暴露数百万人敏感数据，对公司企业造成实质性伤害的大规模网络攻击不会随着我们迈入新的一年而消失。为应对网络威胁挑战，零信任模型再次进入网络安全人士视野，越来越多的分析师公司站出来为零信任模型背书。为零信任热潮再添一把火的是谷歌等早期采用者发布零信任成功案例，讲述该模型在最小化网络风险暴露面上的非凡成就。
零信任模型最初由佛瑞斯特研究所与美国国家标准与技术局(NIST)于2010年提出，并不是个新鲜概念。该模型摒弃了“信任但验证”的传统方法，将“从不信任，总是验证”作为其指导方针。
零信任模型的基石有三：
确保所有资源安全访问，无论位置在哪儿(换句话说，不再有所谓信任域)。
应用最小权限策略，严格实施访问控制。零信任中所有用户默认不受信任。
检查并记录所有流量。即便流量来自局域网也被假定可疑，接受与来自广域网的流量同等的分析与记录待遇。
零信任的行业动力
零信任及其各项益处一直在发展进化中。如今，零信任被公司企业用于驱动策略性安全倡议，推动业务决策者和IT主管实现实用预防、检测及响应措施。
零信任是安全行业热议话题，受到很多思想领袖欢迎，被用于市场营销和产品定位，以及指导其未来路线图。近期多起并购交易甚至就是源于并购公司想要向其技术组合中融入零信任能力，比如思科23.5亿美元收购 Duo Security，以及Okta对ScaleFT的并购。虽然不是所有分析师公司都用零信任这个术语，但Gartner、451 Research 和KuppingerCole都在用零信任方法应付当今威胁挑战。
另外，零信任已从纯概念发展成了公司企业和政府机构逐渐采用的安全框架。IDG的2018安全重点调查显示，71%专注安全的IT决策者都注意到了零信任模型，已经有8%在自己的企业中积极采用这种模型，10%正在试用。
零信任从身份开始
零信任模型实现虽然无法一蹴而就，但也不需要像谷歌那样完全重设计已有网络架构。逐步改变当前基础设施即可。从技术角度出发，零信任框架由旨在保护网络、数据、工作负载、人员及设备的一系列组件构成，提供安全威胁可见性，自动化并编排修复动作，通过API互联。
选择零信任可能有多种原因，其中一个驱动因素应该是因为网络攻击者获得敏感数据访问权最容易的途径就是盗取某用户的身份。如果被盗身份属于特权用户，情况就更糟了，他手握的“通往整个王国的钥匙”一旦被攻击者盗取，等同于整个数据资产王国的陷落。事实上，佛瑞斯特研究所的调查显示，80%的安全事件涉及特权凭证。Gartner的研究表明，65%的企业中特权账户不受限制，缺乏监管，共享使用。
只要公司企业还没开始实现以身份为中心的安全措施，账户盗取攻击就还会继续为数据泄露提供完美伪装。对大多数公司企业而言，零信任之路从身份开始。实际上，Gartner就建议在公司安全项目列表首要位置放上特权访问管理。
公司网络内部可能已经存在不可信用户，需要我们基于最小权限原则实现安全模型。该零信任权限方法实现以下几个元素：
验证是谁
上下文化特权访问请求
建立安全管理员环境
授予最小权限
审计一切
应用自适应安全控制
最终，零信任挑战并清除传统安全措施中固有的信任假设，堵死外部及内部攻击的入口。特权访问滥用是当今数据泄露头号原由的情况下，考虑踏上零信任模型之路的公司企业应从投资身份相关的技术起步。
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
