一场零信任革命，正在席卷办公云时代
全文3068字，阅读约需7分钟
作者丨微软安全
随着公有云服务的广泛采用和移动工作者规模的增长，基于边界的安全模型已经过时。组织的应用程序和数据可能同时存在于传统防火墙内部和外部，而边界控件几乎无法阻止攻击者获得初始访问权限后在网络上横向活动，此时安全和IT团队需要的是向“无边界”安全的转变，这就是零信任。
虚假情报数量增加，企业安全运营疲劳；远程办公常态化，残存安全边界彻底消失；数字化转型导致攻击面不断增长；数据泄露规模不断增长，违规成本提升……毫无疑问，这些因素都在推动零信任成为当下最火爆的企业网络细分市场之一。
零信任的采用才刚刚起步
当企业园区网络转移到分布式远程办公模型，并面对物联网、5G等新的不断扩大的威胁矢量时，企业必须迅速采用“从不信任、始终验证”的零信任安全思想，以限制攻击并防止其横向移动。然而尽管企业对零信任颇为关注，将其视为网络安全策略的必要组成部分，但仍缺乏广泛采用的办法，实现零信任模型可能需要企业数年的努力，并调动企业各个方面进行协作。
实现零信任安全性的十条提示
千里之行，始于足下。如果你决心部署零信任模型，或者仅仅在考虑阶段，可以参考以下十条提示，让你的零信任模型之旅更加顺畅。
提示1：围绕身份进行重新调整
身份是零信任的最佳起点。用户可以拥有多个设备，并从各种网络和应用访问企业资源，而身份就是所有访问请求的共同特性。无论该请求是来自公共 Wi-Fi 网络上的个人设备还是来自网络边界内的企业设备，使用身份作为控制平面可以让公司在全面审查用户、设备和其他因素之前将每个访问请求都视为不受信任的请求。
目前很多组织使用微分段作为实现零信任的办法，它可用于减少攻击面和防护本地和传统应用程序环境中的漏洞。然而，云环境中，企业资产之间的网络通常不由IT拥有或管理，该方法将会大打折扣。跨专业孤岛的团队应围绕基于身份的保护进行协调，在资产与其潜在威胁之间创建完善的访问网关，为零信任模型奠定基础。
提示2：实施条件访问控制
黑客往往是在入侵身份凭据后，使用凭据访问系统并在网络中横向活动， 因此，凭据的可信度不能仅从特定用户或其设备位于公司网络内部还是外部来推断。这要求我们在进行彻底审查之前，应采用“假设有漏洞”的理念，不要信任任何请求。对于零信任而言，访问控制决策应该是动态的，并基于对每次跨多维度资源请求的相关风险评估和背景理解有条件地授予，这种针对用户和设备的合适条件确定访问权限的条件访问方法，综合考虑了用户身份和访问权限、设备运行状况、应用程序和网络安全以及所访问数据的敏感度，可防止黑客使用被盗凭据在网络中横向活动。
提示3：增加凭据强度
弱密码会削弱身份系统的安全性，黑客可以轻松通过诸如密码喷射或凭据填充攻击等方式破坏你的网络。而多重身份验证可以针对关键应用和数据的访问提供额外的用户验证层，将其纳入条件访问限制有助于实现更稳妥的用户验证，并限制黑客滥用被盗凭据的能力。
提示4：规划双边界战略
为了防止业务中断和重新引入旧风险，应在维持现有基于网络的保护的同时，向环境中添加新的基于身份的控件。在零信任环境中，必须将应用程序视为云应用程序或传统程序。其中云原生应用程序可以支持基于身份的控件，并允许条件访问规则相对轻松地进行叠加。
另一类别包括传统环境中设计为位于网络防火墙之后的应用程序。这些应用程序需要通过现代化才能支持基于身份的条件访问。若要大规模实现现代化，需要通过安全的身份验证网关或应用程序代理启用访问，省去VPN连接步骤，进而降低风险。
提示5：集成情报和行为分析
支持云应用程序中基于身份的访问控制并不是加速云迁移的唯一原因。云还能够生成更丰富的遥测数据，以实现更明智的访问控制决策。例如，这种遥测数据可以更轻松地推断异常用户或实体行为来识别威胁，从而增强条件访问控制。
