本文轉(zhuǎn)載自微信公眾號(hào)“SDNLAB”。

過(guò)去一年網(wǎng)絡(luò)安全事件頻頻發(fā)生。去年年底的SolarWinds事件被稱為“十年來(lái)最嚴(yán)重的網(wǎng)絡(luò)安全危機(jī)”，以及“臺(tái)灣84%的公民信息被泄露”“5.38億條微博用戶信息泄露”“多地高校數(shù)萬(wàn)學(xué)生隱私遭泄漏”等等。

[[382548]]

2020年12月發(fā)生的SolarWinds供應(yīng)鏈攻擊滲透了美國(guó)幾乎所有的關(guān)鍵部門，思科、微軟、英特爾等科技巨頭以及超過(guò)9成的財(cái)富500強(qiáng)企業(yè)躺槍。

還有數(shù)據(jù)表明，遠(yuǎn)程辦公導(dǎo)致全球網(wǎng)絡(luò)犯罪激增400%。據(jù)估計(jì)，在2021年，勒索軟件將每5秒鐘攻擊一次新的受害者，全球勒索軟件破壞成本將達(dá)到200億美元，是2015年的57倍。

在這些安全事件和可怕數(shù)據(jù)的不斷敲打下，網(wǎng)絡(luò)安全必須迎來(lái)一場(chǎng)深度改革。

是時(shí)候改革了

其實(shí)大多數(shù)網(wǎng)絡(luò)安全事件都有一些共性。首先是權(quán)限問(wèn)題，入侵者一旦獲得賬戶，就能利用管理賬戶的權(quán)限進(jìn)行攻擊，利用企業(yè)內(nèi)部網(wǎng)絡(luò)的默認(rèn)信任關(guān)系來(lái)進(jìn)行橫向移動(dòng)。另外，被攻擊目標(biāo)一般缺乏完善的訪問(wèn)控制措施，還缺乏完善、深入的安全監(jiān)測(cè)與響應(yīng)能力，導(dǎo)致未能快速發(fā)現(xiàn)并阻止攻擊行為。

這是由于傳統(tǒng)的安全措施都集中企業(yè)邊界，也就是內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間。打個(gè)比方，我們的企業(yè)就是一個(gè)城堡，城堡內(nèi)部的一切活動(dòng)都是默認(rèn)可信的，數(shù)據(jù)和業(yè)務(wù)都在城堡內(nèi)部進(jìn)行管理，安全部門只對(duì)進(jìn)出城堡的活動(dòng)進(jìn)行監(jiān)控和保護(hù)。

但是，隨著云計(jì)算、虛擬化等技術(shù)的發(fā)展，企業(yè)的數(shù)據(jù)和應(yīng)用慢慢的從內(nèi)網(wǎng)移動(dòng)到外網(wǎng)，企業(yè)邊界不斷延伸，城堡的大門被打破。

另一方面，傳統(tǒng)的外部訪問(wèn)控制措施已經(jīng)不足以應(yīng)對(duì)現(xiàn)代攻擊技術(shù)。

安全模式是時(shí)候改革了，零信任安全架構(gòu)或許是一個(gè)理想選擇。據(jù)調(diào)查，2021年將會(huì)有40%的企業(yè)積極嘗試零信任安全技術(shù)：

[[382550]]

零信任核心原則：從不信任，始終驗(yàn)證

(1) 顯示確認(rèn)

零信任的第一個(gè)基本原則是對(duì)所有資源的訪問(wèn)都需要經(jīng)過(guò)驗(yàn)證。用戶每次訪問(wèn)共享文件、應(yīng)用程序或云存儲(chǔ)設(shè)備時(shí)，都要驗(yàn)證該用戶對(duì)相關(guān)資源的訪問(wèn)。因?yàn)樵诹阈湃渭軜?gòu)中，用戶的每個(gè)網(wǎng)絡(luò)活動(dòng)都是潛在的威脅。要實(shí)現(xiàn)這種模式，需要：遠(yuǎn)程身份驗(yàn)證、訪問(wèn)協(xié)議、外圍安全和網(wǎng)絡(luò)訪問(wèn)控件。

