零信任不是一种产品或服务，当然也不仅仅是一个流行语。
相反，它是一种特殊的网络安全防御方法。
顾名思义，它不是“先验证后信任”，而是“从不信任，总是验证”。
实际上，零信任通过限制数据访问来保护数据。
无论是否在网络范围内，企业都不会自动信任任何人或任何事。
零信任方法要求在授予访问权限之前，验证尝试连接到企业应用程序或系统的所有人、设备、帐户等。
然而，在网络安全系统的设计之初，这个功能不是已经存在了吗？零信任能否在此基础上增加一些额外的控制？
事实上，零信任框架包括许多企业广泛使用的数据保护技术。
然而，零信任代表了一个明确的支点，即如何思考网络安全防御。
这种方法不仅可以保护整个企业，而且可以扩展到组织内外的每一个网络、系统、用户和设备。
强大的身份认证、多因素认证、可信端点、网络分割、访问控制和用户属性，将敏感数据和系统访问分离和标准化，使零信任成为可能。
简言之，零信任是一种新的网络安全思考方式，它可以帮助企业在当今快速变化的威胁形势下保护自己的数据、客户和竞争优势。
网络安全零信任及时
高管们已经感受到了保护系统和数据的压力。
投资者和“数据主体”（客户和消费者）也坚持要求更好的数据安全。
有些数据和应用程序部署在本地，而有些则在云中，安全问题将变得更加复杂，从员工到承包商和合作伙伴，每个人都在多个位置使用各种设备来访问这些应用程序。
同时，政府和行业法规也在提高保护重要数据的要求。零信任可以帮助企业满足这些法规遵从性要求。
零信任网络安全技术
幸运的是，零信任背后的技术正在迅速发展，这也使得这种方法在今天更加实用。
实现零信任网络安全框架的方法不是单一的，也不仅仅是一种技术。
相反，需要多种技术来确保只有经过安全身份验证的用户和设备才能访问目标应用程序和数据。
例如，基于“最小特权”原则授予访问权，该原则只向用户提供完成工作所需的数据。
这包括强制执行过期权限和一次性使用凭据，当不需要访问时，这些凭据将被自动吊销。
此外，将持续检查和记录流量，并限制访问，以防止未经授权的数据在系统和网络之间横向移动。
零信任框架使用多种安全技术来增加对敏感数据和系统的访问粒度。
例如，身份和访问管理（IAM）；基于角色的访问控制（RBAC）；网络访问控制（NAC）、多因素身份验证（MFA）、加密、策略执行引擎、策略编排、日志记录、分析、评分和文件系统权限。
同样重要的是，技术标准和协议可用于支持零信任方法。
云安全联盟（CSA）开发了一个称为软件定义边界（SDP）的安全框架，并将其应用于一些零置信度度量。
因特网工程任务组（IETF）通过批准主机识别协议（hip）来支持零信任安全模型，hip代表OSI堆栈中新的安全网络层。基于这些先进的技术，许多供应商逐渐将零信任的解决方案推向市场。
基于这些技术、标准和协议，组织可以使用三种不同的方法来实现零信任安全：
一。网络差分段（Network differential segment），它将网络描述为一个小粒度节点，一直到设备或应用程序。安全协议和服务交付模型是为每个单独的段设计的。
2。SDP基于“需要知道”策略，即在授予对应用程序基础设施的访问权限之前验证设备的状态和标识。
三。零信任代理可以充当客户端和服务器之间的中继，这有助于防止攻击者侵入专用网络。
在特定环境下，哪种方法是最好的取决于许多因素，例如哪些应用程序受到保护，当前基础设施如何，它是在未开发环境还是传统环境中。
it零信任：构建零信任环境的五个步骤
建立零信任框架并不一定意味着彻底的技术变革。
通过使用这些循序渐进的方法，企业可以以可控的迭代方式进行，以帮助实现最佳结果，同时将对用户和操作系统的干扰降至最低。
一。定义受保护表面的范围。
在零信任的环境下，企业不会只关注攻击表面，而只关注保护表面，关注对公司最有价值的关键数据、应用程序、资产和服务（DAA）。
保护表面，如信用卡信息、受保护的健康信息（PHI）、个人身份信息（PII）、知识产权（IP）、应用程序（现成或定制软件）；
SCADA控制、销售点终端、医疗设备、制造资产、物联网设备和其他资产以及DNS、DHCP和active directory服务。
定义保护面后，可以通过使用限制性、精确和可理解的策略语句将控件尽可能靠近它来创建微边界（或分离的微边界）。
2。记录交易流量。网络中流量的传输方式决定了其保护方式。
因此，获取DAAS相互依赖的上下文信息是非常重要的。
记录特定资源的交互有助于适当加强控制并提供有价值的上下文信息，确保最佳的网络安全环境，并将对用户和业务操作的干扰降至最低。
三。建立一个零信任的it网络。
零信任网络可以完全定制，而不仅仅是一般的设计。
建筑主要围绕保护面而建。
一旦定义了保护面并根据业务需求记录了过程，就可以从下一代防火墙开发零信任体系结构。
下一代防火墙充当分段网关，在受保护的表面周围创建一个微边界。
对任何试图在受保护表面内访问的对象使用分段网关，可以在第7层之前强制执行附加的检查和访问控制层。
四。创建零信任安全策略。
构建网络后，需要创建零信任策略来确定访问过程。
对用户对象的访问、访问应用程序、访问原因、这些应用程序的首选连接方法以及可用于保护访问的控件应事先了解。使用这种细粒度的策略强制可以确保只允许已知的通信量或合法的应用程序连接。
5个。监控和维护网络。
最后一步包括检查所有内部和外部日志，并关注零信任的操作方面。由于零信任是一个迭代过程，因此检查和记录所有通信量非常有用，并为如何随着时间的推移改进网络提供有价值的参考。
其他考虑因素和最佳做法
对于考虑零信任安全模型的企业，还有一些其他考虑：
在选择架构或技术之前，确保你有正确的策略。
零信任是以数据为中心的，因此考虑数据的位置、谁需要访问它以及可以使用什么方法来保护它是很重要的。
Forrester建议将数据分为三类——公开的、内部的和机密的——并构建具有微观边界的“数据块”。
从小做起，积累经验。对整个企业实施零信任的规模和范围是巨大的。例如，谷歌花了7年时间实施了beyond Corp项目。
考虑用户体验。
零信任框架不必中断员工的正常工作流程，即使他们（及其设备）正在接受访问授权审查。有些进程在后台，用户可能根本看不到。
实现用户和设备身份验证的强大措施。零信任是基于这样一个事实，即没有人或任何设备可以信任，直到完全验证它有权访问内部资源。
因此，基于强身份、严格认证和非持久权限的企业级Iam系统是零信任框架的关键组成部分。
将零信任框架整合到数字转型项目中。重新设计工作流时，还可以转换安全模型。
现在是采用零信任安全模型的最佳时机。技术已经成熟，协议和标准已经确定，对新的安全方法的需求不容忽视。
网友评论