零信任网络访问

零信任由John Kindervag创建,而他是Forrester研究分析师,描述一个战略框架,网络上一无所有-不可信-不可信-不可信-设备非终端用户非进程所有事都必须认证、授权、验证并持续监控

传统安全方法基于概念“信任验证 ” 。 方法的弱点在于一旦验证人,即被视为可信并可横向访问敏感资料和系统,而敏感资料和系统本应禁止访问

零信任原则变换为“绝不信任,永远验证”。零信任架构目的不在于令系统可信或安全, 而是完全消除信任概念零信任安全模型假设攻击者在任何时候都存在于环境中信任从不无条件或永久授予,但必须持续评价

开发零信任方法响应传统方法企业资产、资源和数据这些年来使用方式计算初期公司通过使用数据保护数据防火墙并使用安全技术 环绕数据设置安全周界类似中世纪的城堡墙, 这些技术帮助保护内部(多半)

员工、承包商和商业伙伴开始远程工作 — — 通过云基网络或个人自有设备访问资源,这些设备不一定能完全安全验证。此外,部署物联网设备常自动访问网络资源增加

允许员工访问网络资源,零信任架构需要综合技术,包括身份管理、资产管理、应用认证访问控制,网络分割威胁情报

零信任平衡行为是为了增强安全而不牺牲用户经验用户一旦认证并授权使用,即提供访问权,但仅限访问他们履行职责所需要的资源设备或资源失密时,零信任确保能控制损坏

多家公司的好消息是,它们很可能已经在数项零信任赋能技术上投资公司在采行零信任方法时更有可能需要采纳和执行新政策,而不是安装新硬件

ZTNA基本概念是什么

开始部署零信任架构前,公司内部必须遵循数条基本规则,系统才能正常运行。

所有数据源计算服务和设备都被视为资源即使是雇员拥有的设备,如果能获取企业拥有资源,也必须视之为资源。

- 所有通信应安全化,不管网络位置网络内设备用户与网络外围者一样不可信任

获取资源按类分配,并拥有完成任务所需的最少特权验证一种资源不自动允许访问不同资源

获取资源通过动态策略确定,该策略包括客户身份状态、应用并可能包括其他行为和环境属性

企业必须监控并测量所有资产和相关资产的完整性和安全姿态需要连续诊断和缓冲或类似系统监测装置和应用补丁和补丁需要快速应用发现已知漏洞的资产可与被认为最安全状态下的装置或资产区别对待(包括拒绝连接)。

验证和授权在允许访问前严格强制实施,并可能更改一天授权并不能保证下一天授权

组织需要收集尽可能多的资料说明资产、网络基础设施、通信、终端用户和设备的现状,以便提高安全姿态只有通过这些洞察力才能创建、执行和改进政策

如何实现零信任

一旦理解并应用这些原理后,公司可开始执行零信任策略包括这五步

1. 识别需要保护的资源术语不尽相同 — — 一些人称它为保护面,另一些人称它为隐式信任区 。 但它基本是一个清晰定义的零信任进程发生区,取决于企业和需求优先保护区可保持这些区小点,至少初始阶段
2. 地图事务流这些资源公司需要识别哪些人通常需要获取这些资源,如何连接,使用哪些设备连接
3. 搭建架构包括增加允许或拒绝访问这些受保护资源的组成部分
4. 创建零信任策略表示用户角色、授权、人们认证方式(多因子认证必有性)。
5. 监控并维护系统,按需修改并改进

零信任架构是什么

确定资源受保护后,公司需要设置“检查站”,负责决定是否允许或拒绝访问三大构件均以NIST所创术语为基础零信任架构文件自2020年8月起)

