本文深入評述了零信任架構，包括其優勢、最佳實踐和常見的實施障礙。幫助您深入了解 ZTAA和ZTNA等零信任模型，并學習在基礎架構中應用零信任訪問控制所需的工具和技術。
01
什么是零信任？
零信任是一種現代安全模式，其設計原則是 "絕不信任，始終驗證"。它要求所有設備和用戶，無論他們是在組織網絡內部還是外部，都必須經過身份驗證、授權和定期驗證，才能被授予訪問權限。
簡而言之，"零信任 "就是 "在驗證之前不要相信任何人"。
零信任通過消除系統架構中的隱含信任來防止安全漏洞，要求在每個接入點進行驗證，而不是自動信任網絡內的用戶。采用多層方法保護現代網絡環境，包括：
● 網絡分段
● 7 層威脅防范
● 簡化的細粒度用戶訪問控制
● 全面安全監控
● 安全系統自動化
隨著遠程辦公、自帶設備（BYOD）和基于云計算的資產的興起，這些資產并不在企業擁有的網絡邊界內，傳統的外圍安全就顯得力不從心。這就是零信任的由來。零信任架構（ZTA）在設計上不存在傳統的網絡邊界，摒棄了傳統的安全邊界模式（城堡護城河模式）。
從本質上講，零信任安全不僅承認網絡內外都存在威脅，而且假定入侵不可避免（或很可能已經發生）。因此，零信任安全系統會持續監控惡意活動，并將用戶訪問權限限制在工作所需的范圍內。這樣就能有效防止用戶（包括潛在的壞人）通過網絡橫向移動，訪問任何未受限制的數據。
零信任安全可以多種方式應用，具體取決于你的架構設計和方法。
零信任網絡訪問（ZTNA）有時也被稱為 "軟件定義邊界"，是零信任模式最常見的實施方式。ZTNA 以微分段和網絡隔離為基礎，取代了對 VPN 的需求，在驗證和認證后允許訪問網絡。
根據 Gartner 的定義，在 ZTNA 模式下，"通過信任代理將訪問限制在一組命名實體上。在允許訪問之前，代理驗證指定參與者的身份、上下文和政策遵守情況，并禁止網絡中其他地方的橫向移動"。這最大限度地減少了攻擊面，大大降低了安全風險。
零信任應用訪問（ZTAA）也基于零信任原則，但與 ZTNA 不同的是，它更進一步，不僅保護網絡，還保護應用。ZTAA 假定所有網絡都已被入侵，并限制對應用程序的訪問，直到用戶和設備經過驗證后才可訪問。這種方法能有效阻止攻擊者進入網絡，并保護連接的應用程序。
零信任訪問是包含 ZTAA 和 ZTNA 的總體模式，可在整個架構（包括所有網絡和應用）中提供端到端的零信任。它提供基于身份的安全性，不僅考慮誰在網絡上，還考慮網絡上有什么--將零信任擴展到提供商本身。這樣，企業就能在真正的零信任環境中獲得全面的數據隱私保護。
02
零信任安全的歷史
John Kindervag 于 2010 年提出了最初的零信任模型。作為 Forrester Research 的首席分析師，Kindervag 意識到，傳統的訪問模式基于過時的假設，即企業應該信任其網絡內的一切。當時的想法是，基于外圍的安全（即防火墻）足以驗證用戶訪問并完全確保網絡安全。
但是，隨著越來越多的員工開始通過各種類型的設備和各種連接遠程訪問系統，這種信任結構被證明不足以有效管理分布式員工。Kindervag 意識到了這一漏洞，并開發了零信任系統（Zero Trust）作為應對措施。
與此同時，谷歌也開始開發自己的零信任系統。谷歌創建了 BeyondCorp，用于將傳統的虛擬專用網絡 (VPN) 訪問策略遷移到一種新的基礎架構，在這種基礎架構中，沒有任何系統是可信的，所有端點都對訪問進行控制和監控。后來，谷歌又開發了 BeyondProd，提供了一種零信任方法，用于在云優先的微服務環境中安全地管理代碼部署。
Kindervag 的零信任模型和谷歌的 BeyondCorp 都圍繞著幾個主要原則：
細分
傳統網絡暴露了對所有數據資產、服務器和應用程序的直接訪問。零信任模式對這些資源的各個子集進行了細分，使用戶無法在不經過嚴格控制的網關的情況下直接訪問這些資源。這有時被稱為 "網絡隔離"。微分段技術通過將工作負載相互隔離，使管理員可以監控不同服務器和應用程序之間的信息流，而不僅僅是客戶端和服務器之間的信息流，從而進一步完善了這一概念。
訪問控制
