建立零信任IT环境的5个步骤

雷英

零信任不是产品或服务，当然也不仅是流行语。相反，它是网络安全防御的一种特殊方法。顾名思义，不是“先验证，后信任”，而是“永远不要信任，永远要验证”。

本质上，零信任是通过限制数据访问来保护数据。无论是否在网络范围之内，企业都不会自动信任任何人或任何事物。零信任方法要求在授予访问权限之前，对试图连接到企业的应用程序或系统的每个人、设备和帐户等进行验证。

然而，网络安全系统设计之初不是已有这个功能了吗？难道零信任只是在此基础上增加某些额外的控件？

的确，零信任框架包括许多企业广泛使用的数据保护技术。但是，零信任代表着一个清晰的支点，即如何思考网络安全防御。这种方法不仅可以保护整个企业，而且还可以将该范围扩大到组织内外的每个网络、系统、用户和设备。利用强大的身份、多因素身份验证、受信任的端点、网络分段、访问控制和用户规则来分隔和规范敏感数据以及系统访问，从而让零信任成为可能。

简而言之，零信任是一种新的思考网络安全方法，可帮助组织在瞬息万变的安全威胁形势下保护其数据、客户和自己的竞争优势。

网络安全零信任正恰逢其时

企业高管已经感受到保护企业系统和数据的压力了。投资者和数据主体（客户和消费者）也坚持要求有更好的数据安全。某些数据和应用程序为本地部署，而某些则在云中，安全问题将变得更加复杂，从员工到承包商和合作伙伴，每个人都在使用多个位置的各种设备来访问这些应用程序。同时，政府和行业法规也在提高保护重要数据的要求，零信任可以帮助企业满足这些合规要求。

零信任网络安全技术

零信任背后的技术正在迅速发展，这也让该方法如今更加实用。实现零信任网络安全框架的方法不是单一的，也不仅只是一种技术，而是需要多种技术，这样才可以确保只有经过安全验证的用户和设备才能访问目标应用程序和数据。

例如，基于“最低特权”的原则授予访问权限，仅为用户提供完成工作所需的数据。这包括实施到期特权和一次性使用的凭证，这些凭证在不需要访问后会被自动吊销。此外，将连续检查和记录流量，并限制访问范围，以防止数据在系统和网络之间进行未经授权的横向移动。

零信任框架使用多种安全技术来增加对敏感数据和系统的访问粒度。比如，身份和访问管理（IAM）、基于角色身份的访问控制（RBAC）、网络访问控制（NAC）、多因素身份验证（MFA）、加密、策略执行引擎、策略编排、日志记录、分析以及评分和文件系统权限。

同样重要的是，可以使用技术标准和协议来支持零信任方法。云安全联盟（CSA）开发了一种称为软件定义边界（SDP）的安全框架，该框架已应用于某些零信任措施。互联网工程任务组（IETF）通过批准主机标识协议（HIP）为零信任安全模型做出了贡献，该协议代表了OSI堆栈中的新安全网络层。在这些进步的技术基础上，许多供应商逐渐将零信任解决方案推向市场。

基于这些技术、标准和协议，组织可以使用3种不同的方法来实现零信任安全：

网络微分段，将网络刻画到小的粒度节点，一直到某个设备或应用程序。安全协议和服务交付模型是为每个单独的细分市场设计的。

SDP，基于一种“需要了解”的策略，即在授予对应用程序基础结构的访问权限之前，先验证设备的状态和身份。

零信任代理，可充当客户端和服务器之间的中继，有助于防止攻击者入侵专用网络。

在特定情境中哪种方法最佳，取决于保护对象是哪些应用程序，当前的基础架构如何，是在未开发的环境中还是传统环境中进行等多种因素。

构建零信任环境的5个步骤

建立零信任框架并不意味着一定需要完全的技术转型。通过使用以下这些循序渐进的方法，企业以可控的、迭代的方式进行，从而帮助获取最佳效果，同时对用户和操作系统的干扰降到最低。

（1）界定保护表面范围。零信任环境下，企业不会专注于攻击表面，而只会专注于保护表面，专注于对公司最有价值的关键数据、应用程序、资产和服务。保护表面，比如信用卡信息、受保护的健康信息、个人身份信息、知识产权、应用程序（现成的或定制的软件）、SCADA控件、销售点终端、医疗设备、制造资产和IoT设备等资产以及DNS，DHCP，Active Directory等服务。

一旦界定保护面后，可以将控件尽可能地移近它，附上限制性的、精确的和可理解的策略声明，以此创建一个微边界（或分隔的微边界）。

（2）记录事务流量。流量在网络中的传输方式决定了它的保护方式。因此，获得有关DAAS相互依赖关系的上下文信息十分重要。记录特定资源的交互方式有助于适当加强控制并提供有价值的上下文信息，确保最佳的网络安全环境，同时对用户和业务运营的干扰降到最低。

（3）构建零信任IT网络。零信任网络完全可以自定义，而不仅是一个通用的设计，而且该体系结构主要围绕保护表面构建。一旦定义了保护表面并根据业务需求记录了流程，就可以从下一代防火墙开始制定零信任架构。下一代防火墙充当分段网关，在保护表面周围创建一个微边界，对任何尝试访问保护表面内的对象使用分段网关，可以强制执行附加的检查和访问控制层，一直到第7层。

（4）创建零信任安全策略。构建网络后，将需要创建零信任策略来确定访问流程。访问用户对象、访问应用程序、访问原因、倾向的这些应用程序连接方式以及可以使用哪些控件来保护该访问，这些问题都要提前了解。使用这种精细的策略实施级别，可以确保仅允许已知的流量或合法的应用程序连接。

（5）监视和维护网络。这是最后一步，包括检查内部和外部的所有日志，并侧重于零信任的操作方面。由于零信任是一个反复的过程，因此检查和记录所有流量将大大有益，可提供宝贵的参考，以了解如何随着时间的推移改进网络。

其他注意事项和优秀實践

对于考虑采用零信任安全模型的企业，以下是一些其他的注意事项：

选择架构或技术之前，确保具有正确的策略。零信任是以数据为中心的，因此，重要的是考虑数据的位置，需要访问的人以及可以使用哪种方法来保护数据。Forrester建议将数据分为3类———公开、内部和机密，组建带有微边界的“数据块”。

从小处着手积累经验。为整个企业实施零信任的规模和范围可能是巨大的。例如，谷歌花了7年时间才实施自己的BeyondCorp项目。

考虑用户体验。零信任框架不必破坏员工的正常工作流程，即使他们（及其设备）正受到访问权限验证的审查。有些过程在后台进行，或许用户根本看不到。

对用户和设备身份验证实施强有力的措施。零信任的基础在于，在完全验证为有权访问内部资源之前，没有任何人、任何设备可以信任。因此，基于强身份、严格的身份验证和非持久权限的企业范围IAM系统是零信任框架的关键构建块。

将零信任框架纳入数字化转型项目。重新设计工作流程时，还可以转换安全模型。

当下是采用零信任安全模型最好的时候。技术已经成熟，协议和标准已经确定，对于新的安全性方法的需求不容忽视。