零信任安全:综合指南
“零信任是一系列概念和想法,当网络被入侵时,用于最大限度减少在信息系统和服务中执行最低权限的准确每请求访问决策中的不确定性。”——美国国家标准与技术研究所 (NIST)
想象一个没有网络威胁的世界。
没有黑客、恶意内部人员或数据泄露——完全没有理由担心。您甚至可能从一开始就没有网络安全团队。
不幸的是,我们生活的世界并不完美,您的敏感数据也一样。实际上,威胁载体数不胜数,攻击面正在扩大,下一次数据泄露即将来临。
好消息是,安全访问不是白日做梦。借助零信任框架,您可以满怀信心地保护企业资产,减少当今快速变化的商业环境所带来的障碍。
继续阅读以了解零信任的重要性,它如何有利于保障企业安全,以及您的组织可以做什么来成功过渡到零信任架构。
什么是零信任?
前 Forrester 分析师 John Kindervag 在 2010 年提出了零信任安全的概念。他将其定义为一个框架,该框架假设每个连接、设备和用户都是潜在威胁,也应被当做潜在威胁对待。
与大多数其他网络安全策略形成鲜明对比的是,零信任安全中不存在隐式信任,它要求所有用户,无论是在组织内还是组织外,在获得网络访问权限之前都必须持续进行身份验证。简而言之,零信任正如其名: 它是一项安全政策,根据该政策,任何人,无论其职务或责任如何,从根本上都被认为是不安全的。
此外,零信任模型否定了网络边缘的假设。在当今的后边界时代的环境中,网络远远超出了其传统边界,可以是本地网络、云端网络,也可以是两者的结合。另外,随着远程访问的兴起,我们几乎无法知道资源可能位于何处。
因此,零信任方法是专门为应对现代数据安全挑战而设计的,可确保随时随地安全访问关键资产。从广义上讲,零信任网络将执行以下操作:
- 记录并检查所有流量,以识别可疑活动和潜在威胁载体
- 限制和控制用户访问权限,只有在确认用户身份后才对请求进行授权
- 验证和保护公司资产,防止未经授权的访问和泄露
为什么零信任很重要
企业面临着前所未有的内部和外部网络威胁。网络犯罪分子已明显加大了攻击力度,现在正持续不断地瞄准攻击敏感数据。
事实上,到 2021 年底,平均每个组织每周会受到超过 900 次攻击。更糟糕的是,2022 年,黑客攻击企业网络的频率比前一年高出 50%。
不出所料,网络犯罪分子丝毫没有收敛。根据普华永道 (PwC) 的数据,三分之二的高管认为网络犯罪是他们在不久的将来会面临的最大威胁。近一半 (45%) 的人预计未来勒索软件攻击将进一步增多。
使事情进一步复杂化的是,近年来,各组织正迅速实施远程办公和混合型办公的政策。这导致连接到公司网络的非托管个人设备数量激增,从而增大了企业的攻击面。
由于无法保护或监控这些端点存储和访问的敏感数据,组织面临的数据泄露风险比以往任何时候都大。考虑到薄弱的威胁防护会让组织付出高得惊人的代价,这一点就变得尤为重要。 正如 IBM 报告的那样,一次数据泄露的平均损失为 450 万美元。但是,那些实施零信任安全模型的组织每次可节省超过 100 万美元。
企业还应考虑与数字化转型相关的风险。企业越来越依赖外部部署的、基于云的应用程序,因此必须实施新的、复杂的访问控制和安全策略执行战略。
零信任与传统网络安全相比有何不同?
