消除迷茫:解迷零信任

雖然許多安全廠商使用“零信任”這樣的名詞,但這個(gè)詞所代表的意義卻不盡相同,圍繞零信任概念的解釋、炒作和困惑很多,當(dāng)然誤解也很多。
一個(gè)較為客觀中立的概念是NIST的特別出版物800-207中所描述的,零信任“不是一個(gè)單一的架構(gòu),而是一套工作流、系統(tǒng)設(shè)計(jì)和操作的指導(dǎo)原則。”NIST將這些原則稱為零信任的“原則”。
零信任的技術(shù)原則
零信任是一種基于一個(gè)簡單前提的網(wǎng)絡(luò)安全模型:默認(rèn)情況下,任何東西都不能被信任,除非證明可被信任。
零信任模型顛覆了基于網(wǎng)絡(luò)位置或IP地址的“隱含信任”概念,要對每次交互進(jìn)行評估,并明確身份和上下文,才能夠“信任”。
具體而言,當(dāng)用戶或設(shè)備請求訪問資源時(shí),必須先對其進(jìn)行驗(yàn)證,然后才能授予訪問權(quán)限。驗(yàn)證基于用戶和設(shè)備的身份以及上下文和其他屬性,如時(shí)間和日期、地理位置和設(shè)備安全態(tài)勢等。
經(jīng)過驗(yàn)證后,根據(jù)最小特權(quán)原則授予訪問權(quán)限,即只授予所訪問資源的權(quán)限。如,如果用戶請求訪問CRM,驗(yàn)證通過后CRM的訪問權(quán)限是該用戶被授予的唯一訪問權(quán)限,在網(wǎng)絡(luò)上看不到任何其他可訪問資源。不僅如此,信任狀態(tài)也在持續(xù)地被重新評估。如,用戶或設(shè)備的屬性發(fā)生變化,驗(yàn)證可能會被撤銷,訪問可能會被移除。
三個(gè)縮寫詞:ZTA、ZTNA、ZTE
零信任給人帶來迷茫的一個(gè)主要原因是各種縮寫詞,但實(shí)際上不同的縮寫詞側(cè)重點(diǎn)也有所不同。
- ZTA(零信任訪問)主要是為了了解和控制,誰在訪問你的網(wǎng)絡(luò),以及他在網(wǎng)絡(luò)中做了什么。基于角色的訪問控制是訪問管理的關(guān)鍵組成部分。ZTA使用最小訪問策略覆蓋用戶終端,即授予用戶所需的最低網(wǎng)絡(luò)訪問級別。
- ZTNA(零信任網(wǎng)絡(luò)訪問)是一種控制應(yīng)用程序訪問的方法,無論用戶或應(yīng)用程序位于何處。與VPN不同的是,ZTNA將零信任模型擴(kuò)展到了網(wǎng)絡(luò)之外,并通過網(wǎng)絡(luò)隱身來減少攻擊面。
- ZTE(零信任邊緣)是Forrester描述的一種架構(gòu),與Gartner主推的SASE非常相似,基于零信任的理念融合了網(wǎng)絡(luò)和安全。
ZTE VS. SASE
雖然兩者均是從邊緣側(cè)出發(fā),融合了網(wǎng)絡(luò)和安全,但兩者最大的區(qū)別是,ZTE是安全先行,且本地和云端都做安全。SASE則是網(wǎng)絡(luò)和安全同行,且只能由云端來提供安全。
邊緣環(huán)境包括了廣域網(wǎng)、多云、數(shù)據(jù)中心、物聯(lián)網(wǎng)(IoT)、家庭和遠(yuǎn)程工作空間等,比傳統(tǒng)的互聯(lián)網(wǎng)環(huán)境更具動態(tài)性和分散性,安全風(fēng)險(xiǎn)也隨之加劇。因此,安全訪問服務(wù)邊緣(SASE)被吹捧為將安全性擴(kuò)展到傳統(tǒng)數(shù)據(jù)中心之外的最佳方式。其通過ZTNA的方式訪問云,再通過云交付的服務(wù)將網(wǎng)絡(luò)和安全功能與廣域網(wǎng)(WAN)功能結(jié)合在一起。
SASE的問題在于,安全性只能通過云來提供,這對于具有混合IT體系結(jié)構(gòu)的組織來說價(jià)值有限,因?yàn)檫@些組織即需要訪問云資源也需要訪問本地資源。
組織需要采取一種系統(tǒng)化的方法來取代對網(wǎng)絡(luò)邊緣和遠(yuǎn)程用戶的隱性信任,在整個(gè)組織內(nèi)實(shí)現(xiàn)網(wǎng)絡(luò)和安全的一致融合。與SASE不同,ZTE包括了本地和云端,其重要的構(gòu)件如下:
- 軟件定義的廣域網(wǎng)(SD-WAN),可安全連接到各種環(huán)境
- 下一代防火墻(NGFW)
- 云提供的安全性,可安全連接遠(yuǎn)程用戶
- ZTNA用于安全的應(yīng)用程序訪問
ZTE有助于混合IT環(huán)境下的,網(wǎng)絡(luò)上的所有人、所有地點(diǎn)、所有資產(chǎn)的保護(hù),對于在本地和云同時(shí)工作的組織來說,它是一種可靠的零信任戰(zhàn)略。
零信任理念
零信任是一種理念,并非一套固定的產(chǎn)品架構(gòu),因此可以根據(jù)自身的情況來分配預(yù)算,從不同的切入點(diǎn)實(shí)施零信任:
- 微隔離。每個(gè)設(shè)備都被分配到適當(dāng)?shù)木W(wǎng)絡(luò)區(qū)域。分配原則可能基于多種因素,例如設(shè)備類型、功能和網(wǎng)絡(luò)內(nèi)的用途等。基于云的SASE解決方案很難在本地提供這種級別的控制。
- 身份安全。使用身份驗(yàn)證、授權(quán)和帳戶服務(wù)、訪問管理和單點(diǎn)登錄(SSO),識別用戶在組織中的角色并應(yīng)用最少訪問策略。
- 基于防火墻的ZTNA。無論用戶是訪問云資源還是本地資源,基于防火墻的ZTNA解決方案都有效。重要的是,ZTNA具有普適性,本地用戶和遠(yuǎn)程用戶均適用。此外,如果VPN和ZTNA具有相同的agent,則可以簡化VPN的遷移。(Tailscale就是典型的例子)
最在理念的層面上,零信任的安全模型很簡單,即“持續(xù)驗(yàn)證和最小權(quán)限”。困難在于,實(shí)現(xiàn)這一目標(biāo)需要多種產(chǎn)品的有機(jī)、協(xié)調(diào)組合,而不是一堆產(chǎn)品的簡單堆砌。
因此,不要聽信某些供應(yīng)商的暗示,零信任絕不是個(gè)“一勞永逸”的項(xiàng)目,而是一個(gè)基于持續(xù)驗(yàn)證、最小化權(quán)限的理念,以改善整體安全態(tài)勢的過程。




























