零信任的概念在10年前往往無(wú)人重視，2020年的疫情爆發(fā)將它推到企業(yè)安全重點(diǎn)關(guān)注的首要位置。COVID-19大流行推動(dòng)了大規(guī)模的遠(yuǎn)程工作，在復(fù)雜多樣的使用環(huán)境下，幾乎是一夜之間將組織傳統(tǒng)的基于系統(tǒng)的安全模型打破。在這種遠(yuǎn)程工作的新常態(tài)中，組織的網(wǎng)絡(luò)不再是一個(gè)單一的位置和事物，它無(wú)時(shí)無(wú)刻地存在于某個(gè)地方。即使我們查看到的在一個(gè)地方使用單一數(shù)據(jù)中心的組織，該數(shù)據(jù)中心也可以由多個(gè)設(shè)備上的多個(gè)用戶訪問(wèn)。

[[397265]]

當(dāng)今的網(wǎng)絡(luò)環(huán)境復(fù)雜且多變，如果不采用零信任方法，惡意軟件(尤其是勒索軟件)將不受網(wǎng)絡(luò)干擾，導(dǎo)致網(wǎng)絡(luò)某一部分遭到破壞時(shí)可能會(huì)導(dǎo)致組織癱瘓。近年，我們看到了多個(gè)勒索軟件攻擊的例子：從醫(yī)院、地方政府到大型公司的各個(gè)部門的組織都遭受了大規(guī)模停機(jī)。簡(jiǎn)而言之，純粹基于系統(tǒng)的安全模型已經(jīng)變得不再有意義。

那么，組織應(yīng)該如何應(yīng)用“零信任”藍(lán)圖來(lái)解決其新的復(fù)雜網(wǎng)絡(luò)問(wèn)題?通過(guò)以下五個(gè)步驟尋找出有價(jià)值的數(shù)據(jù)、數(shù)據(jù)去向以及如何使用數(shù)據(jù)成為了實(shí)現(xiàn)零信任網(wǎng)絡(luò)的最合乎邏輯的方法。成功做到這一點(diǎn)的唯一方法是自動(dòng)化和編排。

1. 識(shí)別和分段數(shù)據(jù)

這是實(shí)施“零信任”的最復(fù)雜領(lǐng)域之一，因?yàn)樗蠼M織確定哪些數(shù)據(jù)是敏感的。

在嚴(yán)格監(jiān)管環(huán)境中運(yùn)營(yíng)的企業(yè)可能已經(jīng)知道該數(shù)據(jù)是什么，因?yàn)楸O(jiān)管機(jī)構(gòu)一直要求對(duì)此類數(shù)據(jù)進(jìn)行監(jiān)管。另一種方法是將人類可以訪問(wèn)的系統(tǒng)與環(huán)境中的其他系統(tǒng)分開(kāi)，如可以通過(guò)智能手機(jī)、便攜式計(jì)算機(jī)及臺(tái)式機(jī)連接的網(wǎng)絡(luò)部分。不幸的是，人類通常是最薄弱的環(huán)節(jié)，也是漏洞的第一來(lái)源 。因此將這些類型的網(wǎng)段與數(shù)據(jù)中心服務(wù)器分離是有意義的。自然地，所有進(jìn)入組織的家庭用戶連接都需要在隔離的網(wǎng)段中終止。

2. 映射敏感數(shù)據(jù)的流量并將其與業(yè)務(wù)應(yīng)用程序關(guān)聯(lián)

一旦確定了敏感數(shù)據(jù)，下一步就是知道數(shù)據(jù)的去向、用途以及應(yīng)用。當(dāng)數(shù)據(jù)跨網(wǎng)絡(luò)流動(dòng)，系統(tǒng)和用戶可以通過(guò)許多業(yè)務(wù)應(yīng)用程序始終訪問(wèn)跨網(wǎng)絡(luò)流動(dòng)的數(shù)據(jù)。如果您不了解有關(guān)您的數(shù)據(jù)的信息，則無(wú)法有效地保護(hù)它。

自動(dòng)化發(fā)現(xiàn)工具可以幫助您了解數(shù)據(jù)的意圖，為什么在那里流動(dòng)?什么目的?正在傳輸什么數(shù)據(jù)?特定流服務(wù)于什么應(yīng)用程序?使用正確的工具讓您可以了解需要允許哪些流程，這樣就可以進(jìn)入“零信任”規(guī)則，判定“其他所有內(nèi)容都將不被允許”。

3. 構(gòu)建網(wǎng)絡(luò)

一旦知道應(yīng)該允許哪些流量(然后其他所有內(nèi)容都應(yīng)被阻止)，就可以著手設(shè)計(jì)網(wǎng)絡(luò)體系結(jié)構(gòu)以及執(zhí)行網(wǎng)絡(luò)微邊界的過(guò)濾策略，簡(jiǎn)而言之就是設(shè)計(jì)控件以確保僅允許合法流。

