目錄

零信任理論所需技術(shù)

零信任落地所需技術(shù)

零信任網(wǎng)絡(luò)的技術(shù)難點

零信任網(wǎng)絡(luò)控制平面

如何突破零信任的挑戰(zhàn)

零信任遷移中的另一項挑戰(zhàn)，是讓員工具備該新理念的思維方式

---

BeyondCorp: 谷歌零信任安全模型

零信任理論所需技術(shù)

在各種各樣的現(xiàn)有技術(shù)和監(jiān)管過程支撐之下，零信任方法才得以完成保護(hù)企業(yè)IT環(huán)境的使命。它需要企業(yè)根據(jù)用戶、用戶所處位置、上下文信息和其他數(shù)據(jù)等條件，利用微隔離和細(xì)粒度邊界規(guī)則，來確定是否信任請求企業(yè)特定范圍訪問權(quán)的用戶/主機/應(yīng)用。

• 首先，要弄清楚用戶身份，確保用戶真的是他/她所聲稱的那個人；
• 然后，要保證用戶所用終端是安全終端，或者該終端處在安全狀態(tài)；
• 最后，還要有個信任策略，指定哪些人能訪問哪些東西。

零信任依靠多因子身份認(rèn)證、身份與訪問管理(IAM)、編排、分析、加密、安全評級和文件系統(tǒng)權(quán)限等技術(shù)來做上述工作。?最小權(quán)限原則也是零信任倚賴的監(jiān)管策略之一，也就是只賦予用戶完成特定工作所需的最小訪問權(quán)限。

基本上，零信任就是公司企業(yè)收回安全戰(zhàn)場控制權(quán)，在各部門應(yīng)用網(wǎng)絡(luò)分隔和下一代防火墻，控制網(wǎng)絡(luò)接入的身份、對象、地點和時間，是從內(nèi)而外地施行控制，而不是由外而內(nèi)。現(xiàn)今的大部分IT場景中，零信任不僅僅是技術(shù)，還有關(guān)思維和過程。

零信任落地所需技術(shù)

目前市場上，“零信任”產(chǎn)品的技術(shù)實現(xiàn)方法不同，但是他們提供的價值主觀是相同的，例如：
國內(nèi)某零信任安全能力平臺認(rèn)為“零信任“落地至少需要具備以下幾種技術(shù)：

最小權(quán)限訪問
基于可信的終端、應(yīng)用、身份、流量、上下文信息，進(jìn)行細(xì)粒度的風(fēng)險度量和授權(quán)，實現(xiàn)動態(tài)訪問控制。

終端數(shù)據(jù)隔離
防護(hù)邊界延伸到終端，企業(yè)應(yīng)用運行在終端沙盒中，有效防止數(shù)據(jù)泄露。

應(yīng)用資產(chǎn)隱藏
所有的訪問需要通過分布式代理網(wǎng)關(guān)接入，應(yīng)用資產(chǎn)不直接暴露在互聯(lián)網(wǎng)上，大大減少被攻擊面。

零信任網(wǎng)絡(luò)的技術(shù)難點

按目前零信任網(wǎng)絡(luò)的發(fā)展來看，零信任網(wǎng)絡(luò)還有很多不足。比如BGP、身份和訪問管理（IAM）服務(wù)等路由協(xié)議之間缺乏集成。路由如果足夠智能，可以將具有子IP地址的源設(shè)備存儲在一個子IP網(wǎng)絡(luò)中，并通過IP地址和應(yīng)用程序?qū)?shù)據(jù)包發(fā)送到目標(biāo)子IP網(wǎng)絡(luò)。 此外，雖然現(xiàn)在IAM可以用于網(wǎng)絡(luò)，但它并不用于確定數(shù)據(jù)包是如何路由的。下圖說明了零信任網(wǎng)絡(luò)正在將路由器的路由表與目錄的AAA策略結(jié)合起來，以允許或拒絕一個包從源到目的地的轉(zhuǎn)發(fā)。與目前的二進(jìn)制規(guī)則相比，更精細(xì)的規(guī)則可以應(yīng)用到路由中，后者可以提高網(wǎng)絡(luò)性能和安全控制。

零信任網(wǎng)絡(luò)控制平面

為了使IP路由與目錄一起工作并實施零信任網(wǎng)絡(luò)策略，網(wǎng)絡(luò)必須能夠保持狀態(tài)。盡管防火墻和其他安全設(shè)備保持狀態(tài)，但迄今為止的IP網(wǎng)絡(luò)是無狀態(tài)的。原本路由器無狀態(tài)是為了保持它們的簡單和快速，但現(xiàn)在通過在路由器中添加狀態(tài)，可以添加額外的服務(wù)，使路由更加動態(tài)、智能和安全。多年來網(wǎng)絡(luò)流量的增長迅速，讓路由器不堪重負(fù)，所以創(chuàng)建能夠快速處理數(shù)據(jù)包的路由器尤為重要。

現(xiàn)在的網(wǎng)絡(luò)需要基于邊緣、分布和核心的體系結(jié)構(gòu)，其中路由是在分發(fā)層進(jìn)行的，交換在邊緣和核心中完成。隨著路由器從專用設(shè)備轉(zhuǎn)向在網(wǎng)絡(luò)邊緣運行的軟件，在路由中增加額外安全和智能的限制或可被解除。如果將網(wǎng)絡(luò)比作道路系統(tǒng)，路面的各種車輛是IP包，路邊的房屋是設(shè)備或系統(tǒng)。今天任何人都可以離開自己的房子，通過各種路線（網(wǎng)絡(luò)）開車（IP包）到你家門口。他（或她）可能沒有鑰匙進(jìn)入你的家，但他（或她）可以藏起來，等待進(jìn)入的機會，就如同網(wǎng)絡(luò)病毒一樣等待機會侵入你的電腦系統(tǒng)。然而在一個零信任的世界里，任何人想去你家（訪問設(shè)備或系統(tǒng)）必須事先和你預(yù)約（上報身份信息、設(shè)備、系統(tǒng)信息等），并得到同意后才能拜訪。 零信任網(wǎng)絡(luò)是數(shù)字虛擬世界中必要的安全保障。

