随着数字化转型进程不断加速，企业物理边界正在瓦解、传统边界防护措施正在失效。零信任架构作为新一代网络安全架构，以身份为基石进行动态访问控制，能有效提升安全效果、改善用户体验，助力企业进行现代IT实践。在此，奇安信身份安全实验室将德勤《2021技术趋势报告》零信任部分章节进行了翻译整理，仅供国内业界各位同仁参考、交流。
报告原文来自于德勤官网，如有侵权，请联系删除。同时，文章中难免出现错误或不妥之处，敬请谅解并欢迎批评指正。
从不信任并始终验证：边界模糊化 零信任正当时
零信任为网络空间安全带来了更强大更灵活的安全性能、更简洁的安全管理、更优质的用户体验，赋能现代IT实践。
传统的网络安全模型，依赖于安全的网络边界、使用VPN的员工、以及第三方远程访问。事实证明，这种“城堡-护城河”式的网络安全模型，在业务和工作方式不断演进的情况下，已经无法应对不断发展的网络威胁。例如，业务不断向云和混合IT环境的迁移（越来越多基于云的系统、远程办公人员和关联设备）正在不断扩展甚至消除网络边界。智能设备、5G、边缘计算和人工智能会创建出更多数据和连接节点，造成攻击面扩大。
云技术已成为主流，跨多个云平台提供管理服务的企业有责任确保这些技术的安全。随着企业越来越频繁地依赖第三方供应商托管以及管理数据、基础设施和其他服务，攻击面也在不断扩大。有研究数据表明，59%的受访公司经历过供应商或其他第三方造成的数据泄露，多方参与的安全事件造成的经济损失是单方事件的13倍。
基于边界的网络安全假设连接到组织内网的用户和设备是可信的，而事实上，由凭据失窃造成的安全漏洞占据四分之一。
假设，一名员工她在工作日定期从家里登录企业业务，偶尔在周末在一家咖啡店登录。某周六晚，如果她的用户名和密码在东欧地区登录使用，传统安全工具可能会允许其连接。然而，在零信任体系结构下，业务访问判断基于风险驱动和上下文感知，因此能够识别其不一致性，将自动拒绝访问请求，并发出告警。自动响应功能可能会被触发，暂时禁用该用户的帐户，因为她的凭据可能已经失陷。
一个基础的零信任架构可以业务环境变得更简单、更模块化，使得用户访问控制管理更便捷。简化安全堆栈可以消除相当大的管理难题，显著减少运营开销，并有助于扩展到更多用户。同样，新员工、承包商、云服务提供商和其他供应商伙伴都可以变得更高效、更灵活、响应更快并且更安全。
进阶版的零信任架构，嵌入自动化和编排功能，可以更好地发挥和协调其他自动化IT技术的能力，如DevSecOps和NoOps。通过提供一致的控制层，在整个技术生态系统中通过API接口可以以零信任方式提升系统管理。使用云服务的企业就可以将云厂商的大量安全投资利用起来。
零信任的一个关键点是将网络、数据、应用、工作负载和其他资源细分为单独的、可管理的模块，将安全风险和安全管控都控制在最小层级范围。通过基于最小权限原则限制访问，可以形成访问数据和应用程序的用户、应用和设备的最小集合。
通过从安全架构中删除信任假设，并对每个操作、用户和设备进行身份验证，零信任有助于实现更稳健、更有弹性的安全态势。最终用户能无缝地访问工具和数据，实现高效工作，而用户所属的企业也能从中受益。
随着零信任价值不断攀升，企业都在纷纷入局。据预测，到2024年，全球零信任市场规模将增至386亿美元，比2019年增长20%。
零信任强化基础网络卫生
零信任理念的转变带来了一系列设计原则，指导着安全架构开发，并在已有安全投资和流程的基础上进行重构。为了强化访问控制，企业必须对其数据和资产进行感知;落后于基本网络保护原则和实践的企业或组织可能无法真正落地零信任的全部价值。
基础网络卫生包括以下：
- 数据的发现与分类：数据治理、清单、分类和标记是至关重要的。为创建准确的信任区域和访问控制机制，企业需要了解数据、数据的关键性、数据的留存位置、如何对数据进行分类和标记、以及应该授权什么人和哪些应用访问这些数据。
- 资产的发现与攻击面管理：许多企业缺乏所有IT资源(包括云资源、IP地址、子域、应用映射、代码存储库、社交媒体账户以及其他外部或面向互联网的资产)的实时更新清单，因此无法在整个攻击表识别安全问题。为了促进围绕其资产的、基于风险的策略抉择，了解企业的IT环境至关重要。
