零信任技术自从诞生之日起就备受关注，被认为是网络安全技术发展的颠覆性创新理念。但是研究人员发现，市场上过度的概念炒作和大量滥竽充数的伪零信任产品，正在让企业安全团队对“零信任”的期望值不断降低，并且感到厌倦。Forrester高级分析师Heath Mullins表示：零信任已成为当前网络安全领域滥用和误解最严重的术语，用户普遍困惑于哪些安全工具可以真正兑现零信任的安全承诺。

什么不是零信任？

一直以来，众多安全供应商都在向其客户大力宣传零信任到底是什么，但最终的结果是，很多受访CISO表示，“零信任就是桌子另一头的营销人员极力兜售的技术噱头！”因此，现在有一个更加重要的问题是，让客户了解什么不是零信任？

零信任是一种架构、一种策略和一个持续的安全防护目标，而不是可以用一个软件包就能实现的东西。有很多工具可以帮助组织开启这个概念，包括身份安全、访问管理和网络分段，但目前还没有一个产品可以提供零信任的完整功能。

研究人员表示，尽管实现零信任需要端到端的体系化安全能力支撑，但并不是IT环境中的每一个安全控制措施都可以叫零信任产品。尤其是，那些旨在防护企业边界安全的传统安全设备，显然无法帮助实现零信任。

同时，零信任是一种全面的安全防护模式变化，不能将一切已有的安全设备和能力都装入到新模式中。从根本上说，传统的网络安全方法大都不是对用户执行的操作进行可信度鉴别和限制，而只是保护相应的网络空间和应用系统。

因此，不能听信那些对零信任的定义夸夸其谈的方案供应商，这会对零信任的应用落地产生误导。谁声称可以快速或轻松提供零信任，就值得可疑。大多数组织都处于实现零信任安全架构的早期阶段，建设零信任需要时间，难以快速实现。

零信任到底是什么？

零信任好比是如何阻止现代网络攻击方面的一套原则。今天的攻击者往往遵循一定的轨迹：在初始进入到访问环境之后，他们会在网络上横向移动，控制更多的应用帐户，并提升帐户权限，以便可以采取另外更具破坏性的行动。

虽然最终的攻击结果可能是部署勒索软件或窃取数据，但攻击者必须首先摸清企业的IT环境，才能真正触及攻击的目标。在这个过程中，组织有很多机会可以发现入侵并关闭系统，减小安全事件的实际损害。真正的零信任方案中，有很多技术手段可以实现这一点，比如在访问敏感资源之前多次核验用户权限及其行为，或者将IT环境分成多个不同的子段，并赋予不同的安全策略。

实现零信任安全防护的前提是要消除隐性信任。换句话说，不应该仅仅根据用户能够通过身份验证，就自动信任他们访问应用程序和数据。相反，为了保障敏感资源的访问安全，应明确验证该请求的各个方面。

经过技术的发展，已经有很多安全产品的设计逻辑与零信任理念高度匹配，比如零信任网络访问，它就是围绕零信任原则而建的VPN替代技术。但仅仅部署该技术无法实现完整的零信任架构。目前，有许多网络安全厂商围绕零信任这一术语大做文章。比如在6月份的RSA安全会议上，几乎参展的每家厂商都打出了和零信任相关的市场营销口号，这给行业和用户都造成了很大的困惑。

有一条经验建议可以帮助用户判断某个产品是否符合零信任要求：对照相关的国家标准与第三方研究白皮书进行核验。以NIST在2020年颁布的零信任架构文件为例，其定义了零信任的关键目的是防止未经授权的人访问数据和服务，另外对访问控制的实施提出了精细化的参考指标。如果安全产品与该文件中的指标要求保持一致，那么可以认为该产品有助于帮助企业实现零信任安全。

零信任安全的建设挑战

事实上，当零信任的用户教育和市场宣传告一段落后，企业用户真正关注的是零信任安全如何从概念到落地的问题。对于大多数企业来说，开启零信任安全建设会面临诸多挑战：

挑战1、碎片化的零信任措施

大多数公司会采用碎片化的方式部署零信任措施，这可能会降低零信任的安全防护能力，从而出现防护效果不理想的现象。与此同时，因实施零信任措施而放弃传统安全产品，也可能会引发意想不到的安全风险。因此，零信任部署需要复杂的产品体系相互联动配合才能成功。

