11年前誕生的零信任安全模型已被網(wǎng)絡(luò)安全產(chǎn)業(yè)的思想領(lǐng)袖和企業(yè)CISO們廣泛接受。而當(dāng)擁有無(wú)窮預(yù)算和資源的Google通過(guò)BeyondCorp項(xiàng)目踐行和驗(yàn)證了零信任框架的有效性后，零信任安全模型進(jìn)入了產(chǎn)品化和商業(yè)化的快車道。但是今天，對(duì)于大多數(shù)企業(yè)來(lái)說(shuō)，通往零信任的道路上依然布滿了陷阱和誤區(qū)。
11年后，很多IT和安全決策者依然難以就零信任達(dá)成戰(zhàn)略上的共識(shí)。不同企業(yè)的IT和安全基礎(chǔ)設(shè)施的差距、需求的差異化、零信任架構(gòu)對(duì)持續(xù)改進(jìn)能力和投入的要求，導(dǎo)致很多企業(yè)甚至難以邁出第一步。
根據(jù)2021年2月26日美國(guó)國(guó)家安全局（NSA）發(fā)布的零信任指南，零信任方法有四個(gè)關(guān)鍵點(diǎn)：
協(xié)調(diào)主動(dòng)的系統(tǒng)監(jiān)控、系統(tǒng)管理和防御性安全運(yùn)營(yíng)能力；假設(shè)所有對(duì)關(guān)鍵資源和網(wǎng)絡(luò)流量的請(qǐng)求都可能是惡意的；假設(shè)所有設(shè)備和基礎(chǔ)架構(gòu)都可能受到威脅；
承認(rèn)對(duì)關(guān)鍵資源的所有訪問(wèn)授權(quán)均會(huì)帶來(lái)風(fēng)險(xiǎn)，并隨時(shí)準(zhǔn)備執(zhí)行快速的損害評(píng)估，控制和恢復(fù)操作。
但現(xiàn)實(shí)是，假定所有設(shè)備、基礎(chǔ)設(shè)施和流量都會(huì)遭遇入侵不僅在董事會(huì)上會(huì)炸鍋，在SOC中也是徒勞的。不幸的是，像零信任框架這樣的方法體系無(wú)法提供實(shí)用性指導(dǎo)，例如清晰詳細(xì)的建議或后續(xù)實(shí)施步驟，這導(dǎo)致一些零信任采用者給后來(lái)者挖了很多大坑。
常見(jiàn)的零信任誤區(qū)
在進(jìn)一步討論之前，我們先回顧一下零信任的六個(gè)基本組件：
身份：描述、驗(yàn)證和保護(hù)所有的企業(yè)賬戶。這包括整個(gè)云、本地和遠(yuǎn)程資產(chǎn)中的所有用戶、服務(wù)、API和其他擁有訪問(wèn)權(quán)限的賬戶。
資產(chǎn)：掃描發(fā)現(xiàn)與企業(yè)IT環(huán)境有關(guān)的所有資產(chǎn)。與身份一樣，企業(yè)需要描述、驗(yàn)證和保護(hù)任何位置的所有資產(chǎn)，包括：云、本地和遠(yuǎn)程。在授予資產(chǎn)訪問(wèn)權(quán)限之前，請(qǐng)確保安全管理已經(jīng)就緒。
應(yīng)用程序：將所有影子IT、影子云和（員工）自帶應(yīng)用程序轉(zhuǎn)換為托管和受保護(hù)的應(yīng)用程序。根據(jù)當(dāng)前的分析和需求減少訪問(wèn)量。監(jiān)視、控制和糾正用戶權(quán)限。
數(shù)據(jù)：在整個(gè)ELT/ETL以及應(yīng)用程序中，在其存儲(chǔ)庫(kù)中識(shí)別、分類和標(biāo)記數(shù)據(jù)。將注意力從控制周邊轉(zhuǎn)移到控制數(shù)據(jù)訪問(wèn)。根據(jù)分類標(biāo)簽和內(nèi)部策略對(duì)訪問(wèn)進(jìn)行加密和控制。
基礎(chǔ)架構(gòu)：采用最小特權(quán)訪問(wèn)或“默認(rèn)拒絕”原則，監(jiān)視異常和可疑攻擊并發(fā)出警報(bào)。使用自動(dòng)化來(lái)阻止異常和危險(xiǎn)行為。
網(wǎng)絡(luò)：明確高風(fēng)險(xiǎn)或高價(jià)值數(shù)據(jù)的網(wǎng)絡(luò)區(qū)域。通過(guò)風(fēng)險(xiǎn)和價(jià)值來(lái)劃分不同的網(wǎng)絡(luò)區(qū)域，并通過(guò)策略來(lái)限制訪問(wèn)。在內(nèi)部網(wǎng)絡(luò)中部署加密。確保設(shè)備和用戶不因位于內(nèi)部網(wǎng)絡(luò)中而受到信任。
以下是企業(yè)在實(shí)施零信任框架或方案時(shí)，應(yīng)該避免的四個(gè)常見(jiàn)誤區(qū)：
誤區(qū)1：選擇一個(gè)重要的應(yīng)用程序作為試驗(yàn)場(chǎng)
這是很常見(jiàn)的一個(gè)誤區(qū)，因?yàn)閺膯蝹€(gè)應(yīng)用開(kāi)始驗(yàn)證零信任的有效性似乎更容易。但困難在于您不知道這個(gè)應(yīng)用與其他應(yīng)用程序的互連，它的訪問(wèn)途徑以及哪些用戶需要對(duì)應(yīng)用程序的訪問(wèn)權(quán)限。