- 配置与补丁管理：如果不能有效地管理和记录关键技术系统的基线配置，部署适当的补丁，测试补丁系统，并记录新的配置，就无法轻松识别系统的变更和控制风险。恶意攻击方就可以利用任何漏洞在企业中游走。
- 身份与访问管理：为了确保将技术资源的访问权限授予适当的人员、设备和其他资产，企业需要标准化、自动化其身份生命周期管理流程。通过将身份堆栈移动到云上、使用IDaaS或实现诸如物理生物特征、行为监控和条件访问等高级身份验证方法，企业就可以扩展运营，在保护关键资源和维护高效用户体验的同时跨越传统边。
- 第三方风险管理：为了充分了解整个风险面，企业需要对与供应链和生态系统合作伙伴(从供应商到外包厂商)的相关网络风险有更多的了解。
- 日志与监控：识别潜在的恶意事件和问题,安全团队需要将自动记录、监控系统与先进的人工智能和机器学习能力结合来帮助简化跟踪、分析、关联数据卷的详细日志的过程以及内外部系统、安全控制、网络、过程等生成的告警信息。
安全自动化与编排工程
许多安全运营中心(SOC)团队都需要面对由其技术和安全控制所产生的海量信息的问题。SOC团队必须监控、管理连续的告警和数据流，并对这些由分散的安全架构和不同的、不连续的工具生成的告警和数据流采取行动。
为了支持零信任的身份验证和授权(用户、设备或凭据和上下文数据点，如位置、特权、应用程序需求和行为)，访问风险因素的数量和性质也保证了更自动化地实现监控、决策、执行和审计的必要性。
构建零信任架构可以利用许多现有的安全技术。为确保更有效的自动化和编排，零信任的采用应该合理化安全堆栈，并消除不必要和重复的技术，消除那些会导致数据过载、延迟检测与响应，以及使系统维护与管理复杂化的技术。
通过简化的安全堆栈，现有的系统和工具可以通过API集成到安全编排自动化与响应(SOAR)平台。该平台可以自动化工作流与原本需要重复的手动工作，并协调数据流和告警同步到SOC平台。SOAR平台有助于为触发事件添加上下文，并能够自动纠正已识别的和已知的漏洞，使员工能够与传入警报和通知保持同步，提高操作效率和准确性，并缩短响应时间。
“企业迁移到零信任架构似乎是沉重的负担，尤其是拥有大量遗留技术和技术负债的大型企业，”一位大型金融机构的高级技术负责人说道。“企业必须将迁移任务分解成可管理的小模块，取得一步一步的胜利，才能实现零信任之路中的阶段性胜利。“
重新思考网络组织的角色
零信任是一种安全管理在思维方式上的改变，需要整个企业文化的变革。需要利益相关者都能理解企业网络安全带来的利益，才能有助于零信任的建设。
例如，零信任可能会明显改变员工的日常活动。为了设计并不断改进和发展零信任架构，企业可能需要更多的网络工程技能。SOC的角色也会进化改变，一个更精确的机动决策和更迅速的响应机制将替代现有的安全架构所需的指令手册、日常任务和流程。这样SOC团队的成员就可以专注于更需要人工分析的关键安全问题和高风险事件。组织结构也可能需要重新配置，以适应新的自动化工作流程。企业也需要进行安全分析师再培训，使其专注于战略型活动，而不是单调乏味的日常任务。
此外，为了从一开始就将零信任原则融入每个业务活动中，企业内的安全团队与业务线之间需要进行更多的协作和整合。业务系统所有者可能需要更多地参与安全规划。例如，为了让安全团队对适当的系统行为和访问需求有更好和更深入的理解，业务合作伙伴可以帮助确定访问人员、使用权限以及访问方式。业务领域可能需要对系统访问有更完善的认识，比如访问权限限制、细粒度访问控制等等。
未来之路
零信任不是单一的产品、解决方案或一个平台。它是企业考虑安全防护时的思维方式的转变。向有效的零信任安全架构迁移的过程往往是一场马拉松，而不是一次短跑比赛。企业不仅要解决基础网络安全问题，拥抱安全自动化和编排，还要为伴随这种转变而来的组织和文化变革做好准备。为了建立零信任信心，企业需要将网络、IT、业务系统所有者、应用、最终用户等涉众全部考虑进来。与业务目标一致的迭代和逐步递增的方法可以帮助证明零信任的价值，并增强企业内部对零信任的信心和接受度。
本文译者牛苗苗，奇安信身份安全实验室成员
声明：本文来自安全内参，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