如何突破零信任的挑戰(zhàn)

部分企業(yè)的IT部門已經(jīng)實現(xiàn)了零信任的很多方面。他們通常已經(jīng)部署了多因子身份驗證、IAM和權(quán)限管理。其環(huán)境中也越來越多地實現(xiàn)了微分隔。但建立零信任環(huán)境不僅僅是實現(xiàn)這些單個技術(shù)，而是應(yīng)用這些技術(shù)來施行“無法證明可被信任即無法獲得權(quán)限”的理念。企業(yè)得從戰(zhàn)略上確定哪些技術(shù)有助實現(xiàn)這一理念，然后再去買入這些技術(shù)。

在技術(shù)的應(yīng)用上最忌諱病急亂投醫(yī)，與其期待亂買來的藥能治好病，不如先好好診斷診斷，弄清楚自身情況再采用相應(yīng)的技術(shù)。轉(zhuǎn)向零信任模型不是一朝一夕之功，也不是件容易的事兒，尤其是在有不適應(yīng)該新模型的遺留系統(tǒng)的時候。 很多公司都在向云端遷移，這是個全新的環(huán)境，很適合應(yīng)用零信任模型，可以從云端開始零信任旅程。公司企業(yè)，尤其是有著復(fù)雜IT環(huán)境和大量遺留系統(tǒng)的大型企業(yè)，應(yīng)將零信任遷移看做是多階段跨年度的一項工程。

零信任遷移中的另一項挑戰(zhàn)，是讓員工具備該新理念的思維方式

比較不幸的是，大多數(shù)企業(yè)IT專家接受的教育或培訓(xùn)讓他們默認(rèn)企業(yè)環(huán)境是可信的，他們被教導(dǎo)得想當(dāng)然地認(rèn)為防火墻能將壞人擋在外面。人們需要調(diào)整自己的思維模式，要清楚當(dāng)前態(tài)勢下壞人可能早就在自家環(huán)境中了。

公司企業(yè)還需認(rèn)識到，零信任與其他成功的IT或安全原則一樣，需要長期堅守，不斷維護(hù)，而且零信任工作中的某些部分會更具挑戰(zhàn)性。 從傳統(tǒng)企業(yè)網(wǎng)絡(luò)遷移至BeyondCorp前，谷歌花費兩年時間來創(chuàng)建用戶和設(shè)備信任庫，這是一個比較漫長的過程。谷歌實行BeyondCorp計劃離不開高層的支持，盡管該類型網(wǎng)絡(luò)維護(hù)成本較低，但對預(yù)算要求頗高。比如說，微分區(qū)工作中，安全/IT團隊就必須確保配置修改是恰當(dāng)?shù)?#xff0c;并更新不停改變的IP數(shù)據(jù)以保證員工工作或企業(yè)交易所需訪問不被中斷。否則，企業(yè)可能會面臨工作阻塞問題。

很多公司都會想，遭遇惡意軟件導(dǎo)致業(yè)務(wù)中斷，和配置錯誤導(dǎo)致停工一天，本質(zhì)上都不是什么好事。微分隔方法所需的持續(xù)維護(hù)可能會帶來很多臨時應(yīng)急的措施，或許會讓網(wǎng)絡(luò)更加脆弱。?在遺留系統(tǒng)和現(xiàn)有環(huán)境中整體應(yīng)用零信任模型所導(dǎo)致的復(fù)雜性，表明公司企業(yè)真的沒有做好完全實現(xiàn)該模型的準(zhǔn)備。

因此，公司企業(yè)最好是從設(shè)計上就打造零信任，而不是在原有基礎(chǔ)上修修補補。 換句話說，應(yīng)將零信任模型作為公司整體數(shù)字轉(zhuǎn)型戰(zhàn)略的一部分，實現(xiàn)那些有助于在云遷移過程中達(dá)成零信任的技術(shù)，淘汰掉那些老舊的遺留系統(tǒng)。而且，CISO、CIO和其他高管應(yīng)參與進(jìn)轉(zhuǎn)向零信任的過程中，這樣他們才能安排過程中各項事務(wù)的優(yōu)先級，確定哪些動作應(yīng)盡快完成，而哪些部分可以先等等。

零信任遷移基本等同基礎(chǔ)設(shè)施轉(zhuǎn)型。信息安全并沒有跟上數(shù)字轉(zhuǎn)型/現(xiàn)代化環(huán)境的腳步。但企業(yè)必須轉(zhuǎn)換安全管理的方式。想要整體安全，想要有安全準(zhǔn)備度，就需要換一種思維方式。 無論是BeyondCorp還是其他零信任網(wǎng)絡(luò)架構(gòu)，都提供了一種新的安全模式，設(shè)備和用戶只能獲得經(jīng)過驗證的資源，如此企業(yè)才構(gòu)建了更為安全的環(huán)境。

總結(jié)

以上是生活随笔為你收集整理的零信任技术进阶篇（关键技术及挑战、BeyondCorp安全模型）的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。