拆解零信任，“三分技术，七分管理”？

作者 | 中国软件网 赵满满

---

进办公大楼，利用办公室的电脑，通过密码验证、登录并通过本地服务器，员工就可以访问企业信息系统、应用、数据等所需要的一切。

 

在传统的办公模式下，从网络安全的角度来看，企业的人员、数据和IP在理论上都是安全的。

 

现在，企业办公的方式发生了巨大的变革，远程办公成为许多公司的“新常态”。如果还延续传统办公的基于设备的访问管理模式，那么无疑是打开了潜在攻击的潘多拉魔盒，安全威胁将大幅增长。

 

零信任安全在应对企业面临的挑战中地位独特，提供了更好的安全性，提高了灵活性，同时又降低复杂性。

中国软件网认为，在企业制定数字化转型计划时，在2021年将零信任安全纳入规划，是构建新十年主动保护的一个明智之举。

 

 

01

零信任安全将成为企业的首要安全规划

 

传统的企业安全防护更像是在建设一个堡垒，它将企业围在堡垒之内，努力建立高高的城墙，并挖下深深的壕沟。企业相信城墙越高，壕沟越深，企业越安全。

 

亚信安全身份安全事业部总经理张辉解释说，其实这些看似强大的安全边界，却导致信任被划分成了两个区域——边界内的信任和边界外的信任。边界内的活动因为堡垒的存在而建立的安全信任其实非常脆弱。实际情况是，恶意攻击者只要有足够耐心，积累足够知识，总可以乔装跨过吊桥，进入内部不设防的城堡，从而面对一马平川的乐土为所欲为。

 

那么零信任有什么特殊之处呢？零信任彻底贯彻最小化原则，以“除非证明是可信的，否则绝不信任”为准绳，对网络行为进行持续的监测，发现与身份不符的行为并进行报警或实时处置。这样，混进城门就不是伪造一个假身份证就能成功的，必须“证是真的、人是真的”。而且每个路口都有临检进行持续的检查，从而极大提升整体安全性。

 

零信任体系的目标是在城墙和壕沟的防御体系之外，将安全防护与企业运营管理在细微的运营环节结合为一体，企业可以基于用户身份、位置，以及相关业务数据、管理数据等各种信息的相互关系，以及与场景匹配的各种微分化的安全保障内容，判断、确定以及响应访问用户、设备或应用程序的合法性。

 

另外，零信任可以减少数据泄露、数据丢失事件的发生，拒绝未授权的访问，因此在数据安全方面价值巨大。

 

疫情之下远程办公兴起，也因服务面扩大而随之出现或加重了诸多安全问题，如身份冒用、信息泄露、病毒感染、链路入侵等。同时，疫情影响只是远程办公加速发展的催化剂，而企业数字化转型才是远程办公发展的原始驱动力。

 

在数字化转型的安全能力上，企业遇到的最大变化就是安全边界的扩大化。员工异地访问的身份识别、多地分散的终端安全防护、网络信息加密的不确定性，使接入环境变得异常复杂，数据遍布各处，传统的企业边界、业务边界都已不复存在。

 

因此，新的安全边界将由多维度、零信任的动态安全防御体系来构筑，零信任将取代以物理网络边界为中心的安全架构，以“在不被信任的网络中开展可信的业务”为目标，对远程办公等场景提供了有力的安全保障，为企业在“云时代”快速适应和满足数字化转型的安全需求带来有力支撑。

 

根据Cybersecurity的调查，目前网络安全最大的挑战是私有应用程序的访问端口分散，以及内部用户的权限过多。62%的企业认为保护遍布在各个数据中⼼和云上的端口是目前最大的挑战，并且61%的企业最担心的是内部用户被给予的权限过多的问题。

 

这两点正是零信任专注解决的问题，现在有78%的⽹网络安全团队在尝试采用零信任架构。

 

深信服零信任运营总监杨志刚表示，随着企业办公场景越来越多样化，业务上云趋势加快，以及高级网络威胁产业化发展的深入，传统基于边界防御以及默认信任内网的安全建设方式将难以有效应对挑战，企业将越来越认可零信任“永不信任、持续评估”对企业安全建设的价值，零信任将成为网络安全未来发展的重要方向。

 

2021年零信任安全计划会成为企业首要安全计划。杨志刚表示，零信任理念经过前两年市场的广泛讨论，很多企业已经清楚零信任的核心理念，以及给企业整个网络安全架构所带来的价值。2021年零信任将开始大规模落地，很多企业都首选零信任安全作为企业网络安全架构的转型方案，通过持续信任评估、动态访问控制等零信任核心价值点助力企业数字化转型。

 

02

实施零信任障碍重重

 

零信任在落地之前，必须考虑哪些因素呢？

 

专家认为，首先确定敏感数据，对数据进行分级；其次，根据定位和职责，确定公司和集团员工每一个人的角色；第三，将所有业务的事务流映射到敏感数据存储以及必要的系统和应用上。

 

在做完这三件事后，用户可以按照相关组织提供的参考架构，构建零信任网络；

 

实施架构组件，如身份和访问管理、特权访问管理、信任推理引擎、策略代理以及安全监视和智能功能，所有这些都位于微分段网络之上；

 

通过部署的技术组件建立用户信任、设备信任和其他基于属性的信任；

 

根据各种身份（如用户及其设备）的预期行为以及用户可以访问哪些系统、应用程序和数据，在策略代理上编写规则；

 

最后监视网络，根据安全分析系统的情报检查日志流量，并更新规则。

 

如果保护公司数据的安全性这么容易，那么每家公司都将拥有零信任关系，而且我们不会再经常听到数据泄露的消息。成功实施零信任的障碍是什么？

 

