■本刊編輯部

如今，企業(yè)員工期望能擁有靈活的工作方式；各種應(yīng)用正在遷移到云上；公司的IT 設(shè)備和應(yīng)用越來(lái)越多樣化……所有這些因素正在打破企業(yè)的安全邊界，這使得傳統(tǒng)的安全防護(hù)手段變得過(guò)時(shí)，但同時(shí)也為零信任的發(fā)展鋪平了道路。

傳統(tǒng)的安全防護(hù)方式將企業(yè)網(wǎng)絡(luò)中的所有內(nèi)容（用戶(hù)、設(shè)備和應(yīng)用）大致歸類(lèi)為可信任的。這些模型通過(guò)利用諸如VPN 和網(wǎng)絡(luò)訪問(wèn)控制（NAC）之類(lèi)的傳統(tǒng)安全技術(shù)，在授予訪問(wèn)權(quán)限之前驗(yàn)證外部用戶(hù)的憑證。因此，其防護(hù)重點(diǎn)就是加強(qiáng)網(wǎng)絡(luò)邊界，然后在成功驗(yàn)證憑證之后授予訪問(wèn)者對(duì)企業(yè)內(nèi)部數(shù)據(jù)的訪問(wèn)權(quán)限。有時(shí)也將其形容為“城堡與護(hù)城河”（Castle and Moat）模型，其中，城堡指的是擁有重要數(shù)據(jù)和應(yīng)用的企業(yè)，而護(hù)城河則是指阻止?jié)撛谕{的防護(hù)體系。

但是，在當(dāng)今復(fù)雜的IT世界中，用戶(hù)可以從各類(lèi)型的設(shè)備（移動(dòng)設(shè)備、臺(tái)式機(jī)、物聯(lián)網(wǎng)等）來(lái)訪問(wèn)各種類(lèi)型的應(yīng)用程序（SaaS、On-Prem、本地應(yīng)用、虛擬應(yīng)用等）。無(wú)論是在企業(yè)網(wǎng)絡(luò)內(nèi)部還是外部，都需要擁有動(dòng)態(tài)、靈活和簡(jiǎn)單的安全模型。而近年來(lái)新興安全模型中最著名的也許就是零信任（Zero Trust）。

“零信任”是Forrester公司首席分析師John Kindervag 在2010 年首次提出的一個(gè)概念，用于描述使安全人員擺脫傳統(tǒng)以邊界為中心的無(wú)效方式，并指導(dǎo)他們建立基于對(duì)每臺(tái)設(shè)備與用戶(hù)之間的信任來(lái)進(jìn)行連續(xù)驗(yàn)證的模型。它通過(guò)從“信任并認(rèn)證”轉(zhuǎn)向“永不信任且始終認(rèn)證”的方法來(lái)做到這一點(diǎn)。實(shí)際上，該模型將所有資源視為外部資源，并在僅授予所需訪問(wèn)權(quán)限之前不斷進(jìn)行安全認(rèn)證。

當(dāng)然，從理論上講，這些都是有意義的。但是在落地實(shí)踐中，該如何實(shí)現(xiàn)零信任呢？在與客戶(hù)討論如何建立零信任安全架構(gòu)時(shí)，我們將重點(diǎn)介紹五個(gè)主要方面：設(shè)備信任（Device Trust）；用戶(hù)信任（User Trust）；傳輸/ 會(huì)話信任（Transport/Session Trust）；應(yīng)用信任（Application Trust）和數(shù)據(jù)信任（Data Trust）。

接下來(lái)將分別深入探討這些方面，以及建立對(duì)這幾個(gè)方面的信任所需的基礎(chǔ)技術(shù)。

設(shè)備信任

對(duì)于零信任而言，IT 管理員首先需要了解設(shè)備，然后才能信任它們。您必須有一個(gè)清單，該清單包括了組織里已經(jīng)部署并控制的設(shè)備。IT 人員必須具有監(jiān)視、管理和控制這些設(shè)備的解決方案。通過(guò)檢測(cè)設(shè)備的狀態(tài)，可以基于預(yù)定的安全策略來(lái)確定該設(shè)備是否可信任，以及該設(shè)備是否可控。統(tǒng)一端點(diǎn)管理（UEM）解決方案能夠使IT 團(tuán)隊(duì)通過(guò)一個(gè)控制臺(tái)就可以做到對(duì)跨平臺(tái)的管理、監(jiān)視和控制所有設(shè)備，包括移動(dòng)設(shè)備、臺(tái)式設(shè)備、便攜式設(shè)備以及IoT 等。并且，通過(guò)集成端點(diǎn)檢測(cè)和響應(yīng)（EDR）技術(shù)，可以對(duì)可能的惡意端點(diǎn)活動(dòng)的檢測(cè)來(lái)進(jìn)一步改善設(shè)備安全狀況。