传统策略采取“信任但要验证”的方法。换句话说,他们认为公司防火墙后面的所有内容本身都是安全可靠的。
零信任安全,顾名思义,与之恰恰相反。它通过“无验证不信任”的理念来制定访问策略。 无论请求来自何处或打算使用什么资源,零信任环境都将在进行全面身份验证、授权和加密后才会授予访问权限,而不是先授予权限再加以验证。
因此,公司资源默认是无法访问的。您的员工只能在适当的情况下使用它们,具体取决于多种上下文因素。这些因素可以包括用户身份、在组织中的角色、所请求资源的敏感度、正在使用的设备等。
零信任框架的关键组成部分
正如美国国家标准与技术研究院 (NIST) 在特别出版物 800-207 中概述的那样,零信任方法基于多种核心理念。从根本上讲,这项独特的安全策略有三个不可或缺的零信任原则:
- 持续身份验证: 这是指根据可接受的风险级别授予安全访问权限的方法。 为了与零信任方法保持一致,您必须根据身份、位置、设备、服务、工作负载、数据分类等对用户进行授权。进行上下文分析后,可以直接允许用户访问,或通过其他身份验证质询要求用户提供其他信息,又或者在风险很高的情况下阻止用户。
- 限制影响半径:组织应始终假设存在数据泄露事件。这意味着他们必须不断细分网络,验证端到端流量,并最大限度地提高用户活动的可见性。这能使他们推动威胁检测、发现异常情况,并持续改善防御能力。
- 最低访问权限:应基于实时和恰好足够的访问控制策略限制用户访问。也就是说,用户有权使用的资源应当仅限于进行工作和完成重要任务所需的资源。
零信任成熟度模型的五大支柱
2021 年,网络安全与基础设施安全局 (CISA) 制定了实施零信任的路线图。该文档被称为“零信任成熟度模型”,描述了组织如何最好地将零信任原则应用于五大核心支柱:
- 身份:该支柱的重点在于在授予网络访问权限之前对用户和设备进行验证和授权。它可能包括实施身份和访问管理 (IAM) 解决方案或多重身份验证 (MFA)。
- 设备:所有连接到公司网络的物联网和其他设备都可能被利用来破坏敏感数据。 该支柱涉及创建所有连接的清单,并监控其完整性,以便快速检测威胁。
- 网络:零信任网络可保护所有流量安全,无论其位置或资源如何,并自行分段以限制横向移动。
- 应用程序和工作负载:该支柱涉及通过应用程序级访问策略和其他机制保护本地和基于云的工作负载。
- 数据:所有静态、使用中或动态的数据都经过加密、监控和保护,以防止未经授权的泄露。
值得注意的是,没有一劳永逸的零信任解决方案。更准确地说,企业需要各种层次的工具和技术。组合使用时,这些功能才能构成零信任架构 (ZTA)。
在较高的层面上,其中一些技术包括:
- 行为生物识别
- 基于风险的自适应身份验证
- Microsegmmicroentation
- 情境感知
- 单点登录 (SSO)
- 免密登录
零信任架构的好处
尽管零信任仍处于起步阶段,但许多组织已经准备好着手实施其原则。 实际上,36% 的首席信息安全官表示自己已经开始实施零信任,另有 25% 的首席信息安全官计划在不久的将来这样做。 此外,Gartner 预测,到 2026 年,至少 10% 的大型企业将拥有成熟且可衡量的零信任架构。
一旦您考虑了零信任的优势,就能清楚地看到其原因。强大的零信任安全策略使您能够:
- 最大限度减少隐式信任,超越传统网络安全框架,以降低组织的风险
- 保护敏感数据,消除威胁载体,以支持合规性
- 使用应用程序级访问控制,以保护多云和混合云部署
- 更换或增强 VPN,以加强远程访问和加密
- 攻击面得到充分防御,有条件快速招募员工并扩大业务规模
如何实施零信任?
一般而言,实施过程可以分为几个基本步骤:
- 确定保护面:换句话说,评估黑客可能瞄准的所有关键资产,包括端点、用户、应用程序、服务器和数据中心。
- 绘制网络流量图:这使您可以检查和验证网络交易,以确保只有正确的用户和应用程序才能访问正确的资产。
- 投资身份和访问管理技术组合:用户身份现在是数据安全的重中之重。因此,身份和访问管理技术是防止凭证落入他人之手的关键。
- 监控、维护、改进:持续监控您的环境不仅可以简化风险检测,还可以让您主动发现并实时修补漏洞。
应该指出的是,希望踏上零信任之旅的组织必须首先克服一系列障碍。由于需要各种各样的政策、流程和技术,该过程通常需要花费多年的时间。
此外,处理既存系统也会成为艰巨的挑战,因为许多较旧的工具无法运行或支持某些零信任原则。取代现有的安全控制和实现技术现代化可能花费高昂,而财务上的限制可能会带来额外的障碍。
考虑到这些因素,最好采取分阶段的方法。分阶段采用该框架可以减轻引入新工具(或可能彻底改革旧系统)的负担。
有关如何实现零信任的更多详细信息,请查看此指南。
Entrust 如何支持你的零信任之旅
在 Entrust,我们知道零信任是企业网络安全进化的方向。因此我们开发了一系列身份和访问管理解决方案组合,为您的零信任架构奠定基础。
总的来说,我们的解决方案旨在全面奠定基础,并通过三个关键组件为您提供保护:
- 防网络钓鱼的身份:证书被盗和泄露是数据泄露的两个最常见的根本原因。 我们将多重身份验证、无密码安全、自适应控制策略、生物识别和其他工具相结合,以降低基于身份的攻击的风险。
- 安全连接:数据不断传输,跨越公共和私有网络,通过非托管端点,落入可能无权访问数据的用户手中。我们使用数字证书保护这些连接,以确保只有正确的人才能访问正确的信息,一切恰到好处。
- 安全数据:我们的产品组合对静态、使用中和动态的数据进行加密,同时维护去中心的密钥基础结构。这可确保机密性、完整性和安全访问,同时还能满足严格的合规性要求。
我们不仅是提供商,还是您每一步的合作伙伴。