做出明智访问控制决策的能力取决于你集成到这些决策中的信号质量、数量和多样性。例如，集成威胁情报源（如僵尸程序或恶意 软件的 IP 地址）将迫使攻击者不断获取新资源 ；集成有关登录的详细信息（时间、位置等）并查看其是否与该用户的日常行为相符，将使攻击者更难模仿用户行为，同时最大限度地减少用户不便。
提示6：减少攻击面
为了增强身份基础结构的安全性，必须确保将攻击面降至最低，企业可以实施特权身份管理最大程度地降低入侵帐户以管理员或其他特权角色进行使用的可能性；也可以使用不支持条件访问或多重身份验证的旧式身份验证协议阻止应用。此外，还可以限制身份验证访问入口点，控制用户访问应用和资源的方式。
提示7：提高安全意识
你的身份和终结点基础结构可以生成大量安全事件和警报，甚至是一些可以活动和模式。这些可疑的活动和模式可指示潜在网络入侵和事件，如凭据泄露、IP 地址错误以及来自受感染设备的访问。企业可以使用安全信息和事件管理 (SIEM) 系统聚合和关联数据，以更好地检测可疑活动和模式。
SIEM 系统可用于审核用户活动、记录法规要求的合规情况并帮助进行取证分析。它还可以改进对最小特权访问的监控，并确保用户只能访问他们真正需要的资源。
提示8：实施最终用户自助功能
与许多其他安全计划相比，用户对零信任的抵触可能要小得多。零信任使安全组织能够接纳现代生产力场景（如移动设备、BYOD 和 SaaS 应用程序） 并确保其安全，同时在不损害安全性的前提下维持用户的满意度。
IT 团队可以通过授权用户执行某些安全任务（如：自助式密码重置）来减少摩擦， 允许用户在无管理员参与的情况下重置或解锁帐户密码，同时监控滥用或误用情况，既可以确保安全性又能提高工作效率。同样，也可以实施自助群组管理，允许所有者创建和管理群组。
提示9：不要过度承诺
零信任并非是像实施多重身份验证那样的单一 “大爆炸式”举措。实际上，它是一种长期策略的最终阶段，其新一代安全控件的构建完全不同于传统的基于网络的访问模型。这一愿景需要在很长一段时间内通过陆续实施一系列小项目来实现。
在此过程中，适当制定和管理预期目标非常重要。在项目生命周期中，应寻求关键利益相关者的支持并制定与他们进行有效沟通的计划。应做好准备，采取措施克服习惯于以迥异方式行事的群体带来的文化抵触和其他挑战。
提示10：全程展现价值
为零信任举措构建长期支持的最有效方式之一，是在每一项投资中都展现出增值价值。在 IDG 的安全调查中，超过一半的受访者 (51%) 表示零信任访问模型将有助于提高保护客户数据的能力，46% 的受访者则表示它将有助于实现更卓越、更安全的最终用户体验。
集成到决策中的信号质量、数量和多样性决定了你做出明智访问控制决策的能力。例如，集成威胁情报源（如僵尸程序或恶意 软件的 IP 地址）将迫使攻击者不断获取新资 源 ；集成有关登录的详细信息（时间、位置等）并查看其是否与该用户的日常行为相符， 将使攻击者更难模仿用户行为，同时最大限度地减少用户不便。
拥抱零信任理念，重构安全体系架构
虽然零信任模型并不容易实现，但它却是数字企业长期现代化目标的关键要素。人们无法预测哪一天会出现哪些新的漏洞，或者攻击者会以何种方式进入自己的环境。所以绝对不能假定自己使用的任何特定用户或设备、应用或网络绝对安全，确保安全性的唯一合理方法是不信任任何人并验证一切。
应对网络安全挑战，了解更多云安全精彩内容。点击“阅读原文”即可免费下载企业安全白皮书全文。
©2020 Microsoft Corporation. 保留所有权利。本文档中表达的信息和观点（包括 URL 和其他 Internet 网站参考）可能会发生更改，恕不另行通知。使用风险需自行承担。本文档未赋予你对任何 Microsoft 产品中任何知识产权的任何法律权利。可以出于内部参考目的复制和使用本文档。