• 策略引擎政策引擎负责决定是否准许或拒绝访问资源通常决策以企业策略为基础,但也从外部源输入信息(包括CDM系统、威胁情报服务)和信任算法决策后登录并策略管理员执行动作
• 政策管理员PA负责建立或关闭请求者(人或机)与资源(数据、服务、应用)之间的通信路径PA可生成会议专用认证(或使用令牌、证书、密码)作为其过程的一部分如果请求获准,PA配置政策执行点允许会议启动请求被拒绝后,PA通知PEP关闭连接
• 政策执行点PEP启动、监控并最终终止请求者与资源之间的联系与PA通信转发请求并接收PA更新政策

附加系统可提供输入和/或政策规则,包括CDM系统、行业合规系统(确保这些系统与管理机构保持兼容性)、威胁情报服务(提供新识别恶意软件缺陷或其他报告攻击信息)、网络和系统活动日志和身份管理系统(跟踪更新角色、分配资产和其他属性)。

其中许多系统向信任算法输入数据,帮助最终判定访问网络资源请求信任算法考虑请求者提供的数据以及数项其他度量作为其决策的一部分问题实例包括但不限于:

• 这个人是谁真实人或机器ioT传感器
• 上头有请求过吗
• 使用什么设备
• OS版本更新补丁
• 请求者在哪里家外等
• 个人是否有权查看此资产

ZTNA部署假想

每一公司都不同,所以它们接近零信任的方式会不同以下是几个常见假想

• 企业配有卫星办公.拥有远程员工或远程员工的公司可能需要云服务托管PE/PA提供更好的可用性,不要求边远工依赖企业基础获取云源在此假想中,终端用户资产将装机代理或通过资源门户获取网络访问
• 多云或云对云企业使用多云提供商的公司可能会看到程序托管于云服务的情况,而云服务与数据源无关。以单云托管程序应可直接连接二云数据源,而不是强制程序回通企业网络在本案中,PEP将安装在每个应用/服务访问点和数据源或云服务或第三方云提供商客户可直接访问PEP系统,企业可管理访问挑战之一是不同的云提供方有自有方法实现相同的功能
• 企业包商或非雇员访问现场访问者或订约服务提供者需要有限访问权,零信任架构还有可能部署PE和PA托管云服务或局域网内服务(如果云托管服务很少或根本没有使用)。非企业资产无法获取本地资源,

零信任挑战

安全领袖应该考虑数个其他问题, 除了与从隐信转零信任问题相关联的迁移问题外,第一,PE和PA组件必须适当配置和维护企业管理员可配置访问PE规则或可执行未经批准的修改或出错干扰操作失密的PA可允许获取否则不予批准的资源这些构件必须适当配置和监测,任何修改都必须登录并接受审核

第二,因为PA和PEP正在决策所有访问资源请求,这些组件易遭拒绝服务或网络中断攻击决策过程的任何中断都可能对公司运营产生不利影响。政策执行可居住在适当安全云环境或复制到不同地点帮助降低威胁,但无法完全消除威胁

第三 失窃证书和恶意内幕者 仍然可以损耗公司资源然而,适当开发并实现零信任架构会限制这种方法的损害,因为系统能够确定谁是请求方和请求方是否适当。举例说,监控系统可以检测 被窃管理员证书 突然尝试访问 信用卡号数据库

第四,安全官员需要确信,采行零信任策略不会产生大量安全疲劳症,经常向用户请求证书、密码和OS补丁检查,最终会以负方式影响生产率。雇员和承包商完成作业的能力与确保他们不是攻击者之间需要求得平衡

零信任服务

Gartner创建模型安全访问服务边缘联合网络安全服务如零信任网络存取软件定义广域网SD-WAN系统、云存安全代理商CASB系统、FWAS系统防火墙安全网关

sASE通过公共框架交付时,可以向公司提供一致安全并访问数类云应用这使公司有条路简化管理,在资源间实现网络保护最大化,而不管地点多寡

零信任企业使用云服务时可部署,SASE模型则常通过这些其他技术提供更多指导

Keith Shaw是一个自由技术记者,20多年来一直在写各种技术题目,包括联网、消费电子学、机器人学和工作前途