网络安全的新基石，从“零信任”开始
最后更新：2020-04-27 09:56:45 手机定位技术交流文章
2020必然与一个词紧密相连，那就是安全。
随着这种新流行疾病在全球的传播，几乎每个人都开始小心翼翼地减少外出，并与他人保持社会距离。相应地，人们有更多的时间花在电子设备和网络世界。
与猖獗的病毒对人类健康造成的威胁相比，网络世界中的安全威胁更加难以检测。然而，随着企业和个人越来越多地将他们最重要的数据资产存储在网络端和云中，网络安全的威胁也变得棘手和严重。
2月底，SaaS服务提供商魏梦的业务数据被其内部员工故意删除，导致300万平台商户的小程序全部停机。许多商人遭受重大损失，而魏梦的市场价值大幅下降。该事件被视为行业内企业数据安全的转折点。
4月初，受疫情影响、用户数量急剧增加的远程视频软件Zoom暴露在重大安全漏洞下，引发了股东集体诉讼。漏水的房子经常在晚上下雨。最近，Zoom被揭露有53万用户在线证书挂在隐藏的网络上低价出售。虽然Zoom的数据泄露是针对黑客的库冲突攻击，但作为视频会议软件，Zoom会涉及会议内容、摄像头、远程桌面等隐私问题。，这种数据泄露再次引发了媒体和许多企业组织的抵制和禁止。
结合以前国内很多企业在用户数据安全和隐私保护方面暴露出来的问题，我们会发现网络安全仍然是产品开发和运营中的一大短板。
但是现在，远程协同办公的兴起也使得企业内部网面临新的安全威胁。由传统的虚拟专用网络和防火墙组成的网络安全架构已经不能满足大量企业员工接入外部网络的需求。
早在10年前就被提出的一种“零信任安全”已经成为企业在网络安全方面的一种新的选择。
不信任是实现最佳安全的第一步吗？
信任的安全危机可能源于古希腊神话中的“特洛伊木马”。希腊人制定的特洛伊木马计划骗取了特洛伊人的信任。特洛伊木马被自己带入特洛伊城，而希腊人从内部攻破了它。这一经典策略引发了互联网时代最猖獗的网络攻击。通过在普通程序中植入木马程序，可以实现对被感染计算机的远程控制。
对于许多企业的数据中心来说，传统的网络安全是通过一系列防火墙或杀毒软件来防御这些外部威胁。但是，如果拥有适当凭证和权限的用户进入系统，这些外围防御系统将自动释放，并且与它们的信任关系隐藏在系统内部，这使得很难防止这些用户的不良行为。
一个是用户账户被盗后的黑客行为。一个是用户自己的侵权行为，比如微联员工的“删库”，这种内部损害可能更严重。
目前，在系统内实现数据保护最可行的方法是零信任网络访问模式。这种安全体系结构将改变企业数据保护的现有规则。
所谓的零信任网络接入(ZTNA)是由Forrester副总裁兼首席分析师约翰·金德瓦格在2010年提出的。这意味着你不能信任任何进出网络的东西。应该通过强大的身份验证技术来保护数据，以创建一个新的以数据为中心的边界。简单地说，“永远不要相信，永远要验证。”
为什么企业需要零信任网络访问？
首先，网络安全问题造成的全球经济损失逐年增加。据估计，到2021年，网络犯罪造成的全球经济损失总额将达到6万亿美元。世界上主要的数据泄漏事件都是由黑客突破公司防火墙后完全访问内部网络造成的。
虽然企业在信息网络安全上的支出逐年增加，但传统的安全方法已经难以应对日益严峻的安全威胁形势，改变旧的安全边界的保护思路和方法成为突破口。
此外，最重要的变化是企业的安全边界正在变得模糊。受企业数字化转型和云计算服务增长的影响，以防火墙和虚拟专用网为代表的传统安全技术构建的企业边界正被云服务的场景模式瓦解。大量的外部访问扩大了攻击渗透到企业的威胁。
这样，传统的“内部等于可信”和“外部等于不可信”的网络安全概念需要被打破，零信任网络接入的“只认证只信任”的优势也凸显出来。
如何实现零信任网络安全？
零信任网络访问要求企业根据用户、位置等数据条件建立微隔离和细粒度的边界规则，以确定请求访问特定企业范围的用户、主机或应用是否可信。要实现零信任网络访问，必须做到以下几点:首先，必须确认用户的身份，并通过交叉验证确保这是用户的登录操作；其次，必须确保用户使用的终端的安全。第三，建立一个有条件的限制政策，以澄清访问权。第四，访问控制要求根据基于尽可能多的属性的最小权限、信任和风险度量原则进行细粒度授权，以实现动态自适应访问控制。