(2) 最小權(quán)限原則

最小權(quán)限原則指每個(gè)用戶只能訪問(wèn)其工作所需的訪問(wèn)權(quán)限。通過(guò)限制每個(gè)用戶的訪問(wèn)權(quán)限，可以有效防止黑客進(jìn)入內(nèi)部后的橫向攻擊。這種精細(xì)的授權(quán)策略一般來(lái)說(shuō)是由數(shù)據(jù)所有者來(lái)管理權(quán)限，并定期審核訪問(wèn)權(quán)限和成員身份。

(3) 日志記錄

監(jiān)視和日志記錄可以說(shuō)是零信任安全模型最重要的功能。在系統(tǒng)的監(jiān)視下，網(wǎng)絡(luò)中的每一個(gè)活動(dòng)都被記錄在案，并且經(jīng)過(guò)可視化安全分析，可以有效辨別出哪些是異常賬戶，勒索軟件和惡意操作都清清楚楚地展示在你的眼皮底下。

零信任7大要素

零信任不僅僅是一個(gè)概念，它是一個(gè)完備的安全模型，包括七大要素。

(1) 零信任數(shù)據(jù)：數(shù)據(jù)是黑客攻擊的最終目標(biāo)，因此，零信任首先要保護(hù)數(shù)據(jù)，然后才是構(gòu)建額外的安全層。然而，數(shù)據(jù)是經(jīng)常流動(dòng)的，它們通常在工作站、移動(dòng)設(shè)備、應(yīng)用程序服務(wù)器、數(shù)據(jù)庫(kù)、SaaS應(yīng)用程序之間傳輸，而且通常還是跨公司、跨公網(wǎng)的進(jìn)行共享。要保護(hù)這些數(shù)據(jù)，公司必須要了解其數(shù)據(jù)在何處，誰(shuí)可以訪問(wèn)，并監(jiān)視數(shù)據(jù)訪問(wèn)以檢測(cè)和響應(yīng)潛在威脅。

(2) 零信任人員：有數(shù)據(jù)表明有81%的數(shù)據(jù)被盜是由于賬號(hào)密碼被別人盜取，所以僅憑賬號(hào)密碼已經(jīng)不能證明用戶的身份了。在零信任架構(gòu)中，就算是在防火墻后面的操作都默認(rèn)為違規(guī)，需要驗(yàn)證每個(gè)請(qǐng)求。也就是說(shuō)，無(wú)論你是誰(shuí)、你在哪里、你要做什么，零信任架構(gòu)都不認(rèn)識(shí)你，身份驗(yàn)證、授權(quán)、加密一樣不能少。這樣能有效防止網(wǎng)絡(luò)釣魚，密碼錯(cuò)誤或惡意內(nèi)部人員等人為錯(cuò)誤。

[[382551]]

(3) 零信任網(wǎng)絡(luò)：零信任網(wǎng)絡(luò)使用下一代防火墻之類的技術(shù)來(lái)對(duì)網(wǎng)絡(luò)進(jìn)行分段、隔離和限制，并創(chuàng)建多個(gè)檢查點(diǎn)，在這樣的網(wǎng)絡(luò)中黑客無(wú)法導(dǎo)航，寸步難行。

(4) 零信任工作負(fù)載：無(wú)論是在何種云環(huán)境中，工作負(fù)載(比如應(yīng)用系統(tǒng)、虛擬機(jī)、容器、Serveless等)都非常容易受到攻擊。零信任將存儲(chǔ)到操作系統(tǒng)到Web前端的整個(gè)堆棧視為威脅，并使用符合“零信任”原則的兼容控件對(duì)其進(jìn)行保護(hù)。

(5) 零信任設(shè)備：在過(guò)去幾年，網(wǎng)絡(luò)上的設(shè)備呈爆炸式增長(zhǎng)，這些連接的設(shè)備中每一個(gè)都可以作為黑客滲入網(wǎng)絡(luò)的入口。所以，無(wú)論是移動(dòng)設(shè)備還是物聯(lián)網(wǎng)設(shè)備，零信任網(wǎng)絡(luò)都將其視為威脅載體，對(duì)其進(jìn)行隔離、控制和保護(hù)。

(6) 可視化和分析：零信任安全架構(gòu)支持監(jiān)視、記錄、關(guān)聯(lián)和分析網(wǎng)絡(luò)中的每一個(gè)活動(dòng)，這一點(diǎn)很重要，因?yàn)槿魏稳硕疾荒鼙Ｗo(hù)他看不到或看不懂的東西。高級(jí)威脅檢測(cè)和用戶行為分析能幫助我們掌握網(wǎng)絡(luò)中任何潛在威脅。

