零信任面臨的一些問(wèn)題包括許多實(shí)際的和認(rèn)知方面障礙，以及需要仔細(xì)協(xié)調(diào)才能實(shí)現(xiàn)承諾的一系列復(fù)雜產(chǎn)品。其結(jié)果是：零信任不會(huì)很快成為解決日益嚴(yán)重的網(wǎng)絡(luò)安全問(wèn)題的靈丹妙藥。

零信任最早是由John Kindervag在2010年擔(dān)任Forrester Research公司分析師時(shí)提出的。它的工作方式是，企業(yè)必須確保網(wǎng)絡(luò)上的每個(gè)文件請(qǐng)求、數(shù)據(jù)庫(kù)查詢(xún)或其他操作都來(lái)自具有正確權(quán)限的用戶(hù)。新設(shè)備必須在訪(fǎng)問(wèn)每個(gè)網(wǎng)絡(luò)應(yīng)用程序之前進(jìn)行注冊(cè)和驗(yàn)證，并且每個(gè)試圖登錄的用戶(hù)都被認(rèn)為是惡意的，除非得到證明可信。如果操作得當(dāng)，它承諾將用戶(hù)從更主流的網(wǎng)絡(luò)安全方法的許多限制中解放出來(lái)，提高安全防御能力。

自從Kindervag提出這個(gè)想法以來(lái)，他創(chuàng)建了一家管理服務(wù)公司，該公司提供了他創(chuàng)建的數(shù)十種解決方案之一。如今，幾乎所有主要的安全提供商都有一種服務(wù)或產(chǎn)品將零信任作為其產(chǎn)品名稱(chēng)的一部分，思科系統(tǒng)股份有限公司等一些公司最近也發(fā)布了新產(chǎn)品公告，將其定位在零信任領(lǐng)域。

但在實(shí)踐中，盡管推出這些產(chǎn)品，零信任解決方案在很大程度上仍然是不完整的，在某些情況下甚至沒(méi)有使用。Gartner公司分析師John Watts在該公司去年12月的年度預(yù)測(cè)備忘錄中寫(xiě)道，“在零信任的情況下從理論轉(zhuǎn)向?qū)嵺`是一項(xiàng)挑戰(zhàn)，目前只有不到1%的大型企業(yè)真正在使用它。”

此外，Watts預(yù)測(cè)，“到2025年，60%以上的企業(yè)將把零信任作為安全的起點(diǎn)，但超過(guò)一半的企業(yè)將無(wú)法意識(shí)到其好處。”與此同時(shí)，麻省理工學(xué)院林肯實(shí)驗(yàn)室的Nathan Parde在去年5月發(fā)表的一份報(bào)告中估計(jì)，典型的零信任部署將需要三到五年的時(shí)間。當(dāng)然，這是一個(gè)令人沮喪的消息。

這些結(jié)果與其他供應(yīng)商的調(diào)查結(jié)果大相徑庭。Okta公司的《2022年8月零信任安全狀況》報(bào)告發(fā)現(xiàn)，在接受調(diào)查的700家企業(yè)中，幾乎所有企業(yè)都已經(jīng)啟動(dòng)了零信任計(jì)劃，或者有在未來(lái)幾個(gè)月啟動(dòng)零信任倡議的明確計(jì)劃。

但這些結(jié)果多少有一些誤導(dǎo)。首先，從開(kāi)始到完成零信任的推出可能需要數(shù)年時(shí)間。其次，說(shuō)和做是截然不同的兩件事，而在這項(xiàng)調(diào)查中也表明有一些是零信任的有效執(zhí)行者。

網(wǎng)絡(luò)安全的簡(jiǎn)史

隔離網(wǎng)絡(luò)基礎(chǔ)設(shè)施以更好地保護(hù)各種資源的想法始于20世紀(jì)90年代中期出現(xiàn)的第一批網(wǎng)絡(luò)防火墻和虛擬專(zhuān)用網(wǎng)絡(luò)(VPN)。早在2008年，DarkReading公司就對(duì)許多可以被稱(chēng)為防火墻發(fā)明者的作者進(jìn)行了研究。大多數(shù)分析人士會(huì)說(shuō)，最早將防火墻商業(yè)化的是CheckPoint軟件技術(shù)有限公司，該公司至今仍在銷(xiāo)售防火墻。至于全球第一個(gè)VPN協(xié)議，大多數(shù)人都認(rèn)為是由微軟公司在1996年創(chuàng)建的，然后在本世紀(jì)初開(kāi)始流行，思科、瞻博網(wǎng)絡(luò)和其他公司仍在出售網(wǎng)絡(luò)防火墻和VPN。