挑战2、遗留系统无法适应零信任

在部署零信任措施对遗留系统与应用程序进行改造时，大多数情况下会难以兼顾它们的边界属性，如果这些系统需要保留在原位，那么就可能会产生新的安全漏洞或需要部署新的安全措施来保护它们，这需要耗费大量的资金与时间。

挑战3、持续的管理和维护

零信任网络安全模式需要持续的管理与维护，可能需要额外的员工或使用托管服务。零信任部署依赖于由一个严格定义的权限组成的庞大网络，但企业是在不断发展的，员工的具体情况是实时变换的，这需要每次的访问控制都必须更新，以确保正确的人员可以访问特定信息。保持权限的准确性和最新需要持续的输入是非常难以实现的。

挑战4、对业务产生影响

零信任部署可能会影响生产力。当员工身份发生变更而未及时更新，将会导致员工访问权限被锁定，无法访问所需数据，这会直接影响工作效率，甚至产生比网络安全本身更大的问题。零信任需要跨各种数据、设备、系统和人员进行通信，其中任何一环产生问题都将直接生产力。

挑战5、零信任并非没有风险

虽然零信任的目标是提高安全性，但它也不能免受风险的影响。Gartner认为零信任存在如下潜在安全风险：

  • 信任代理是潜在的故障点，可能成为攻击的目标；

  • 本地计算机设备和应用系统也会受到攻击；

  • 用户账户仍然可能被泄露；

  • 零信任管理员帐户及权限或成为重点攻击目标。

如何应对零信任挑战？

构建零信任安全并不容易，但它已成为安全技术未来发展的主流方向之一。对于许多企业来说，零信任的建设需要全面改变架构、流程和安全意识，这不是一蹴而就的改变，而是一个循序渐进的过程。企业在建立高效、安全的零信任体系时，需要做好以下准备。

1、充分进行零信任测试

在将零信任方案投入生产环境之前，需要对其进行充分的测试和安全评估。这不仅可以为用户使用这些类型的系统提供经验，还可以帮助管理员以及安全团队掌握响应事件和处理安全问题的经验，以改进未来的实施。

2、提前考虑业务需求和用户体验

有效实施零信任模式需从业务需求入手。询问要保护什么资产、为何保护，来确定哪些方面采用零信任技术能更有效提高安全能力，这最终将支持企业的零信任战略。

安全和用户体验常常相冲突，但是不一定非得这样。在敲定零信任安全流程、制定策略和明确需求之前，考虑用户活动范围变化和体验。推出零信任新模式后，要考虑如何传达体验方面的优势（比如无密码单点登录），而不是一味关注安全方面的优势。

3、合理规划建设预期

大多数供应商都声称可提供完整的零信任安全解决方案，但事实上没有哪款产品能做到。零信任是一种理念，企业需要明确验证身份、位置、设备运行状况、服务及/或工作负载，旨在出现违规行为时尽量减小影响、划分访问范围。成功的零信任安全项目大都从身份管理、多因子身份验证和最低权限访问等角度入手，逐步建设完善。

4、建立零信任文化

如果使用零信任安全以后，企业员工的安全意识却没有同步提升，这项技术的应用效果将难以充分发挥。将企业的安全防护与员工安全意识实现挂钩，对于提高零信任应用效率至关重要。公司必须注重培养一种倡导透明、信任和开放沟通的企业文化，辅以持续培训和相应技术手段，才可以有效提升员工的安全意识，全面防御所有攻击面。

5、持续关注零信任技术的发展

迁移到零信任需要慎重规划，尽早定义需要保护的关键资产和基础设施很重要。现有系统和零信任环境需要时间磨合才能共存，且对于大多数企业来说，不会是一次性升级。目前零信任技术仍在快速成长，持续了解零信任技术和解决方案的发展对于长期保护投资很重要。

原文链接：

https://www.protocol.com/enterprise/security-zero-trust-cloudflare-zscaler

https://www.techtarget.com/searchsecurity/tip/Top-risks-of-deploying-zero-trust-cybersecurity-model

声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。