(7) 自動(dòng)化和編排：要知道我們?nèi)斯o(wú)法監(jiān)視每一個(gè)網(wǎng)絡(luò)中發(fā)生的事件，所以自動(dòng)化是必不可少的，將監(jiān)視和威脅檢測(cè)系統(tǒng)自動(dòng)化可以節(jié)省很多人力資源，更重要的是，這可以提高事件響應(yīng)、任務(wù)授權(quán)的速度，還能提升策略的準(zhǔn)確性。

挑戰(zhàn)重重

零信任看起來(lái)確實(shí)很完美，但在現(xiàn)實(shí)中很難實(shí)現(xiàn)。

首先面臨的一個(gè)問(wèn)題是，并不是所有的資源和應(yīng)用程序都適用零信任協(xié)議。很多舊版應(yīng)用程序和管理工具都不能使用身份驗(yàn)證，如果有必要，就得另想其他辦法來(lái)保護(hù)他們。

其次，雖然零信任安全系統(tǒng)把企業(yè)保護(hù)得滴水不漏，但是對(duì)員工不友好，很多員工會(huì)覺(jué)得操作太麻煩，可能會(huì)想方設(shè)法地規(guī)避那些層層驗(yàn)證，從而造成系統(tǒng)中的薄弱環(huán)節(jié)。所以，員工的支持與配合對(duì)于建立一個(gè)成功的零信任網(wǎng)絡(luò)非常重要。

最后，很多法規(guī)還沒(méi)有將零信任納入，它還不能作為一個(gè)安全協(xié)議。這意味著，在監(jiān)管嚴(yán)格的行業(yè)中，如果企業(yè)采用零信任模型，可能無(wú)法通過(guò)審核，這時(shí)候只能實(shí)施防火墻和防病毒軟件之類的傳統(tǒng)安全方法了。

努力實(shí)現(xiàn)

要成功實(shí)現(xiàn)零信任安全需要足夠的時(shí)間與耐心。首先，需要仔細(xì)分析企業(yè)當(dāng)前的安全系統(tǒng)，找到薄弱的地方，先刪除掉那些不夠謹(jǐn)慎安全的默認(rèn)設(shè)置。還需要將當(dāng)前系統(tǒng)各部分的數(shù)據(jù)、網(wǎng)絡(luò)連接方式映射出來(lái)，這樣可以一目了然的確定哪些位置需要添加驗(yàn)證點(diǎn)。

接下來(lái)就是重組安全網(wǎng)絡(luò)，這得視情況而定，有的企業(yè)需要直接覆蓋舊系統(tǒng)，有的只需要添加額外的安全措施。當(dāng)然，還需要一些其他的安全工具，例如端點(diǎn)檢測(cè)和響應(yīng)(EDR)，防火墻和防病毒軟件

最后，員工培訓(xùn)也很重要。首先得向員工們解釋為什么企業(yè)要采用這種方法，并鼓勵(lì)他們遵循協(xié)議。內(nèi)部威脅一直是企業(yè)管理者的心頭大患，例如當(dāng)年微盟的“員工刪庫(kù)跑路”事件，華爾街日?qǐng)?bào)的調(diào)查顯示，70%的企業(yè)管理者擔(dān)心內(nèi)部人員威脅，但事實(shí)上，大多數(shù)內(nèi)部威脅并非是員工惡意，而是疏忽或缺乏必要的安全意識(shí)。

關(guān)于未來(lái)

關(guān)于企業(yè)安全，微軟企業(yè)服務(wù)大中華區(qū) Cybersecurity 首席架構(gòu)師張美波曾表示，“零信任”是一個(gè)持續(xù)進(jìn)化的旅程，而不是一個(gè)結(jié)果。零信任并不是一蹴而就的，企業(yè)應(yīng)根據(jù)自身目前的情況和實(shí)際需求，參考“零信任”原則，逐步對(duì)企業(yè)組織、流程和技術(shù)進(jìn)行優(yōu)化調(diào)整。

未來(lái)，絕大部分企業(yè)會(huì)持續(xù)的、長(zhǎng)期以混合安全模式架構(gòu)(即“零信任”模式與傳統(tǒng)安全模式共存)運(yùn)行，并逐步遷移到“零信任”模式。