科普篇｜Zero Trust零信任安全｜什么是零信任網(wǎng)絡？

Zero Trust零信任安全是一種IT安全模型，要求試圖訪問專用網(wǎng)絡上資源的每一個人和每臺設備（無論位于網(wǎng)絡邊界之內(nèi)還是之外）都必須進行嚴格的身份驗證。ZTNA（Zero Trust Network Access）是與Zero Trust架構相關的主要技術，但Zero Trust是一種全面的網(wǎng)絡安全方法，它融合了幾種不同的原理和技術。

更簡單地說：傳統(tǒng)的IT網(wǎng)絡安全信任網(wǎng)絡內(nèi)的所有人和設備。零信任架構不信任任何人和物。

傳統(tǒng)IT網(wǎng)絡安全是基于城堡加護城河的概念。在城堡加護城河式的安全架構中，很難從網(wǎng)絡外部獲得訪問權限，但默認情況下，網(wǎng)絡內(nèi)部的每個人都受到信任。這種方法的問題在于，一旦攻擊者獲得了網(wǎng)絡的訪問權限，便可自由支配網(wǎng)絡內(nèi)的所有內(nèi)容。

隨著不斷發(fā)展，公司的數(shù)據(jù)不再存放于一處，城堡與護城河式安全系統(tǒng)中的這個漏洞因此而加劇。如今，信息通常分散于多家云供應商處，使得對整個網(wǎng)絡進行單一安全控制變得更加困難。

零信任安全意味著默認情況下，網(wǎng)絡內(nèi)外都不信任任何人，并且試圖訪問網(wǎng)絡資源的每一個人都需要進行驗證。已有證據(jù)表明這種附加的安全層可以防止數(shù)據(jù)泄露。研究表明，單個數(shù)據(jù)泄露事故的平均成本超過300萬美元。考慮到這個數(shù)字，許多組織現(xiàn)在渴望采用零信任安全策略就不足為奇了。

Zero Trust以哪些原則為支撐？

持續(xù)監(jiān)控和驗證

零信任網(wǎng)絡背后的理念是假設網(wǎng)絡內(nèi)部和外部都有攻擊者，所以沒有用戶或機器應該被自動信任。零信任驗證用戶身份和權限，以及設備身份和安全。在登錄和建立連接后，經(jīng)過一段時間就會超時，迫使用戶和設備不斷重新驗證。

最低權限

零信任安全的另一原則是最低權限訪問。也就是說，僅向用戶授予必要的訪問權限，就像軍隊中的將領僅在必要之時將信息告知士兵一樣。這樣能最大程度減少各個用戶接觸網(wǎng)絡敏感部分的機會。

實施最低權限涉及謹慎管理用戶權限。VPN不太適合用于最低權限的授權方式，因為登錄VPN后，用戶即可以訪問連接的整個網(wǎng)絡。

設備訪問控制

除了用戶訪問控制外，零信任還要求對設備訪問進行嚴格控制。零信任系統(tǒng)需要監(jiān)控有多少不同的設備在嘗試訪問他們的網(wǎng)絡，確保每個設備都得到授權，并評估所有設備以確保它們沒有被入侵。這進一步減少了網(wǎng)絡的攻擊面。

微分段

Zero Trust網(wǎng)絡也利用微分段。微分段是一種將安全邊界劃分為小區(qū)域的做法，以分別維護對網(wǎng)絡各個部分的訪問。例如，將文件存放在利用微分段的單個數(shù)據(jù)中心的網(wǎng)絡可能包含數(shù)十個單獨的安全區(qū)域。未經(jīng)單獨授權，有權訪問其中一個區(qū)域的個人或程序?qū)o法訪問任何其他區(qū)域。

防止橫向移動

在網(wǎng)絡安全領域，“橫向移動”是指攻擊者進入網(wǎng)絡后在該網(wǎng)絡內(nèi)移動。即使攻擊者的進入點被發(fā)現(xiàn)，橫向移動也難以檢測到，因為攻擊者會繼續(xù)入侵網(wǎng)絡的其他部分。

零信任旨在遏制攻擊者，使他們無法橫向移動。由于零信任訪問是分段的且必須定期重新建立，因此攻擊者無法移動到網(wǎng)絡中的其他微分段。一旦檢測到攻擊者的存在，就可以隔離遭入侵的設備或用戶帳戶，切斷進一步的訪問。（在城堡和護城河模型中，如果攻擊者可以橫向移動，則隔離原始遭到入侵的設備或用戶賬戶幾乎沒有效果，因為攻擊者已經(jīng)到達了網(wǎng)絡的其他部分。）

多因素身份驗證（MFA）

多因素身份驗證（MFA）也是零信任安全的核心價值觀。MFA意味著需要多個證據(jù)來對用戶進行身份驗證；僅輸入密碼不足以獲得訪問權限。MFA的一種常見應用是Facebook和Google等在線平臺上使用的雙因素授權（2FA）。除了輸入密碼之外，對這些服務啟用2FA的用戶還必須輸入發(fā)送到其他設備（例如手機）的代碼，從而提供兩個證據(jù)來證明自己的身份。

