零信任網路(亦稱零信任架構)模型是約翰·金德維格( John Kindervag )於2010年建立的,當時他還是研究機構Forrester的首席分析師。

如今7年過去了,隨著零信任的支撐技術逐漸成為主流,隨著防護企業系統及資料安全的壓力越來越大,隨著網路攻擊演變得更加複雜高端,零信任模型也在CIO、CISO和其他企業高管中間愈加流行了。Forrester認為,3年內零信任就將成為網路安全流行框架之一。

零信任是什麼?

零信任是一個安全概念,中心思想是企業不應自動信任內部或外部的任何人/事/物,應在授權前對任何試圖接入企業系統的人/事/物進行驗證。

簡言之,零信任的策略就是不相信任何人。除非網路明確知道接入者的身份,否則任誰都別想進入。什麼IP位址、主機之類的,不知道使用者身份或者不清楚授權途徑的,統統不放進來。

為什麼要用零信任?可以看看下面一組統計資料:

美國網路安全公司 Cybersecurity Ventures 發佈的《2017年度網路犯罪報告》預測,到2021年,網路犯罪所致全球經濟損失總額將達6萬億美元/年,比2015年的3萬億美元足足翻了一倍。

同時,波耐蒙研究所在IBM資助下所做的《2017資料洩露研究》發現,資料洩露事件所致平均損失為362萬美元。儘管該數字比上一年有所下降,但資料洩露事件的平均規模卻上升了1.8%,達到了平均每起事件洩露2.4條記錄之多。

而且,這些資料還是在公司企業對網路安全工作投入越來越多的情況下取得的。科技研究與諮詢公司Gartner將2017年全球資訊安全產品及服務開支標定在864億美元上,比2016年增長了7%。這家公司還預計,到2018年,資訊安全開支會達到930美元。

企業高管們認識到了現有安全方法並不足以應對愈趨嚴峻的安全態勢,他們需要更好的東西,而零信任模型恰好就能得到最好的結果。

為新世界而生的安全

零信任模型基本上打破了舊式邊界防護思維。舊有思維專注防禦邊界,假定已經在邊界內的任何事物都不會造成威脅,因而邊界內部事物基本暢通無阻,全都擁有存取權限。

但安全專家和技術專家並不認同邊界防禦的效果。他們指出,最嚴重的幾起資料洩露事件都是因為駭客進入公司防火牆之後基本沒遇到什麼阻礙就能在內部系統中來去自如。

IT系統的一個固有問題在於,太多東西可以經由默認連接四處巡遊。人們的信任太過寬泛,這是互聯網得以騰飛的原因所在,因為每個人都可以在任何時間共用任意東西。但這也是互聯網安全的癥結所在:如果你信任所有東西,你就沒機會保住任何東西的安全。

駭客和惡意威脅並非驅動零信任模型的唯一因素。

今天的企業IT部門為什麼需要新安全思維?很大程度上是因為邊界已經不存在了。純內部系統組成的企業資料中心不再存在,企業應用一部分在辦公樓裡,一部分在雲端——分佈各地的雇員、合作夥伴和客戶通過各種各樣的設備訪問雲端應用。

所有這些宏觀變化都推動了零信任這一新模型的流行。

面對工作流的移動化和雲端化,我們難免捫心自問:“新形勢下我們該如何保護自身安全呢?”新世界裡,防火牆已經逼近到了需要保護的資產身邊。

零信任背後的技術

在各種各樣的現有技術和監管過程支撐之下,零信任方法才得以完成保護企業IT環境的使命。

它需要企業根據使用者、使用者所處位置和其他資料等條件,利用微分隔和細細微性邊界規則,來確定是否信任請求企業特定範圍訪問權的使用者/主機/應用。

首先,要弄清楚用戶身份,確保用戶真的是他/她所聲稱的那個人;然後,要保證使用者所用終端是安全終端,或者該終端處在安全狀態;最後,還要有個條件策略,指定哪些人能訪問哪些東西。

零信任依靠多因數身份認證、身份與訪問管理(IAM)、編排、分析、加密、安全評級和檔案系統許可權等技術來做上述工作。最小許可權原則也是零信任倚賴的監管策略之一,也就是只賦予用戶完成特定工作所需的最小存取權限。

基本上,零信任就是公司企業收回安全戰場控制權,在各部門應用網路分隔和下一代防火牆,控制網路接入的身份、物件、地點和時間,是從內而外地施行控制,而不是由外而內。

現今的大部分IT場景中,零信任不僅僅是技術,還有關思維和過程。

如何實現零信任

部分企業的IT部門已經實現了零信任的很多方面。他們通常已經部署了多因數身份驗證、IAM和許可權管理。其環境中也越來越多地實現了微分隔。

然而,建立零信任環境不僅僅是實現這些單個技術,而是應用這些技術來施行“無法證明可被信任即無法獲得許可權”的理念。

企業得從戰略上確定哪些技術有助實現這一理念,然後再去買入這些技術。

在技術的應用上最忌諱病急亂投醫,與其期待亂買來的藥能治好病,不如先好好診斷診斷,弄清楚自身情況再採用相應的技術(藥)。

轉向零信任模型不是一朝一夕之功,也不是件容易的事兒,尤其是在有不適應該新模型的遺留系統的時候。

很多公司都在向雲端遷移,這是個全新的環境,很適合應用零信任模型,可以從雲端開始零信任旅程。公司企業,尤其是有著複雜IT環境和大量遺留系統的大型企業,應將零信任遷移看做是多階段跨年度的一項工程。

零信任遷移中的另一項挑戰,是讓員工具備該新理念的思維方式。

比較不幸的是,大多數企業IT專家接受的教育或培訓讓他們默認企業環境是可信的,他們被教導得想當然地認為防火牆能將壞人擋在外面。人們需要調整自己的思維模式,要清楚當前態勢下壞人可能早就在自家環境中了。

公司企業還需認識到,零信任與其他成功的IT或安全原則一樣,需要長期堅守,不斷維護,而且零信任工作中的某些部分會更具挑戰性。

比如說,微分隔工作中,安全/IT團隊就必須確保配置修改是恰當的,並更新不停改變的IP資料以保證員工工作或企業交易所需訪問不被中斷。否則,企業可能會面臨工作阻塞問題。

很多公司都會想,遭遇惡意軟體導致業務中斷,和配置錯誤導致停工一天,本質上都不是什麼好事。微分隔方法所需的持續維護可能會帶來很多臨時應急的措施,或許會讓網路更加脆弱。

在遺留系統和現有環境中整體應用零信任模型所導致的複雜性,表明公司企業真的沒有做好完全實現該模型的準備。

因此,公司企業最好是從設計上就打造零信任,而不是在原有基礎上修修補補。換句話說,應將零信任模型作為公司整體數位轉型戰略的一部分,實現那些有助於在雲遷移過程中達成零信任的技術,淘汰掉那些老舊的遺留系統。

而且,CISO、CIO和其他高管應參與進轉向零信任的過程中,這樣他們才能安排過程中各項事務的優先順序,確定哪些動作應儘快完成,而哪些部分可以先等等。

零信任遷移基本等同基礎設施轉型。資訊安全並沒有跟上數位轉型/現代化環境的腳步。但企業必須轉換安全管理的方式。想要整體安全,想要有安全準備度,就需要換一種思維方式

凱信資訊透過CASymantec 解決方案,協助企業建構零信任架構