什麼是零信任？
零信任架構在過去幾年中迅速崛起，成為許多尋求可靠安全系統的組織的首選。該模型於 2010 年首次提出，但在幾年後 Google 宣布已將此安全概念實施到其業務中時獲得了廣泛關注。儘管在大小公司中越來越受歡迎，但零信任模型在普通互聯網用戶中仍然相對不為人知。這就是為什麼，在我們深入研究它的安全模型和這個安全系統的實現之前，我們必須了解什麼是零信任。
首先，讓我們回顧一下網絡安全的歷史。它告訴我們，無論公司規模如何，像零信任這樣的安全系統都能提供可靠的安全性。本世紀初發生的大規模違規事件證明，現有的邊界安全系統已經過時，無法為用戶和公司提供最大的安全性。
那麼，什麼是零信任？簡單來說，零信任網絡架構是一種允許用戶識別特定“保護面”的模型。該表面可以包括網絡最重要的數據、應用程序或服務的特定方面。這是一種從公司安全結構中移除信任概念的策略。基於“永遠懷疑”的原則，零信任的創建方式是在不犧牲用戶體驗和控制的情況下保護現代數字網絡。
什麼是安全模型？
零信任安全模型基於三個核心價值：
- 輕鬆訪問所有設備，無論它們位於何處
- 自下而上的最小特權策略和嚴格控制
- 嚴格的生態系統監控
從零信任安全的這三個主要價值來看，我們可以說這種安全方法不需要改變現有的安全措施。相反，它基於大多數安全策略運行所基於的熟悉的安全模型。而且，當我們從安全模型的定義來看這一點時，這非常有意義：“安全模型是用於識別和實施安全方法的任何計算機模型。它是製定具體公司政策的框架”。雖然這個定義是在零信任安全之前幾年創建的，但它仍然適用於這個安全系統，使零信任成為迄今為止最成功的網絡安全模型示例。
零信任背後的技術
零信任安全背後的主要理念是假定網絡容易受到來自內部和外部的攻擊者的影響。與此相一致，零產品的原則是假設不應自動信任任何用戶或設備。之後，零信任安全應用所謂的“最小特權”訪問模型。這意味著用戶只能獲得他需要的最低級別的訪問權限。這種需要知道的基礎最大限度地減少了用戶對包含敏感信息的網絡部分的潛在暴露。除了限制對用戶的訪問外，零信任在設備方面也是如此。零信任模型應該監控有多少不同的設備試圖訪問系統，並確保每台設備都獲得授權，無論用戶之前的活動如何。
零信任的另一個重要方面是多因素身份驗證。幾週前，當我們談到 MFA 給用戶帶來的所有好處時，我們已經談到了這個話題。用幾句話概括一下，MFA 要求用戶在登錄網絡時輸入多個身份證明。最流行的例子是像谷歌和 Facebook 這樣的平台，它們要求用戶輸入發送到另一台設備的密碼和代碼，通常是特定的手機號碼。
零信任的工作方式意味著它不依賴於特定位置。它有積極和消極的一面。積極的一面是用戶可以從任何地方訪問數據：工作、家庭、咖啡店，甚至國外，只要他們在登錄時驗證自己的身份即可。這方面的消極方面落在了公司身上，這是事實零信任方法必須遍及公司的整個網絡環境。所有這一切還意味著工作負載是高度動態的，並且可以跨多個數據中心移動，無論它們是公共的、私有的還是混合的。
零信任公司真的應該不信任任何人嗎？
雖然零信任安全已被證明是一種非常成功的網絡保護模型，但許多安全專家建議它可以以稍微不同的方式運行。專家建議零信任應該將受信任和已知的網站列入白名單，而不是拒絕所有網站。然而，到目前為止，這種情況發生的可能性很小，主要有兩個原因——創建這樣一個系統不會大幅減少公司的工作量。此外，它會增加通過合法站點滲透的潛在風險，因為惡意廣告或惡意軟件甚至可以感染受信任的站點。