Zero Trust有什么好處？

與傳統(tǒng)的安全方法相比，Zero Trust理念更適合現(xiàn)代IT環(huán)境。由于訪問內(nèi)部數(shù)據(jù)的用戶和設備種類繁多，并且數(shù)據(jù)同時存儲在網(wǎng)絡內(nèi)部和外部（云中），假設沒有用戶或設備值得信賴，比假設預防性安全措施已經(jīng)堵上所有漏洞要安全得多。

應用Zero Trust原則的主要好處是有助于減少組織的攻擊面。此外，Zero Trust通過微分段將漏洞限制在一個小區(qū)域，從而在攻擊確實發(fā)生時將損害降至最低，這也降低了恢復成本。零信任通過要求多個身份驗證因素來減少用戶憑據(jù)盜竊和網(wǎng)絡釣魚攻擊的影響。它有助于消除繞過傳統(tǒng)邊界型保護措施的威脅。

而且，通過驗證每個請求，Zero Trust安全性降低了易受攻擊的設備帶來的風險，包括通常難以保護和更新的IoT設備（請參閱IoT安全）。

零信任安全的發(fā)展歷程是怎樣的？

“零信任”一詞是2010年Forrester Research Inc.的一位分析師首次提出這一概念的模型時創(chuàng)造的。幾年之后，Google宣布他們已在其網(wǎng)絡中實施了零信任安全，這讓技術社區(qū)中越來越多人對采用零信任安全產(chǎn)生興趣。2019年，全球研究和咨詢公司Gartner將零信任安全訪問列為安全訪問服務邊緣（SASE）解決方案的核心組成部分。

什么是零信任網(wǎng)絡訪問（ZTNA）？

零信任網(wǎng)絡訪問（ZTNA）是讓組織能夠?qū)嵤┝阈湃伟踩闹饕夹g。類似于軟件定義邊界（SDP），ZTNA隱藏了大多數(shù)基礎設施和服務，在設備和它們需要的資源之間建立一對一的加密連接。了解有關ZTNA工作原理的更多信息。

有哪些Zero Trust的用例？

任何依賴網(wǎng)絡并存儲數(shù)字數(shù)據(jù)的組織都可能會考慮使用Zero Trust架構。Zero Trust的一些最常見用例包括：

替換或擴充VPN：許多組織依靠VPN來保護他們的數(shù)據(jù)，但如上所述，VPN通常不是防御當今風險的理想選擇。

安全地支持遠程工作：VPN會造成瓶頸并會降低遠程工作人員的工作效率，而Zero Trust可以將安全訪問控制擴展到來自任何地方的連接。

適用于云和多云的訪問控制：Zero Trust網(wǎng)絡會驗證任何請求，無論其來源或目的地在哪里。它還可以通過控制或阻止使用未經(jīng)批準的應用程序，來幫助減少使用未經(jīng)授權的云端服務（一種稱為“影子IT”的情況）。

第三方和承包商加入：Zero Trust可以快速將受限的最低權限訪問擴展到外部各方，這些外部各方通常使用不受內(nèi)部IT團隊管理的硬件設備。

新員工快速加入：Zero Trust網(wǎng)絡還可以加速內(nèi)部新用戶的快速加入，這一點非常適合快速發(fā)展的組織。相反，VPN可能需要增加更多容量才能容納大量新用戶。

有哪些主要的Zero Trust最佳實踐？

監(jiān)控網(wǎng)絡流量和連接的設備：可見性對于驗證用戶和設備至關重要。

保持設備更新：需要盡快修補漏洞。Zero Trust網(wǎng)絡應當能夠限制對易受攻擊設備的訪問（監(jiān)控和驗證是關鍵的另一個原因）。

為組織中的每個人應用最低權限原則：從高管到IT團隊，每個人都只應擁有他們所需的最少訪問權限。如果最終用戶帳戶遭到入侵，這可以最大限度地減少損失。

對網(wǎng)絡進行分區(qū)：將網(wǎng)絡分成更小的區(qū)塊有助于確保在漏洞傳播之前及早進行遏制。微分段是實現(xiàn)此目的的有效方法。

假設網(wǎng)絡邊界線不存在：除非網(wǎng)絡是完全實體隔離的（很少見），否則它接觸互聯(lián)網(wǎng)或云的點可能過多而無法消除。

使用安全密鑰來實現(xiàn)MFA：基于硬件的安全令牌顯然比通過短信或電子郵件發(fā)送的一次性密碼（OTP）等軟令牌更安全。

更全面的威脅情報：由于攻擊者不斷更新和改進他們的策略，訂閱最新的威脅情報數(shù)據(jù)源對于在威脅傳播之前識別威脅至關重要。

避免促使最終用戶規(guī)避安全措施：正如過于嚴格的密碼要求會促使用戶一遍又一遍地重復使用相同的密碼一樣，強制用戶每小時通過多種身份因素重新進行一次身份驗證可能會過于頻繁，甚至會降低安全性。始終將最終用戶的需求牢記在心。

如何實施零信任安全？

零信任聽起來很復雜，但如果有合適的技術伙伴，采用這種安全模式可以相對簡單。例如，Cloudflare One是一個SASE平臺，它將網(wǎng)絡服務與對用戶和設備的內(nèi)置零信任訪問方法相結合。有了Cloudflare One，客戶可以圍繞其所有資產(chǎn)和數(shù)據(jù)自動實施零信任保護。