零信任安全

零信任是如何运作的? 

Zero trust works by helping security organizations realize the power of least privileged access (LPA) -个体和组件应该只拥有执行所需操作所需的最小访问权限的概念. 它首先将第二个身份验证因素应用于先前由一组初步凭据验证的用户.

The entire 身份验证 attempt is risk-assessed in real time to see if, 例如, an individual's connection is in an allowed geofence, that the access time is within the usual operating mode of that person, 和 that the individual does not already have an established session.

即使攻击者设法通过-例如-较弱的SMS获得多因子代码 2因素身份验证 (2FA)，这是一个组织能够负担得起的实现——他们可能会实现一个成功的连接, but would not have general access to all intranet systems 和 services. 事实上, VPN连接只允许他们访问一组定义的应用程序或服务. 如果攻击者试图尝试网络扫描或执行其他行为网络操作, 监控系统将收到警报，该个人及其联系将被隔离以进行调查.

Each transaction has a defined set of 身份验证, 授权, 行为审计规则持续地让总体零信任系统确保交互的安全.

What are the Use Cases for Zero 信任? 

The zero-trust security methodology can really 应用 to any device, 应用程序, or 人类 connecting to the internet or connected systems. 身份验证适用于所有情况，特别是那些敏感性质的情况，以便最好地保护业务. Let’s take a look at some specific use cases:

保护设备访问

物联网(IoT)设备不断地从公司网络上的任意数量的应用程序发送和请求数据. In more traditional security models, IoT devices were imparted a certain level of trust based on a multitude of factors. As the number of these devices – 和 the attack surface of their users – expands, 实现零信任是至关重要的，这样可以加强安全性并对所有内容进行身份验证.

Securing Remote Worker/Application Access

由于世界各地的公司都在争先恐后地建立远程员工队伍，以缓解生产率下降的影响，此次疫情对攻击者来说是一份礼物. 攻击范围几乎在一夜之间扩大了，因为适当的安全措施已经成为保持企业运行的次要因素.

从大流行中复苏, much of the global workforce is hybrid – a few days in the office, 在家呆几天——因此，零信任等解决方案应该继续存在，以保护企业在这种新常态下的安全. Each worker must authenticate their access to corporate network 应用程序s, every day.

确保供应链准入

Relying on third party suppliers 和 vendors is the baseline in today’s economy. No business or security organization can be entirely independent 和 thrive. 利益相关者必须假设第三方对其网络的任何访问都是一个漏洞. 因此, 这些外部供应商必须不断验证和验证其网络存在，以减轻可能来自该供应商自身环境的网络威胁.

防范勒索软件

的根本原因 ransomware are attributable to a multitude of errors: misconfiguration, 人类, 弱认证协议, 和 general lack of cybersecurity awareness. Ok, so lots of those are 人类-attributable. 这就是为什么零信任架构是对抗勒索软件的关键武器——它只需要对人类或应用程序需要采取行动的区域进行身份验证.

如何实现零信任

While this section could fill an entire book, let's talk about the scenario of the beginning of a zero-trust journey. 迈出第一步, 您需要选择至少一个业务流程或服务访问场景来迁移到这个新模型. 

提出解决方案

必须标识负责启用业务流程或服务的每个组件和个人，并对体系结构进行完整的文档记录. 此时此刻, 您可能会发现需要重新构想体系结构，以确保拥有必要的控制和审计点.

You'll then need 身份验证, 授权, 审计, risk-assessing, 以及支持流程或服务中每个连接的访问决策的实施解决方案. 最后, 您将需要人员来支持所执行的规则的创建和维护, 除了传统的 打补丁，缓解，和 配置管理 执法活动.

然后, repeat for all other processes 和 services. In other words, it’s quite an effort to get scalable zero trust off the ground.

时间和资源

然而, 你不应该——而且, 在现实中, cannot – move every 业务流程 和 service to zero trust all at once. 一旦您评估了最初的服务，就开始获取必要的工具和服务的基础工作 雇佣必要的员工 to ensure a successful outcome. 然后, 当资金和时间对你有利时，你可以将最初的服务转变为零信任, 在你评估维持安全和恢复力所需的条件时，把它留在原地一段时间. Once you’ve adjusted your tooling 和 staffing plans accordingly, you can get to work on the remaining processes or services.

值得庆幸的是, 在现有的安全性和遵从性解决方案和流程中，您可能有许多这样的组件和人员, 最终，您可以使用更多现有投资的能力，而不是大多数组织通常使用的5-15%.

Adopting the Zero-信任 Mindset

在组织中引入零信任时，需要克服的最大心态挑战之一是担心模型施加的约束会降低生产力并阻碍创造力. These fears can be overcome with the right framing of zero trust:

• Start by performing a scenario-based risk assessment of a given 业务流程. Do this with the 业务流程 owner(s) or stakeholder(s), 并确保您列举了威胁参与者在流程中的每个事务点可能采取的操作, ideally with some measurement to the costs – due to loss of safety 和 resilience.
• 接下来展示如何使用相同业务流程的零信任实现来减少或消除每种威胁, 请注意，从一开始就以零信任的心态开发的新流程可能会降低实施成本, be far more safe 和 resilient, 并且随着时间的推移可以更容易地增强，因为它们已经建立在坚实的基础上.