采用零信任對于企業來說似乎是一項艱巨的任務，但其付出將獲得更多的回報。

公共會計、咨詢和技術商Crowe公司的網絡安全管理顧問Michael Salihoglu指出，原有的安全模式就像是一座堡壘，有圍墻、護城河和吊橋。

他說，“人們在堡壘中就可以做任何想做的事情，有著堅硬的外殼和軟肋，一旦被網絡攻擊者攻破將難以抵擋。”

他指出，零信任是實現安全性的一個重大轉變。

他說，“企業的安全性并不都是這樣的堡壘，但每個應用程序和數據存儲設施都是一種堡壘。每個人和一切都應該盡可能地經過身份驗證，我們需要消除內部網絡的固有信任。”

事實上，美國總統拜登在去年春天將零信任描述為改善美國網絡安全的行政命令的基石。

新的優先事項

毫不奇怪，在iSMG公司對150位網絡安全領導者進行的調查中，很多受訪者都表示，零信任對降低他們的網絡安全風險都至關重要，46%的受訪者表示，這是他們在2022年最重要的安全實踐——領先于任何其他網絡安全項目或戰略。

根據調研機構Forrester公司在本月早些時候發布的對300多家大型企業的調查報告，78%的安全戰略高管計劃在今年增加對零信任的投入。

在過去幾個月發布的有關該主題的調查都表明，零信任是企業的首要任務。然而，在實施方面，很多企業才剛剛開始朝這個方向發展。

根據普華永道公司在去年12月對全球3600多名高管進行的調查，52%的受訪者表示他們已經開始或計劃實施零信任，但只有11%的受訪者表示開始獲得采用零信任的好處，只有28%的受訪者表示已經大規模實施了零信任。

Forrester公司的調查表明，表示完全部署零信任的受訪者只有6%，另有30%的受訪者表示將部分部署零信任。此外，63%的受訪者表示他們的零信任項目目前處于評估、戰略或試點階段。

如何實施零信任

美國國家標準與技術研究所(NIST)的國家網絡安全卓越中心目前正在制定一套操作指南和示例方法，以便在最常見的業務案例中更輕松地實施零信任，基本的NIST零信任架構參考指南已于2020年夏季發布。

去年秋天，美國網絡安全和基礎設施安全局(CISA)發布了其零信任成熟度模型，這是企業和機構用來過渡到零信任架構的路線圖。

與此同時，就在上個月，美國公共與預算管理辦公室(OMB)發布了一個聯邦戰略，以推進零信任架構，其中包括一個詳細的路線圖，任何組織(而不僅僅是政府機構和承包商)都可以將其用作模型。

美國網絡安全和基礎設施安全局(CISA)和美國公共與預算管理辦公室(OMB)都專注于零信任戰略的五個主要支柱——保護身份、設備、網絡、應用程序、數據。

以下是企業正確執行此這一操作的一些最佳實踐。

(1)從明確的業務目標開始

從零信任開始似乎是一項艱巨的任務。

Banyan Security公司的首席安全官Den Jones說：“你不能購買零信任產品，并期望奇跡會在一夜之間發生。”Jones是Adobe公司和Cisco公司的前高管，也是零信任運動的先驅之一。

他指出，這種方法可以幫助關注有形的業務成果。

Jones說，“首席信息安全官應該專注于改善員工體驗或與違規行為相關的投資。”

另一個建議是逐步部署應用程序或用戶的零信任架構。這樣做可以逐步簡化整個過程，因為不必中止和替換現有的工作。可以專注于企業內的特定部門或團隊，而不是一次性完成整個業務。

(2)通過了解保護面來優先考慮業務風險

如今，許多安全從業者從潛在的攻擊面開始。企業的邊界在哪里?網絡攻擊者如何嘗試突破?零信任扭轉了這一局面。

Appgate Federal集團首席產品官Jason Garbis說，“首先要評估最高價值和最高風險的用戶和資產——應用程序和數據。”

他表示，這些是開始應用零信任原則的最佳場所。他說，“即使是很小的變化也會產生影響。”

(3)當心分析癱瘓

轉向零信任是一項艱巨的任務，數據中心管理不應該試圖弄清楚如何一次完成所有事情。

Optiv Security公司工程研究員Jerry Chapman說，“零信任包括許多不同的安全控制和許多不同的技術。企業經常陷入分析癱瘓。”