专家来看，零信任落地的障碍包括：

 

预算有限。初始成本可能是一个障碍，尤其是在新冠疫情影响经济发展的特殊时候，公司可能分配给网络安全的预算有限。

 

改变并不总是那么容易的。企业的每个人都必须参与其中，以改变过去的IT方式，每一名员工都需要耐心。

 

零信任并非适合所有企业。零信任是小型企业或更现代企业的天作之合。大型的传统企业将面临更多的困难，因为拥有更多的技术，并将更多的业务流程捆绑在一起，而这一切都必须消除。

 

每个步骤都很关键。了解业务、员工及其角色，以及所需的访问类型以及敏感数据的相关流程等都至关重要。将时间花在这些先决条件上，将确保组织拥有实施解决方案所需的一切。

 

技术供应商可能会更改。组织必须准备在构建模型时对体系结构和技术堆栈进行调整。

 

执行是关键。彻底改造技术基础架构需要时间。即使组织具有完善的体系结构模型和业务支持，执行也很重要。如果没有相应地执行，则公司可能会处于危险之中，根本不会满足零信任的意图。

 

杨志刚认为，由于零信任是一套安全建设的架构，用户在做零信任建设的过程中，往往会认为方案重，需要一次性将各场景都覆盖，并将原有的安全建设推倒重来，从而导致落地计划难以执行。

 

零信任可以分场景分阶段逐步落地，降低落地的难度。

03

如何选择合适供应商？

 

零信任经过十多年的发展，其“永不信任、持续评估”的特点，对传统基于边界的网络安全架构带来了冲击。

 

传统安全企业的产品和解决方案更多的是聚焦边界安全，或者提供业务访问过程中的某一个点，而零信任关注的是业务整个访问过程中的各个环节，比如暴露面过大问题、终端环境安全性、身份安全性、传输安全性、权限大小、数据安全性等。

 

杨志刚认为，零信任为企业的安全建设提供了一整套完整的参考模型，零信任理念已经被越来越多的客户所接受，并将促进安全企业也随之转型。

 

零信任的实践将推动安全行业实现商业模式转型，进一步提高厂商集中度。目前国内网安产业已经经过多年核心技术的积累，进入产品形态、解决方案和服务模式创新的新阶段。零信任不是一种产品，而是一种全新的安全技术框架，通过重塑安全架构帮助企业进一步提升防护能力。

 

零信任的实践需要安全设备之间相互联动、实现多云环境下的数据共享，加速推动安全产业从堆砌安全硬件，向提供解决方案/服务发展，同时对客户形成强粘性。

 

杨志刚表示，目前零信任方案与技术竞争焦点是零信任的架构，根据NIST提出的零信任参考模型，零信任分为SDP（软件定义边界）、IAM（增强身份认证）、MSG（微隔离）三种不同的架构。

 

三种架构关注点是有区别的，SDP更多关注南北向用户访问业务系统的安全性；IAM更多关注身份和权限管理；MSG关注东西向应用系统之间交互的安全性，三种架构可以互为补充，而不是竞争关系，所以大家应聚焦使用场景，而不是不同架构间的优劣之争。

 

张辉认为，零信任架构不是一个单一的网络架构，而是一套网络基础设施设计和操作的指导原则。这也就决定了以零信任涉及的范围十分广泛，要以其为指导建立下一代网络安全防御体系，绝不是哪家安全公司或者哪项技术可以一人独揽、一家独大的。

 

零信任体系中最重要的核心是身份（正确的人），发起点是终端（正确的终端），控制点在各个业务入口，例如运维入口的堡垒机、应用入口的IAM/4A，服务入口的API网关，等等，才能真正贯彻“持续认证”、“持续评估”的零信任核心思想。

 

04

为企业搭建零信任体系建言献策

 

用户在选择零信任方案时，应该考虑哪些因素？杨志刚建议考虑三个因素：

 

一是方案的落地性，对于企业而言，一套方案过重、落地性差、建设周期长的零信任方案是不符合用户网络安全建设的价值的，也会给企业的运维管理、使用推广带来极大的挑战。

 

二是方案的成熟性，市场上有很多安全厂商将一些老产品包装成零信任，实际上仅能符合零信任安全理念中的一两个点，不能对企业提供真正的零信任方案。

 

三是方案可用性，如果零信任方案极大的改变了用户的使用习惯，方案将难以推广。

 

零信任建设是一个不断自我提升和完善的过程。因此在后续深度建设规划中，张辉提出几个建议：

 

第一，从原有架构迁移或升级到零信任架构是多阶段、长时间的一项整体工程。“统一规划、逐步实施，小步快跑“的原则可能比”一战定乾坤“在成本、影响、实施难度等各个方面都更适合企业实际情况。

 

第二，零信任体系建设必须以可信身份为核心，除人之外，要进行泛在身份管理（人、设备、应用、数据），将身份安全作为后面建设的核心。

 

第三，点面结合，以通用零信任网关为面进行网络防护。而在重要的入口点，如高安全要求的运维入口、应用访问入口等关键点，以专业的零信任堡垒机、零信任IAM等方式进行关键点防护，充分保证关键业务安全。

 

第四，威胁情报是零信任的外部风险信息来源，态势感知是零信任的行为感知触点和内部风险来源，是零信任的重要支撑，两者需要与零信任体系形成有机一体的整合。

 

第五，端点是零信任的起始，也是控制的末梢。端点安全的建设也是重点之一，需要将端点能力与零信任体系进行深度整合，形成有机整体。

 

最后，“三分技术、七分管理”，零信任也不例外。需要建立完善的安全组织和安全策略，才能使零信任体系真正的提供安全保障。

加入活动社群请添加微信

赵满 18519353155