用戶(hù)信任

事實(shí)一再證明，基于密碼的用戶(hù)身份認(rèn)證效率低下。因此，作為零信任的一部分，組織必須使用更安全的用戶(hù)身份認(rèn)證的方法。例如，強(qiáng)大的條件接收引擎（Conditional Access Engine）可以使用動(dòng)態(tài)和上下文數(shù)據(jù)進(jìn)行決策。通過(guò)構(gòu)建blocks，可以使條件訪問(wèn)引擎技術(shù)實(shí)現(xiàn)包括無(wú)密碼身份認(rèn)證（例如生物識(shí)別）、多因素身份認(rèn)證（MFA）、條件接收策略和動(dòng)態(tài)風(fēng)險(xiǎn)評(píng)分等功能。

傳輸/會(huì)話信任

零信任的另一個(gè)關(guān)鍵要素是最小權(quán)限原則。即用戶(hù)或系統(tǒng)應(yīng)當(dāng)具有完成任務(wù)所必需的最小權(quán)限集合——不多也不少。最小權(quán)限原則授予了用戶(hù)執(zhí)行其工作所需的最小權(quán)限，并限制了用戶(hù)的越權(quán)訪問(wèn)行為。實(shí)現(xiàn)最低權(quán)限訪問(wèn)的技術(shù)包括微分段、傳輸加密和會(huì)話保護(hù)。作為一個(gè)特定示例，Per-app 通道可以對(duì)某些單個(gè)應(yīng)用程序進(jìn)行控制來(lái)訪問(wèn)內(nèi)部資源。這種限制意味著可以允許某些應(yīng)用程序訪問(wèn)內(nèi)部資源，而阻止其他應(yīng)用程序與后端系統(tǒng)通信。

應(yīng)用信任

使員工能夠從任何設(shè)備安全無(wú)縫地訪問(wèn)應(yīng)用程序，包括傳統(tǒng)的Windows 應(yīng)用，這對(duì)于創(chuàng)建數(shù)字工作區(qū)（Digital Workspace）和實(shí)施零信任至關(guān)重要。隨著用戶(hù)身份認(rèn)證的不斷改善，實(shí)現(xiàn)對(duì)應(yīng)用的單點(diǎn)登錄（SSO）不僅能夠獲得良好的安全性，而且還改善了用戶(hù)體驗(yàn)。而對(duì)于那些非零信任的傳統(tǒng)應(yīng)用，我們可以以隔離的形式來(lái)實(shí)現(xiàn)安全防護(hù)。為了對(duì)傳統(tǒng)應(yīng)用程序?qū)崿F(xiàn)隔離，可以利用虛擬桌面或應(yīng)用環(huán)境作為實(shí)現(xiàn)從傳統(tǒng)架構(gòu)向未來(lái)零信任架構(gòu)轉(zhuǎn)變的橋梁。

數(shù)據(jù)信任

歸根結(jié)底，最重要的是數(shù)據(jù)，這也是我們需要進(jìn)行安全防護(hù)工作的原因。我們必須防止數(shù)據(jù)泄露，并確保與用戶(hù)交互數(shù)據(jù)是正確的且未經(jīng)篡改的。數(shù)據(jù)泄露防護(hù)（DLP）等技術(shù)可有效防止敏感數(shù)據(jù)的外泄或被破壞。盡管數(shù)據(jù)分類(lèi)和完整性在很大程度上是由應(yīng)用程序來(lái)處理的，但在構(gòu)建零信任架構(gòu)時(shí)，我們應(yīng)盡可能提高信任級(jí)別。

一旦建立了以上五個(gè)方面的信任，就可以做出準(zhǔn)確的安全策略來(lái)進(jìn)行授權(quán)或拒絕訪問(wèn)。在做出授予訪問(wèn)權(quán)限的決定后，不斷進(jìn)行再次認(rèn)證是至關(guān)重要的。一旦信任級(jí)別發(fā)生變化，則組織必須能夠立即采取措施。此外，通過(guò)在五個(gè)方面之間建立信任關(guān)系，我們可以獲得可見(jiàn)性，并且可以跨數(shù)字工作區(qū)環(huán)境來(lái)收集分析數(shù)據(jù)。借助可見(jiàn)性和分析功能，我們可以構(gòu)建自動(dòng)化和編排。