防火墻和VPN的作用是通過(guò)制定各種策略來(lái)隔離網(wǎng)絡(luò)：來(lái)自?xún)?nèi)部營(yíng)銷(xiāo)數(shù)據(jù)庫(kù)的網(wǎng)絡(luò)流量將被允許進(jìn)入這部分網(wǎng)絡(luò)，而來(lái)自?xún)?nèi)部人事數(shù)據(jù)庫(kù)的網(wǎng)絡(luò)流量則不允許。或者允許來(lái)自外部網(wǎng)絡(luò)的查詢(xún)?cè)L問(wèn)企業(yè)的web服務(wù)器，但不允許訪(fǎng)問(wèn)其他任何數(shù)據(jù)。如何構(gòu)建這些策略是這兩款產(chǎn)品的秘密，網(wǎng)絡(luò)安全專(zhuān)家經(jīng)過(guò)培訓(xùn)和實(shí)踐才能弄清楚這一切。

在那個(gè)網(wǎng)絡(luò)邊界嚴(yán)格且定義明確的時(shí)代，這沒(méi)什么問(wèn)題。但隨著網(wǎng)絡(luò)應(yīng)用程序分散在網(wǎng)絡(luò)上，邊界不再是一個(gè)可行的想法，也不可能強(qiáng)制執(zhí)行。隨著企業(yè)使用更復(fù)雜的軟件供應(yīng)鏈，它們變得依賴(lài)于那些應(yīng)用程序編程接口，并且對(duì)各種軟件和組件如何組合在一起了解較少。

網(wǎng)絡(luò)攻擊者知道他們最終可以找到進(jìn)入網(wǎng)絡(luò)的方法。VPN和防火墻成為新的安全隱患，尤其是隨著越來(lái)越多不受信任的遠(yuǎn)程設(shè)備已經(jīng)加入企業(yè)網(wǎng)絡(luò)。

進(jìn)入零信任

這就是Kindervag提出零信任理念的由來(lái)。Kindervag表示，不能相信任何人或任何應(yīng)用程序，必須審查每次互動(dòng)，這是一些安全專(zhuān)業(yè)人士所說(shuō)的“最低特權(quán)”。它開(kāi)啟了一個(gè)自適應(yīng)身份驗(yàn)證的時(shí)代，用戶(hù)和應(yīng)用程序最初并沒(méi)有獲得100%的訪(fǎng)問(wèn)權(quán)限，但企業(yè)會(huì)根據(jù)具體情況逐步批準(zhǔn)。

例如，如果人們向銀行查詢(xún)當(dāng)前余額，必須證明自己擁有合法的賬戶(hù)。如果想轉(zhuǎn)移資金，則必須做更多的事情，如果想把資金轉(zhuǎn)移到一個(gè)新的海外賬戶(hù)，還必須做更多的事情。

如今的零信任創(chuàng)造了“信任經(jīng)紀(jì)人”的概念，即交易雙方都信任的調(diào)解人或中立的第三方。設(shè)置這些機(jī)制并不容易，特別是在雙方不一定直接了解或信任對(duì)方的情況下，特別是在不同的情況、應(yīng)用程序和用戶(hù)類(lèi)型需要不同代理的情況下。

這種復(fù)雜性就是當(dāng)今的零信任實(shí)現(xiàn)所處的位置。OpenText公司旗下的NetIQ公司在其“企業(yè)零信任狀態(tài)”報(bào)告中說(shuō)，“當(dāng)大量數(shù)據(jù)和工作負(fù)載現(xiàn)在生活在傳統(tǒng)網(wǎng)絡(luò)之外時(shí)，將企業(yè)系統(tǒng)、應(yīng)用程序和數(shù)據(jù)放在一個(gè)位置，并依靠多層安全工具和控制來(lái)將攻擊者拒之門(mén)外已經(jīng)不夠了。零信任不是一個(gè)單一的軟件，而是一個(gè)戰(zhàn)略框架。”將其可視化的一種方法是Gartner公司如何將其架構(gòu)圖顯示為一系列相互連接的部分，例如處理用戶(hù)身份、威脅情報(bào)和應(yīng)用程序。

人們需要了解“戰(zhàn)略”和“框架”，以及它們對(duì)零信任實(shí)現(xiàn)的意義。“戰(zhàn)略”意味著，在任何可靠的網(wǎng)絡(luò)安全計(jì)劃的核心，都需要盡可能地實(shí)現(xiàn)零信任。這正是美國(guó)總統(tǒng)拜登在兩年前發(fā)布的《改善國(guó)家網(wǎng)絡(luò)安全行政命令》所試圖推動(dòng)的目標(biāo)，其目標(biāo)是讓美國(guó)政府機(jī)構(gòu)實(shí)施零信任安全。

盡管這是值得稱(chēng)贊的，但仍遠(yuǎn)未實(shí)現(xiàn)。即使是采用行政命令也無(wú)法通過(guò)法令實(shí)現(xiàn)零信任，盡管最近，美國(guó)聯(lián)邦機(jī)構(gòu)被告知要取消對(duì)VPN和路由器等各種網(wǎng)絡(luò)設(shè)備的互聯(lián)網(wǎng)訪(fǎng)問(wèn)，這對(duì)任何信息技術(shù)管理者來(lái)說(shuō)都應(yīng)該是顯而易見(jiàn)的。

