数字安全挑战。只有这样，才有可能权衡零信任安全的优点和缺点，以便组织可以建立有效的零信任策略来满足其安全性和业务需求。
什么是零信任？
零信任是一种以限制对敏感数据访问的法律为基础的数字安全方法。零信任通过默认情况下不信任任何用户、设备或帐户来实现这一点。这种方法要求安全团队验证并授权与企业内部以及整个企业之间的每个连接。
在这个框架中，零信任响应了数字安全挑战的演变，而不是传统的外围安全模型所能提供的。这样古老的安全理念基于这样一个假设：威胁来自网络外部，所有内部用户，设备和应用程序都可以被信任。随后，组织可以简单地部署防火墙，虚拟专用网络（VPN）和网络访问控制（NAC），以便将计算机犯罪分子拒之门外，同时为内部用户提供不受限制的网络访问权限。
但是，时代已经改变。许多组织已经经历了数字化转型的过程，在这些过程中，他们已经将部分资产迁移到了IT无法直接控制的云基础架构中。他们还将远程访问扩展到供应商，承包商，销售公司和全职员工，以寻求增强灵活性和适应未来业务挑战的能力。
COVID-19的出现就是一个例子。为了应对这种大流行，许多组织都要求其员工开始在家中工作以产生社会距离。由于无法访问办公室资源，这些远程工作的员工别无选择，只能使用家庭网络和设备完成工作。这种转变迫使企业将更多的工作负载迁移到云端，以容纳所有这些远程连接，这一举措引入了更多需要验证的一对一网络交互。
权衡零信任的优势和劣势
零信任的主要好处在于其从头开始建立信任的理念。安全团队主要授权哪些可以连接到业务，而不允许所有其他连接。通过此方法，安全专业人员可以获取与组织连接的所有内容的可见性并删除不受信任的访问点来减少组织的受攻击面。它还需要使用其他数字安全控件来提供上下文并限制该连接可以访问的内容，持续验证该连接的完整性。
然而，零信任安全确实伴随着许多挑战。其中许多障碍都是由有助于减少外围安全模型的相关性的相同发展造成的。组织不能简单地定义关于网络的内部/外部二进制文件中的信任。Threatpost建议扩展他们对信任的理解。这里有五个不同的方面：设备，用户，网络访问，应用程序和数据。
值得花一些时间探讨信任与以下各个方面之间的关系：
- 设备：安全团队无法保护他们所不知道的东西。尽管如此，他们需要有一种方法来建立环境中所有硬件和软件的库存。此外，他们必须具备能够根据安全策略监控和控制所有经批准的设备的能力。然后，他们可以利用这种能力来拒绝未经批准的设备。
- 用户：一组凭据提供了对用户进行身份验证的方法。但是，黑客可以破坏用户名和密码，从而通过在受保护的系统上进行身份验证来冒充用户。因此，组织必须实施更安全的用户身份验证和标识方法，这些方法使用上下文和其他安全措施来帮助进一步尝试登录验证的个人。
- 网络访问：用户一旦获得对系统的访问权限，就不应该获得外围安全模型所授予的相同类型的无限访问自由。否则，他们可能选择访问敏感资产，从而危害组织的数据。为了降低与内部威胁和其他数字攻击相关的风险，组织需要限制用户可以访问的内容。他们应特别限制用户只能访问其履行工作职责所需的那些网络资产。
- 应用程序：组织必须确保用户可以从任何经批准的设备访问工作所需的应用程序。这个过程与第一点有关，即建立已知硬件和软件的库存。为了有效，该计划应考虑到承包商，供应商和其他第三方可能造成的临时连接。
- 数据：最后，组织需要确保数据仍然受到保护。此步骤使他们不仅可以确保其数据的完整性，以便整个工作人员都可以使用正确的信息。它还要求安全团队实施解决方案，以防止黑客从网络外部获取正确的数据并将其用于恶意目的。
如何建立零信任网络
组织可以通过首先确定他们需要多少零信任来开始建立零信任策略。现实情况是，不可能在整个组织中实现100％的零信任。IT体系结构的变化；每天都会增加新的用户，应用程序和资源；业务目标不断发展。零信任应该专注于阻止你能做的事情，这样你就可以将安全工作集中在更复杂的问题上，而不必承担业务费用。