無論用戶是身處辦公室還是遠程辦公，他們都只能訪問適合其各自角色的信息和資源。網絡的每個部分都應進行身份驗證和授權驗證，以確保流量來自經過身份驗證和授權的用戶，而不論請求的位置或來源如何。
可見性
網關應檢查并記錄所有流量，管理員應定期監控日志，確保用戶只嘗試訪問允許訪問的系統。通常，管理員會使用云訪問安全代理軟件來監控用戶與云應用程序之間的流量，并在發現可疑行為時發出警告。
通過零信任模式，企業可以消除對網絡和資源的直接訪問，建立細粒度的訪問控制，并獲得對用戶行為和流量的可見性。但是，他們需要模型來指導實施。
谷歌為希望效仿 BeyondCorp 的企業提供了大量的文檔，為零信任設定了行業標準。然而，大多數公司發現，谷歌的方法在理論上很有趣，但在實踐中卻無法實現（它的實現本質上需要對谷歌現有的網絡組件和全球架構進行剝離和替換）。相反，企業必須依靠第三方服務的組合來在其基礎設施中實施零信任架構。
03
零信任模式的基礎
零信任是一個集成的、端到端安全策略，基于三個核心原則：
永不信任，始終驗證
始終基于所有可用數據點進行身份驗證和授權，包括用戶身份、位置、設備、數據源、服務或工作負載。持續驗證意味著不存在可信區域、設備或用戶。
假設有漏洞
通過假設防御系統已經被滲透，可以采取更強大的安全態勢來應對潛在威脅，從而在發生漏洞時將影響降到最低。通過分段訪問和減少攻擊面、驗證端到端加密，并實時監控網絡，限制“爆炸半徑”——由入侵引起的潛在損害的范圍和范圍。
應用最低權限訪問
零信任遵循最低權限原則 (PoLP)，該原則限制任何實體的訪問權限，只允許執行其功能所需的最小特權。換句話說，PoLP 可以防止用戶、帳戶、計算進程等在整個網絡中進行不必要的廣泛訪問。
以上原則為構建零信任架構 (ZTA) 奠定了基礎。
此外，零信任安全的八大支柱構成了一個防御架構，旨在滿足當今復雜網絡的需求。這些支柱分別代表了對零信任環境進行分類和實現的關鍵關注領域。
身份安全
身份是唯一描述用戶或實體的屬性或屬集性。通常被稱為用戶安全，其中心是使用身份驗證和訪問控制策略來識別和驗證試圖連接到網絡的用戶。身份安全依賴于動態和上下文數據分析，以確保正確的用戶在正確的時間被允許訪問。基于角色的訪問控制 (RBAC)和基于屬性的訪問控制 (ABAC) 將應用于該策略以授權用戶。
端點安全
與身份安全類似，端點(或設備)安全對嘗試連接到企業網絡的設備(包括用戶控制和自主設備，例如物聯網設備)執行“記錄系統”驗證。其側重于在每個步驟中監視和維護設備運行狀況。組織應該對所有代理設備(包括移動電話、筆記本電腦、服務器和物聯網設備)進行清點和保護，以防止未經授權的設備訪問網絡。
應用程序安全
應用程序和工作負載安全包括本地和基于云的服務和系統。保護和管理應用層是成功采用零信任狀態的關鍵。安全性封裝了每個工作負載和計算容器，以防止跨網絡收集數據和未經授權的訪問。
數據安全
側重于保護和強制訪問數據。為了做到這一點，數據被分類，然后與除需要訪問的用戶之外的所有人隔離。這個過程包括基于任務關鍵度對數據進行分類，確定數據應該存儲在哪里，并相應地開發數據管理策略，作為健壯的零信任方法的一部分。
可見性和分析
對與訪問控制、分段、加密和其他零信任組件相關的所有安全流程和通信的可見性提供了對用戶和系統行為的重要洞察。在此級別監控網絡可改進威脅檢測和分析，同時能夠做出明智的安全決策并適應不斷變化的安全環境。
自動化
通過自動化在整個企業中一致地應用策略的手動安全流程來提高可擴展性、減少人為錯誤并提高效率和性能。
基礎設施安全
確保工作負載中的系統和服務免受未經授權的訪問和潛在漏洞的影響。
網絡安全
側重于隔離敏感資源，防止未經授權的訪問。這涉及實施微分段技術、定義網絡訪問以及加密端到端流量以控制網絡流量。這些原則為構建零信任架構（ZTA）奠定了基礎。
04
零信任的好處
一個有效實施的零信任模型應該超越安全性，它能讓企業更有效地運營，為每個人提供安全、細粒度的訪問，包括：
● 降低基礎設施的復雜性
● 在混合物理和云環境中工作
● 使用各種不同的設備和在不同的物理位置工作
● 遵守內部和監管標準
