零信任是每個(gè)CIO和CISO的重點(diǎn)工作，零信任主要是為了克服當(dāng)今現(xiàn)代IT領(lǐng)域中傳統(tǒng)安全方法帶來(lái)的挑戰(zhàn)。根據(jù)Cybersecurity Insiders的數(shù)據(jù)顯示，只有15%的企業(yè)表示他們?cè)?019年底前已部署零信任政策，但超過(guò)50%的企業(yè)計(jì)劃在明年部署。越來(lái)越多的企業(yè)正過(guò)渡到零信任安全模型，但是很少企業(yè)將這一目標(biāo)變?yōu)楝F(xiàn)實(shí)。
首先，我們應(yīng)該理解為什么零信任現(xiàn)在已經(jīng)成為最重要的問(wèn)題。直到最近，企業(yè)主要依靠網(wǎng)絡(luò)訪問(wèn)權(quán)限和分段來(lái)隔離受信任的內(nèi)部網(wǎng)絡(luò)流量與不受信任的外部流量。但是，一旦攻擊者入侵網(wǎng)絡(luò)，該網(wǎng)絡(luò)內(nèi)的所有數(shù)據(jù)可能會(huì)受到威脅。通過(guò)分析和檢查，我們看到這個(gè)明顯的趨勢(shì)：大多數(shù)嚴(yán)重的數(shù)據(jù)泄露事故發(fā)生在攻擊者在網(wǎng)絡(luò)內(nèi)找到立足點(diǎn)后。當(dāng)攻擊者進(jìn)入網(wǎng)絡(luò)后，他們可以利用系統(tǒng)漏洞、受攻擊的憑證或防火墻中的漏洞，以在沒(méi)有檢測(cè)到的情況下進(jìn)入其他內(nèi)部系統(tǒng)。
是時(shí)候部署零信任
鑒于我們所知道的，企業(yè)正在尋找方法以限制攻擊者在企業(yè)環(huán)境中橫向移動(dòng)。但是，在當(dāng)今世界，僅靠網(wǎng)絡(luò)分段和最低特權(quán)的網(wǎng)絡(luò)訪問(wèn)并不夠。COVID-19疫情加速SaaS的使用，這使關(guān)鍵數(shù)據(jù)傳輸?shù)匠Ｒ?guī)網(wǎng)絡(luò)邊界之外。
這就是零信任安全模型發(fā)揮作用的地方。零信任是假定網(wǎng)絡(luò)邊界的兩邊都存在不受信任的用戶。通過(guò)使用這種方法，用戶就不會(huì)毫無(wú)疑問(wèn)地信任企業(yè)內(nèi)部或外部的任何事物。任何嘗試連接到內(nèi)部業(yè)務(wù)系統(tǒng)的設(shè)備或用戶都必須經(jīng)過(guò)驗(yàn)證，然后才能授予訪問(wèn)權(quán)限。零信任還要求強(qiáng)制執(zhí)行最小特權(quán)方法的治理策略，這意味著將為用戶授予完成特定任務(wù)所需的最小訪問(wèn)權(quán)限。為此，企業(yè)經(jīng)常使用多種技術(shù)，包括多因素身份驗(yàn)證、身份和訪問(wèn)管理、網(wǎng)絡(luò)訪問(wèn)控制和加密。
零信任方法的另一個(gè)關(guān)鍵要素是監(jiān)視和檢查所有請(qǐng)求，而不僅僅是外部發(fā)出的請(qǐng)求。即使你擁有最低特權(quán)訪問(wèn)權(quán)限，總會(huì)有特權(quán)用戶訪問(wèn)系統(tǒng)中的敏感數(shù)據(jù)，從而使這些用戶成為配置更改和數(shù)據(jù)泄漏的潛在渠道。因此，企業(yè)需要對(duì)用戶活動(dòng)進(jìn)行持續(xù)的監(jiān)視和分析，以確?？梢匝杆侔l(fā)現(xiàn)和消除任何潛在風(fēng)險(xiǎn)。
所有擁有敏感數(shù)據(jù)的企業(yè)都應(yīng)考慮零信任模型。政府機(jī)構(gòu)經(jīng)常制定標(biāo)準(zhǔn)，因?yàn)樗麄兪蔷W(wǎng)絡(luò)攻擊的最常見(jiàn)目標(biāo)，但他們采用的方法也應(yīng)在整個(gè)私營(yíng)部門中使用。無(wú)論是客戶數(shù)據(jù)、員工數(shù)據(jù)、財(cái)務(wù)數(shù)據(jù)還是知識(shí)產(chǎn)權(quán)，零信任原則都可以確保重要資產(chǎn)的安全。我們無(wú)法避免攻擊者攻擊設(shè)備或憑據(jù)，而攻擊者后續(xù)的攻擊程度取決于企業(yè)建立最小特權(quán)訪問(wèn)的程度，以及縮小這些設(shè)備和憑據(jù)可以執(zhí)行的范圍的程度。
單靠網(wǎng)絡(luò)不能保護(hù)數(shù)據(jù)
跨身份、網(wǎng)絡(luò)、設(shè)備和應(yīng)用程序部署零信任模型非常重要，它可以幫助避免導(dǎo)致關(guān)鍵數(shù)據(jù)丟失到重大數(shù)據(jù)泄露事故。對(duì)于那些不確定零信任度價(jià)值的企業(yè)，應(yīng)從對(duì)其身份、網(wǎng)絡(luò)、設(shè)備和應(yīng)用程序的審核開(kāi)始。毫無(wú)疑問(wèn)，他們會(huì)發(fā)現(xiàn)影子IT、僵尸帳戶和特權(quán)用戶過(guò)多的情況，這些情況顯然存在危險(xiǎn)。
零信任的理念可以立即開(kāi)始解決當(dāng)前的差距，并為管理未來(lái)的風(fēng)險(xiǎn)提供基礎(chǔ)。對(duì)于零信任，目標(biāo)是隨著時(shí)間流逝減少風(fēng)險(xiǎn)，實(shí)現(xiàn)持續(xù)改善，并認(rèn)識(shí)到某些風(fēng)險(xiǎn)可能始終存在，但風(fēng)險(xiǎn)更小總好于更多。