零信任要求對(duì)每個(gè)應(yīng)用程序進(jìn)行細(xì)分，將它們彼此隔離。由于企業(yè)內(nèi)部通常缺乏有關(guān)應(yīng)用程序交互方式的知識(shí)和信息，因此從特定應(yīng)用程序切入非常困難。
更好的選擇是從應(yīng)用程序生態(tài)系統(tǒng)的細(xì)分入手。然后，你可以控制對(duì)該應(yīng)用程序的訪問(wèn)，而不必?fù)?dān)心服務(wù)交付失敗。從處理應(yīng)用程序生態(tài)系統(tǒng)入手意味著你可以將注意力集中在用戶到應(yīng)用程序的交互邊界上，而不必同時(shí)處理用戶到應(yīng)用程序、應(yīng)用程序到應(yīng)用程序，以及應(yīng)用程序到基礎(chǔ)結(jié)構(gòu)的邊界，這會(huì)讓你崩潰。
誤區(qū)2：專注于身份
大多數(shù)實(shí)施零信任的企業(yè)都會(huì)掉入一個(gè)陷阱，那就是零信任方案需要理解和定義企業(yè)中的每個(gè)身份。最初，這似乎很簡(jiǎn)單，但隨后你會(huì)發(fā)現(xiàn)身份主體還包括大量服務(wù)、機(jī)器和應(yīng)用程序。火上澆油的是，身份項(xiàng)目還必須包含權(quán)限，并且每個(gè)應(yīng)用程序都有其自己的授權(quán)架構(gòu)，且沒(méi)有標(biāo)準(zhǔn)化。總之，僅專注于身份會(huì)讓你掉入無(wú)休止的項(xiàng)目開(kāi)發(fā)泥沼。
正確的做法是將重點(diǎn)放在用戶賬戶上。我們從應(yīng)用程序生態(tài)系統(tǒng)入手的目的是關(guān)注用戶和應(yīng)用程序邊界。身份方面，應(yīng)該從交互式登錄入手，例如用戶執(zhí)行操作前需要訪問(wèn)賬戶。通過(guò)使用證書(shū)和循環(huán)憑證來(lái)代替通用登錄，確保不可否認(rèn)性。
誤區(qū)3：在任何地方向任何設(shè)備提供向任何應(yīng)用程序的訪問(wèn)權(quán)限都會(huì)導(dǎo)致丟掉工作
大多數(shù)董事會(huì)的高管們對(duì)零信任的理解都比較“簡(jiǎn)單粗暴”，那就是：零信任就是可以用任何設(shè)備開(kāi)展業(yè)務(wù)的一種方式。這實(shí)際上是“零信任主義”安全業(yè)務(wù)雙贏的終極目標(biāo)和結(jié)果。對(duì)于剛剛開(kāi)始實(shí)施零信任的團(tuán)隊(duì)來(lái)說(shuō)，直奔“最高綱領(lǐng)”會(huì)讓你的防御系統(tǒng)漏洞百出。事實(shí)上，零信任的目的是從技術(shù)上表達(dá)對(duì)任何設(shè)備或網(wǎng)絡(luò)的不信任態(tài)度（原則）。這是一個(gè)安全原則和范型的轉(zhuǎn)移，也是一個(gè)循序漸進(jìn)的過(guò)程。
首先，提供對(duì)正確應(yīng)用程序的正確身份訪問(wèn)，并確保這些用戶及其訪問(wèn)之間存在細(xì)分。接下來(lái)，將已批準(zhǔn)的設(shè)備移至可對(duì)設(shè)備或用戶進(jìn)行身份驗(yàn)證的位置（確保已建立對(duì)應(yīng)的身份驗(yàn)證基礎(chǔ)結(jié)構(gòu)）。一旦建立零身份驗(yàn)證基礎(chǔ)設(shè)施，你就可以進(jìn)一步擴(kuò)展可訪問(wèn)網(wǎng)絡(luò)的設(shè)備類型。
誤區(qū)4：放棄企業(yè)數(shù)據(jù)中心，使用云將大大加快零信任的實(shí)現(xiàn)
從零信任的角度來(lái)看，將企業(yè)數(shù)據(jù)中心環(huán)境轉(zhuǎn)移到云中不可避免地會(huì)帶來(lái)安全災(zāi)難。這里的陷阱通常是缺乏對(duì)數(shù)據(jù)中心資產(chǎn)，它們所連接的對(duì)象，以及企業(yè)各部門的可見(jiàn)性。僅在云中重新實(shí)例化數(shù)據(jù)中心并不能賦予您這種可見(jiàn)性。實(shí)際上，這樣做會(huì)進(jìn)一步降低可見(jiàn)性，因?yàn)榕c數(shù)據(jù)中心相比，可在云端增加摩擦的控件更少。
在遷移到云之前，請(qǐng)確保對(duì)以上提到三大要素有足夠的可見(jiàn)度：應(yīng)用程序生態(tài)系統(tǒng)到用戶的邊界，執(zhí)行身份驗(yàn)證所需的用戶身份屬性，以及需要訪問(wèn)資產(chǎn)的設(shè)備。
數(shù)字化轉(zhuǎn)型的趨勢(shì)已經(jīng)不可阻擋，這意味著企業(yè)將無(wú)可避免地走上零信任之路。現(xiàn)在的問(wèn)題不再是上不上零信任，而是如何避免誤區(qū)和陷阱，希望以上總結(jié)的四個(gè)零信任誤區(qū)能夠幫助企業(yè)安全主管們少走彎路。