组织应对其安全工作具有战略性。在攻击面而不是保护面上建立零信任，即组织最有价值的数据，应用程序，资产和服务。客户的信用卡详细信息，受保护的健康信息，知识产权，工业资产，医疗设备和IoT设备通常属于此类。
如果组织希望建立提供足够保护水平的零信任网络，则组织必须了解流量在其网络中的移动方式。随后，他们的安全团队需要记录特定数据资源如何与其他资产进行交互。完成此步骤将产生上下文。从那里，安全团队可以开始创建新的安全策略并修改现有策略以适应零信任。
在此阶段，组织可以构建零信任网络的体系结构。他们应该首先使用下一代防火墙来实现微分段。这将允许他们隔离并安排其网段。它还将有助于限制攻击者滥用东西方流量以在整个网络中横向移动的目的，尽管这并不一定会阻止他们首先通过南北流量进入网络。创建了这些网段之后，组织便可以开始实施必要的安全控制以实施零信任。
Help Net Security指出，组织尤其应在此阶段部署六个安全控件：多因素身份验证（MFA），设备验证，最小特权原则，网络监控和基于属性的控制。下面提供了有关这些安全措施如何工作的更多信息。
- MFA： 一组受损的凭据可能会使黑客具有将自己身份验证为受信任用户的能力。然后，他们可能滥用该用户的特权来在网络中移动并访问敏感资产。作为回应，组织应寻求实施MFA，以便在用户验证过程中增加另一个因素。在实施针对零信任的MFA时，组织应考虑在零信任策略内为所有远程接入点部署MFA，以及使用支持生物特征行为分析的MFA解决方案。
- 设备验证： 组织不能固有地信任受信任用户访问的每台设备。即使用户可能值得信任，但他们的设备也可能构成安全风险。这就是为什么安全团队必须单独验证所有设备，以及提供对已批准资产状态的持续跟踪。
- 最小特权原则： 并非每个用户都需要访问组织的财务记录。任何用户也不应事先授权审查本组织的知识产权。认识到这些现实，各组织应通过限制用户对其工作职能必不可少的网络访问来执行最低特权原则。
- 网络监控： 有时网络中发生意外活动。这种行为本质上可能是良性的。但是，有可能是恶意活动的迹象。这就是组织需要通过记录和分析网络流量来实现网络可见性的原因。安全团队还应该使用诸如行为分析之类的工具，将异常的用户行为与已知的威胁指标相关联。
- 基于属性的控制： 组织必须具有一种实时阻止可疑事件的方法，这一点很重要。这就是基于属性的控制的用处。通过基于与用户，资源，设备等相关联的属性创建安全策略，安全团队可以从根本上创建基于策略的访问，在其中执行自动化网络连接。
- 社区参与： 随着组织继续微调其零信任安全控制，他们应该与所有用户和部门合作，创建考虑到他们的需求和偏好的安全策略。这应该是一个过程，而不是一个明确的行动方针。组织应不断修订安全策略，以应对威胁形势的发展以及企业及其员工不断变化的安全需求。作为正在进行的过程的一部分，组织还应该使用安全意识培训计划来教育所有用户这些安全措施。
有了这些基本控制措施，组织就可以最终确定其零信任治理模型。这就要求他们使用监控解决方案和自动化功能，以便他们能够尽快响应事件。还需要随着组织需求的变化以及网络的不断发展，不断衡量，审查和改进其零信任网络。
与时俱进
组织可以信任网络中存在的任何东西的时代已经一去不复返了。零信任伴随着公平的挑战。但是组织不必为了开始实现它的好处而一次实现这个原则的许多方面。与任何安全措施一样，归结为每个组织如何确定优先级并实施其零信任策略，以及如何随着时间的推移并以最能支持其业务增长的方式推进该策略。
文章来源: https://securityintelligence.com/articles/zero-trust-boost-digital-security/
历史文章