虛擬專用網絡（VPN）往往難以適配現代科技環境的復雜性。雖然零信任和VPN并不相互排斥，但許多組織在采用零信任模式后發現VPN并無必要。
VPN提供基于邊界的安全，可提供全網訪問；相比之下，ZTNA只允許在驗證和認證后訪問特定資源。與VPN相比，ZTNA通過減少攻擊面和實施更細粒度的控制，加強了內部和外部網絡的安全性。此外，ZTNA還具有更高的靈活性和可擴展性，提高了資源利用率，減輕了IT壓力。
05
實施零信任網絡訪問的障礙
盡管零信任在安全方面的優勢顯而易見，但當企業遷移到新的網絡安全模式時，可能會遇到重大障礙。即使使用第三方服務，許多企業仍難以成功實施零信任網絡訪問。
根據 Cybersecurity Insiders 的一份報告，只有15%的公司已經制定了零信任戰略，另有63%的公司打算在不久的將來制定戰略。同樣，在 2019 年進行的一項調查中顯示，只有 16% 的物理數據中心實施了零信任架構。
如果您的企業計劃采用零信任方法，就需要對這些潛在的挑戰進行預測和規劃。
適應復雜和混合環境
現代企業擁有高度復雜和分布式的基礎設施。IT 領導者面臨的挑戰是創建一個零信任戰略，以應對可能擁有數百個不同數據庫、服務器、代理、內部應用程序和第三方 SaaS 應用程序的環境。更復雜的是，每種應用都可能在多個不同的物理和云數據中心運行，每個數據中心都有自己的網絡和訪問策略。
對于許多企業來說，要使網絡達到符合零信任協議的水平，需要進行大量的自定義配置和耗時的開發項目，這種負擔可能會促使組織走不可擴展或不安全的捷徑。
使用大雜燴工具
要在這樣的組織中建立支持零信任模式的基礎設施，就必須實施大量不同的微分隔工具、軟件定義的邊界工具和身份感知代理。這一系列工具可能包括VPN、多因素身份驗證（MFA）、設備審批、入侵防御系統（IPS）、單點登錄（SSO）解決方案等。
然而，其中許多系統都是針對云提供商、操作系統和設備的。許多組織不支持同質的設備集，而是在多個云和物理數據中心運行，用戶同時使用 Mac 和 Windows，服務器運行多個 Linux 發行版或 Windows Server 版本，并支持各種不同的網絡連接設備。
這些工具的供應商往往要求企業購買冗余技術來支持所有這些環境。這些供應商還可能將重點放在網絡層，而不是將控制放在用戶和應用程序附近，從而增加不必要的復雜性。
從傳統系統過渡
圍繞隱式信任設計的傳統系統和第三方應用程序會帶來更多挑戰。企業通常無法在不重建的情況下，以符合零信任模式的方式配置傳統或第三方應用程序。管理員通常必須創建自己的框架和基礎設施來支持它們，這就增加了復雜性、時間和費用，而且需要各個層面的支持。
彌補安全漏洞
向零信任過渡可能會帶來安全漏洞，從而增加風險。大多數組織都是采取零敲碎打的方式，逐步實現零信任。雖然這有助于管理成本和資源，但也會帶來安全漏洞，尤其是在從傳統架構遷移的情況下。
管理成本限制
向 ZTA 遷移的成本可能會很高，尤其是在從傳統系統過渡的情況下。全面的零信任框架可能需要從頭開始構建基礎設施。這是一個長期、多階段的過程，需要大量的資源和時間。雖然這些成本可以通過漸進式采用得到一定程度的控制，但采用的速度和規?？赡苁且粋€挑戰。更不用說培訓人才和投入資源在實施后維護零信任架構的成本了。
即使在項目開發之后，企業也需要為持續維護預留資源。例如，微分區需要定期更新 IP 數據，并配置和驗證更改，以最大限度地減少用戶訪問。此外，當管理員將新系統和應用程序引入網絡時，他們必須以符合零信任協議的方式添加這些系統和應用程序，需要額外的框架開發。
平衡安全性與性能
零信任通過鎖定訪問權限，直到用戶通過驗證，將安全性放在首位。挑戰在于確保零信任訪問管理不會影響工作流程和性能。例如，如果員工改變了角色，他們需要更新對所需數據的訪問權限。如果不能快速識別這種角色變化，用戶就會被鎖定，無法訪問工作所需的關鍵文件，從而影響工作效率，給工作流程造成障礙。
決策因素
在大型企業中建立零信任模式需要主要利益相關者的支持，以確保正確的規劃、培訓和實施。該項目幾乎涉及組織中的每一個人，因此管理人員和領導者都必須就計劃達成一致。由于許多組織在實施此類變革時進展緩慢，單是決策因素因素就會給項目的成功實施帶來很大壓力。