去年發(fā)布在《安全周刊》的一篇文章指出，“保證零信任的唯一方法就是眾所周知的拔掉電腦的插頭，把它包裹在六英尺厚的混凝土里，然后把它扔進(jìn)深海。”但這阻礙了可用性。因此，其訣竅在于從這種極端和不可行的位置轉(zhuǎn)向能夠提供安全性和業(yè)務(wù)利益并且實(shí)際上也有用的東西。這就是框架部分需要考慮的地方。

身份驗(yàn)證提供商N(yùn)ok Nok Labs公司的首席執(zhí)行官Phil Dunkelberger表示，“實(shí)現(xiàn)零信任框架沒(méi)有對(duì)錯(cuò)之分，但它基本上是一個(gè)很好的結(jié)構(gòu)。細(xì)節(jié)決定成敗，由于沒(méi)有一刀切的用戶(hù)和用例，因此很難部署。”

他的觀(guān)點(diǎn)是，在制定零信任實(shí)施計(jì)劃時(shí)，IT和安全管理人員提出了錯(cuò)誤的問(wèn)題。他說(shuō)：“零信任能帶來(lái)更好的業(yè)務(wù)成果嗎?我們會(huì)有更安全的應(yīng)用程序，或者提高這些基礎(chǔ)設(shè)施投資的回報(bào)嗎?”

重新思考信任

也許很多人對(duì)零信任的理解是錯(cuò)誤的。信任用戶(hù)或應(yīng)用程序需要一個(gè)連續(xù)的過(guò)程，就像自適應(yīng)身份驗(yàn)證一樣。企業(yè)開(kāi)始時(shí)要采取一些步驟來(lái)實(shí)現(xiàn)完全信任，每次提供一點(diǎn)。從全有或全無(wú)的方式來(lái)看，這種模式更適合當(dāng)今世界。

零信任概念化的一種方法是考慮采用微分段來(lái)隔離應(yīng)用程序，本質(zhì)上是將防火墻抽象到特定的工作負(fù)載和用戶(hù)。Gartner公司的Watts表示，這意味著“首先實(shí)施零信任，改善最關(guān)鍵資產(chǎn)的風(fēng)險(xiǎn)緩解，因?yàn)檫@將產(chǎn)生最大的風(fēng)險(xiǎn)緩解回報(bào)。”

Gartner公司使用了五個(gè)考慮因素來(lái)定義零信任：交付平臺(tái)是什么，如何安全地實(shí)現(xiàn)遠(yuǎn)程工作，如何管理各種信任策略，如何保護(hù)任何地方的數(shù)據(jù)，以及與第三方產(chǎn)品的集成情況。對(duì)于一個(gè)框架或一系列產(chǎn)品來(lái)說(shuō)，這都是需要實(shí)現(xiàn)的許多接觸點(diǎn)。

Watts在他的預(yù)測(cè)報(bào)告中說(shuō):“零信任可以作為一種思維方式、范式、戰(zhàn)略或特定架構(gòu)和技術(shù)的實(shí)施。”他提出了一些建議，以幫助企業(yè)更成功地實(shí)施，包括在項(xiàng)目開(kāi)始時(shí)定義零信任控制的適當(dāng)范圍和復(fù)雜程度，限制對(duì)設(shè)備和應(yīng)用程序的訪(fǎng)問(wèn)，以及應(yīng)用持續(xù)的基于風(fēng)險(xiǎn)的訪(fǎng)問(wèn)策略。

他說(shuō)：“從根本上說(shuō)，零信任意味著消除構(gòu)成許多安全計(jì)劃基礎(chǔ)的隱性信任(以及信任的代理)，建立基于身份和場(chǎng)景的信任。這需要改變安全程序和控制目標(biāo)的設(shè)置方式，尤其是改變對(duì)訪(fǎng)問(wèn)級(jí)別的期望。”

亞馬遜網(wǎng)絡(luò)服務(wù)公司(AWS)最近在加利福尼亞州阿納海姆舉辦的re:Inforce會(huì)議展示了這將如何運(yùn)作的例子。AWS公司網(wǎng)絡(luò)防火墻總經(jīng)理Jess Szmajda展示了現(xiàn)有的零信任服務(wù)(例如驗(yàn)證訪(fǎng)問(wèn)和VPC Lattice)將如何與一系列新的零信任服務(wù)協(xié)同工作，從而使AWS更加安全。它們包括經(jīng)過(guò)驗(yàn)證的權(quán)限和GuardDuty威脅監(jiān)控工具的擴(kuò)展功能，以增加更好的安全策略粒度和更多的預(yù)防性控制。AWS公司稱(chēng)之為“無(wú)處不在的身份驗(yàn)證”。

其結(jié)果是，企業(yè)應(yīng)該為零信任的實(shí)施做好漫長(zhǎng)而曲折的準(zhǔn)備。特別是如果他們能展示出直接的商業(yè)效益，那么邁出第一步是值得的。