零信任网络访问需要依靠多因素认证、身份和访问管理、编排、分析、加密、安全评级和文件系统权限来完成上述工作。
许多企业的IT部门已经在其网络环境中部署了多因素身份认证、身份和访问管理以及权限管理。他们通常采用软件定义的边界(SDP)和微隔离技术来有效地阻止服务器或网段之间的访问权限。
软件定义的边界正在以更细粒度的控制、更灵活的扩展和更高的可靠性改变传统的远程连接方法。然而，网络微隔离是为了在传统的区域架构下进一步细分网络区域以增强安全性。微隔离通常用于数据中心网络，以细分区域内的应用程序，实现细粒度隔离和工作流级别的可视化管理，并且正在成为虚拟化环境中首选的网络隔离方案。
当然，建立零信任安全环境不仅是为了实现这种单点技术，也是为了在这些技术的应用中贯彻“不验证，不信任”的理念。
作为一个全新的安全概念，零信任应该是企业决策者今后将坚持的措施。据旧金山计算机安全研究所统计，60%至80%的网络滥用事件来自内部网络，对内部人员信任的损害程度远远超过黑客攻击和病毒造成的损失。企业需要调整思维方式，使零信任概念成为管理者和员工自觉遵守的行为准则。
事实上，零信任架构更适合企业在迁移到云的环境中构建。然而，那些拥有复杂IT环境和大量旧系统的大型企业需要将零信任体系结构的迁移视为一个多阶段、长期的整体项目。作为企业整体数字转型战略的一部分，零信任架构实现了在云迁移过程中帮助实现零信任的技术，然后消除了那些旧的遗留系统。
也就是说，在采用相应的技术之前，应该先进行总体设计。
零信任网络安全的应用实践
2018年，Gartner提出零信任是持续适应性风险和信任评估(CARTA)的第一步。零信任应该根据需要向不同的身份(设备、用户和网络流量)授予区别化和最小化的访问权限，并通过连续身份认证改变“通过身份认证信任”的保护模式。
国内外企业基于对零信任安全框架的理解进行了技术探索和布局。
在软件定义的边界上，谷歌超越公司基于设备、用户、动态访问控制和行为感知策略实施其零信任概念。所有流量都通过统一的访问代理进行身份验证和授权。实时更新信息库中的用户、设备、状态、历史用户行为可信度等相关信息。采用动态多轮评分机制将请求源划分为信任级别，从而进一步实现级别内的最小权限控制。
这里的作者有一个痛苦的教训。我一直在试图找回一个10多年前注册的Gmail账户，但由于我使用的手机号码已被取消，我从未能通过任何其他验证方式找回该账户。这也可能意味着谷歌的零信任验证过于谨慎。
此外，思科、威瑞森和国内云深度互联等企业都引入了基于零信任的SDP服务方案。
在微隔离技术方面，网络安全初创公司Illumio拥有一个基于微隔离技术的自适应安全平台。在分离策略配置方面，应用人工智能学习网络流量模式，提供多种便捷的配置模式和可视化显示。国内企业如罗斯智能和罗克网也在积极探索微隔离和视觉安全解决方案。
根据高德纳在“零信任网络接入市场指南”中的战略规划假设，到2022年，80%对生态伙伴开放的新数字商务应用将通过零信任网络接入。到2023年，60%的企业将淘汰大部分虚拟专用网，并使用零信任网络接入。
目前，在中国企业数字化转型和云上业务趋势的推动下，业务模式转型和云上迁移将为零信任网络安全提供一个实用平台，充分利用内部业务、数据、设备等信息，形成一个连续、动态、细粒度的零信任安全保护方案。
同时，对于传统安全厂商，应积极推进全新网络安全技术和安全理念的改革，将零信任理念与传统身份管理和访问控制技术相融合，充分发挥传统安全厂商在身份管理领域的根深蒂固的优势，推动零信任理念与传统技术的深度融合。只有这样，基于零信任的动态身份管理和访问控制解决方案才能加速其实施。
正如之前的微联和Zoom案例所显示的那样，如果企业对网络安全不够重视，在网络安全意识和概念上继续遵循传统的技术思维，一个错误就会导致极其严重的安全危机和巨大的业务风险。
面对关系到企业生存和发展的重大问题，把网络安全视为企业的生命线并不过分，以零信任模式推进网络安全系统的升级也必须提上许多企业的议事日程。
本文由 在线网速测试 整理编辑，转载请注明出处。