事實上，限制對用戶和設備的訪問有時會給用戶帶來障礙，並且還需要實施此類系統的公司付出額外的工作和資源。一方面，用戶必須不斷請求訪問，而另一方面，公司的 IT 人員必須將注意力從其他重要的網絡事務轉移到監視和調查用戶請求上。但儘管如此，以最大網絡安全為目標的網站不應信任任何網站或用戶。沒有辦法維持一個 100% 有效的安全系統，但實施這樣一個系統是下一個最接近擁有一個系統的事情。
網絡零信任
正如我們在本頁開頭提到的，谷歌是第一家實施零信任驗證的大公司。它極大地幫助零信任在網絡世界中獲得了突出地位。由於谷歌主要依賴其云技術，因此隨著谷歌員工人數多年來的持續增長，潛在的違規機會不斷增加。谷歌實施了具有四個獨立層的零信任系統——不可信、基本訪問、特權訪問和高特權訪問。根據設備或用戶的許可級別，Google 提供適量的可訪問信息。
其他使用零信任的公司
在谷歌之後，許多其他大公司也紛紛效仿實施這一安全措施。在許多在其網絡上使用零信任安全性的大公司中，我們將選擇兩家截然不同但在其領域內具有影響力的公司——西門子和 Kayak。讓我們從後者開始。 Kayak 是行業領先的旅遊搜索引擎，每年進行數十億次與旅遊相關的搜索。員工遍布全球的公司結構也增加了黑客攻擊和其他惡意行為的風險。因此，Kayak 使用零信任安全系統來限制其員工和訪客的潛在安全風險。
另一方面，西門子與 Kayak 不在同一個業務範圍內運營。該公司的數字化網絡是最大的數字應用製造商之一。因此，他們平台的用戶體驗、可靠性和安全性是他們產品的一些最關鍵的方面。由於他們的業務規模龐大，零信任是西門子的最佳選擇，因為它允許他們做我們之前在文章中提到的事情。該公司擴大了規模並將其基於雲的業務劃分為多個安全模型，從而為需要它的數據提供最大的安全性。
Hideez 還在我們的產品中採用了零信任方法。如果您想了解更多我們如何讓您的企業更安全。
零信任實施
鑑於所有關於零信任架構的信息，這種安全模型可能看起來勢不可擋，而且實施起來非常困難。但是，完全不是這樣。由於零信任不需要任何特定產品即可工作，因此部署起來並不復雜且成本不高。它內置於您現有的安全架構中，您不必用新的高科技產品替換任何現有設備。以下是關於如何實施零信任安全的快速五步流程：
- 確定要保護的表面
- 映射網絡流量
- 創建零信任模型
- 構建零信任安全策略
- 監控和維護環境
成功實施的零信任安全模型可以幫助您更有效地識別數據、用戶、信息流和潛在風險。在映射表面上添加其他安全方法，例如雙因素身份驗證，可以額外保護您的網絡並允許您更正確地驗證信息。
正確確定所有必要步驟需要做大量工作。首先，您需要識別表面，這本身就是一項艱鉅的任務。在此之後，您必須觀察和了解用戶使用您的網絡和服務的方式。這是確定您的零信任政策的關鍵步驟。完成所有這些步驟後，唯一剩下的就是實時監控和控製表面。通過這樣做，您將能夠檢查需要修補的功能和機制，並在您繼續進行時改進您的策略。
實施微分段
當我們討論零信任實施的主題時，另一個值得關注的方面是微分段。這是在數據中心創建特殊安全區的安全方法。通過實施微分段，公司可以隔離特定的工作負載並單獨保護它們。主要目的是使網絡安全更加精細，並分別保護已部署數據的不同部分。
當然，就像現有的任何安全模型一樣，微分段也有其優點和缺點。微分段的主要優點是它允許公司減少整體威脅面。這意味著，即使一個數據中心遭到破壞，其他工作負載或應用程序被黑客攻擊的風險也會大大降低。微分段的另一個明顯優勢是它帶來的運營效率。當一切都被精確劃分時，公司員工可以更有效地監控、訪問和控制所有現有的數據和安全系統。
另一方面，這種系統的最大缺點在於整合本身。運營多年但未將數據整合到特定細分市場的公司在決定實施微細分時將面臨大量工作。話雖如此，微分段與零信任安全性一起可以在保護業務方面發揮很大作用，並有助於最大程度地減少對公司數據的潛在威脅。