06
如何實現零信任
現代訪問管理始于一個問題：誰有權訪問什么？
零信任的實施不會一蹴而就。通常情況下，現有的基礎設施可以集成到零信任方法中，但要達到成熟，大多數網絡都需要采用和集成更多的功能和流程。
事實上，循序漸進地采用零信任安全態勢可以降低風險，從最初的規劃到基本、中級和高級階段，零信任成熟度模型能夠逐步改善網絡安全保護、響應和運行。
向零信任遷移需要全面了解網絡架構的當前狀態，包括其所有資產（包括物理和虛擬資產）、主體和業務流程。如果這些信息不完整，企業的網絡安全就會存在盲點。通過對網絡的當前狀態進行全面審計和分析，您就可以規劃出需要采取哪些措施來優化網絡，來實現理想的零信任。
美國國家標準與技術研究院（NIST）概述了遷移到零信任架構的六個步驟。
識別企業中的行為者
誰是你的主體和用戶？為了讓零信任發揮作用，需要知道誰是你的企業主體以及他們的訪問權限。注意擁有特殊權限的用戶，比如開發人員或系統管理員，一般開通對傳統系統的空白訪問權限。零信任應該允許這些用戶有足夠的靈活性，同時應用日志和審計操作來驗證和確認訪問。
識別企業擁有的資產
零信任架構還需要能夠識別和管理資產和設備。這些資產包括筆記本電腦、手機和物聯網設備等硬件組件，以及用戶賬戶和應用程序等數字工件。管理企業資產不僅涉及編目，還包括配置管理和監控。
確定關鍵流程并評估與執行相關的風險
下一步是對業務流程和數據進行清點和排序。業務流程應告知如何批準和拒絕資源訪問請求。
為候選 ZTA 制定政策
初始ZTA遷移的目標服務或流程取決于多個因素，包括：
● 流程對組織的重要性
● 受影響的對象群體
● 工作流程所用資源的當前狀態
根據風險評估資產和工作流程的價值。考慮工作流程使用或影響的所有上游資源、下游資源和實體。這些都會影響哪些資產被選為候選遷移資產。
確定候選解決方案
確定潛在候選清單后，創建并考慮實施零信任策略的解決方案清單。在確定哪些候選方案最適合遷移時，請牢記各種零信任原則和要求。
初始部署和監控
選定候選工作流程并確定要應用哪些ZTA解決方案后，就可以開始部署了。這將是一個迭代過程，需要觀察和監控新的解決方案，根據需要更新工作流程。
07
零信任的最佳實踐
嚴格執行身份驗證和授權
所有資源都必須經過驗證和身份驗證。這通常包括使用多因素身份驗證 (MFA) 等技術來授予訪問權限，而不是基于隱式信任進行操作。
維護數據完整性
衡量和監控所有自有資產的安全性，以確保數據完整性并減少網絡威脅。
收集數據以提高安全性
定期從多個來源收集數據，如網絡基礎設施和通信，以不斷調整和改進安全態勢。
將每個數據源和計算設備都視為資源
任何可以訪問網絡的設備都應視為資源。無論網絡位置如何，都要確保所有通信的安全-位置不再意味著信任。通過外部或內部網絡連接的用戶和設備必須滿足相同的安全要求才能獲得訪問權限。
按會話授予資源訪問權限
強制執行最低權限，要求用戶為每個會話申請訪問權限。
使用動態策略適度訪問
使用透明的動態安全策略保護資源，以適應網絡及其用戶不斷變化的需求。
08
南凌科技零信任解決方案
南凌科技零信任解決方案，以身份驅動網絡行為，動態驗證、持續保護，對客戶端進行全方位、無處不在的安全管控，實現對電腦、手機等多終端的網絡安全保護，具備強大的兼容性，方便安裝，幫助企業構建端到端的安全訪問體系，提升業務訪問效率，應對辦公安全風險。
方案價值
● 持續動態驗證
基于零信任原則的安全訪問，可持續動態檢測訪問行為，極大降低企業在應用訪問和數據傳輸中面臨的安全挑戰。
● 統一安全策略
從身份授權到終端管理、安全防護、預警與溯源，端到端的閉環式安全訪問體系強化整體安全狀況。
● 最佳用戶體驗
高效易用，VPN一鍵連接；智能易管，自服務網絡診斷；合規安全，終端安全基線準入。
目前，南凌科技零信任終端——凌云星連APP已上線，結合南凌科技骨干網資源與運營服務，為客戶提供“云網安”一體化SASE解決方案。
南凌科技將安全和服務作為企業高質量發展的差異化增長極，厚植安全運營能力，為客戶提供更多高質量、高價值的服務。
原文鏈接：https://www.strongdm.com/zero-trust