(4)圍繞身份重新調整

Chapman表示，一個可能的起點是身份。

他說，“身份是零信任安全的基礎，但它不一定是完美的。但它確實必須具有某些關鍵元素，例如身份來源和基于角色的訪問控制。身份起源意味著知道所有身份的來源。不僅是用戶身份，還包括在構建零信任架構時在云中生成的服務帳戶和臨時身份。”

(5)使用微分段構建網絡

Chapman表示，數據中心傳統上非常擅長管理網絡和周邊環境。在構建零信任架構的情況下，其原理是相同的，只是網絡和邊界會小得多。

他說，“微分段就是如何在數據中心創建一個微邊界，只有預先批準的流量才能進入。”

這與舊系統的白名單類似，除了批準的名單是基于策略而不是IP地址。維護一個網絡、防火墻和一組規則對于嘗試跨微段進行維護已經足夠繁重了。采用人工工作不再能解決這個問題。

Chapman表示，這就是現代零信任網絡訪問解決方案使用機器學習或人工智能來了解良好流量的原因，并幫助企業以自動化方式創建訪問策略。

他補充說，“一旦在學習模式下找到了解決方案，就可以開始采取措施并禁用通用流量。”

(6)實施政策、有條件的安全訪問控制和最小權限原則

在零信任的世界中，數據中心的安全性基于身份而不是基于特定的個人身份。

Chapman說，“企業必須開始考慮基于身份的安全策略。必須將范式從‘你從會計需要訪問某一個應用程序’更改為‘具有這些角色的用戶可以從會計服務器訪問這些數據。’這是一種高級別的模式，它消除了管理所有身份和訪問請求的細節。”

在這里，人工智能再次可以幫助企業自動生成角色和訪問策略。但人工智能尚未理解不斷變化的業務需求。僵化的角色和策略可能會阻止用戶和流程完成他們的工作。

(7)允許合理范圍內的例外情況以及政策限制范圍內的例外情況

與任何技術一樣，實現零信任有良好的一方面，也有糟糕的一方面。

Chapman說，“如今，我看到了Active Directory環境非常糟糕，Active Directory已經有20年的應用歷史，擁有5000個用戶和50000個群組。”

當企業添加策略、訪問權限和角色以滿足業務需求，然后累計到無法管理的混亂時，也會發生同樣的情況。

他說，其解決方案是建立一個治理流程。

他說，“零信任的前提是提供及時和足夠的訪問權限，有時，為了服務于某家企業的業務用例，可能面臨一個混亂的過程。我對這個企業提出的問題是，這種混亂的環境會持續多長時間?如果正在管理這個解決方案，當不再需要時，它就會被刪除。”

而且這種臨時訪問也可以依賴于策略。例如，如果某人需要訪問生產服務器以解決問題，則策略可能要求提供服務票證，說明服務器已經關閉，并且只有在票證打開時才允許訪問。

(8)可見性是關鍵

在企業可以圍繞身份、設備、網絡、應用程序和數據實施零信任之前，他們需要全面了解其環境，以及所有事物如何與其他事物連接。

Forescout Technologies公司全球醫療保健副總裁Tamer Baker說，“用戶、設備和服務都連接到數據中心，這是一個復雜的環境，只會由于采用云計算服務而變得更加復雜。如果企業試圖在不了解該環境的行為方式的情況下強制執行，他們可能會對安全漏洞視而不見，或者破壞工作流。”

他表示，一旦獲得了全面的可見性，他們就可以開始了解需要哪些信任技術和執行策略。

事實上，許多必要的技術可能已經到位，只需要使用編排和策略引擎進行更新。

Baker補充說，“這就是為什么從了解所有連接的業務邏輯及其通信方式開始如此重要的原因，”

(9)消除攻擊面

在傳統方法中，應用程序被發布到全球互聯網上。

Zscaler ThreatLabZ公司研究團隊負責人Desai說，“這意味著他們可以很容易地被對手發現。”

然后，網絡攻擊者將采用一切手段和措施以破壞企業防御機制，例如使用暴力破解、竊取的憑據或漏洞攻擊。

他說，“零信任方法通過隱藏源身份和混淆IP地址來避免將企業資產暴露在互聯網上。”

Desai表示，當應用程序對對手不可見并且只能由授權用戶訪問時，網絡攻擊面就會減少。他說，“它確保對應用程序的訪問——在互聯網、SaaS、公有或私有云中是安全的。”