當(dāng)前的虛擬化技術(shù)使您比過(guò)去更輕松地構(gòu)建此類網(wǎng)絡(luò)。數(shù)據(jù)中心和公共云提供商中的軟件定義網(wǎng)絡(luò)(SDN)平臺(tái)均允許您在網(wǎng)絡(luò)結(jié)構(gòu)中部署過(guò)濾器。因此從技術(shù)上講，可以將過(guò)濾策略放置在網(wǎng)絡(luò)中的任何位置。但是，實(shí)際上定義這些過(guò)濾策略的內(nèi)容是，控制允許流量的規(guī)則，這正是自動(dòng)發(fā)現(xiàn)真正有效的地方。

在完成發(fā)現(xiàn)過(guò)程之后，您將能夠了解流的意圖，并可以在不同區(qū)域和段之間放置邊界。這是您要實(shí)現(xiàn)的控制量與安全性之間的平衡。由于存在許多連接或微細(xì)分的孤島，因此您必須要考慮需要花費(fèi)多少時(shí)間來(lái)設(shè)置和管理它們。發(fā)現(xiàn)意圖是使這一過(guò)程變得簡(jiǎn)單的方法，因?yàn)樗鼛椭鷽Q定在邏輯上應(yīng)該把這些片段放在哪里。

4. 監(jiān)控

一旦部署了微段和策略，就必須監(jiān)視所有內(nèi)容，這是可見(jiàn)性發(fā)揮作用的地方。知道是否存在問(wèn)題的唯一方法是始終監(jiān)視整個(gè)基礎(chǔ)架構(gòu)上的流量。

監(jiān)控有兩個(gè)重要方面：首先需要持續(xù)合規(guī)，您肯定不希望只在審核員出現(xiàn)時(shí)才檢查自己是否合規(guī)。這意味著您需要一直監(jiān)視配置和流量，并且當(dāng)審核員出現(xiàn)時(shí)，您可以向他們展示最新報(bào)告。

其次，組織必須對(duì)監(jiān)控中的學(xué)習(xí)階段和執(zhí)行階段進(jìn)行區(qū)分。在學(xué)習(xí)階段，您正在監(jiān)視網(wǎng)絡(luò)以了解其中的所有流情況，并根據(jù)它們的意圖對(duì)其進(jìn)行分析，這允許您在編寫策略規(guī)則之前查看哪些流是必要的。然而，到了一定的時(shí)候，你必須停止學(xué)習(xí)，并確定任何你沒(méi)有看到的流為異?，F(xiàn)象，并將默認(rèn)策略設(shè)為阻止。在這里，你可以從默認(rèn)的“允許”策略到默認(rèn)的“拒絕”策略或組織的“D-DAY”政策進(jìn)行大的轉(zhuǎn)換。

在此階段，您可以出于強(qiáng)制目的而切換到監(jiān)視。此后任何開(kāi)發(fā)人員想要允許另一個(gè)數(shù)據(jù)流通過(guò)數(shù)據(jù)中心的請(qǐng)求都必須提交更改申請(qǐng)并獲得許可后才能通過(guò)。

5. 自動(dòng)化和協(xié)調(diào)

最后，進(jìn)入“D-DAY”的唯一途徑是借助策略引擎，這是整個(gè)網(wǎng)絡(luò)策略背后的中心 “大腦”。否則，您每次需要進(jìn)行更改時(shí)都必須在整個(gè)基礎(chǔ)架構(gòu)中采用手動(dòng)方式執(zhí)行所有操作。

由自動(dòng)化流程啟用的策略引擎能夠?qū)⑷魏胃恼?qǐng)求與您定義為合法業(yè)務(wù)連接要求的內(nèi)容進(jìn)行比較。如果其他連接請(qǐng)求符合可接受的用途定義時(shí)，則它應(yīng)該以全自動(dòng)方式繼續(xù)零接觸，這需要花費(fèi)幾分鐘來(lái)實(shí)現(xiàn)更新部署的篩選過(guò)濾。只有超出可接受使用準(zhǔn)則要求時(shí)才需要由專人進(jìn)行審核和批準(zhǔn)。

一旦獲得批準(zhǔn)(自動(dòng)或經(jīng)過(guò)審核)，就需要進(jìn)行部署更改。如果您必須使用各種不同的技術(shù)(有各自的復(fù)雜性和配置要求)將更改部署到潛在的數(shù)百個(gè)不同的執(zhí)行點(diǎn)中，沒(méi)有智能自動(dòng)化系統(tǒng)，幾乎不可能完成此更改請(qǐng)求過(guò)程。

關(guān)注業(yè)務(wù)成果而不是安全成果

由于流程變得更快、更靈活同時(shí)又不影響安全性或合規(guī)性，因此消除安全部署中的復(fù)雜性可以帶來(lái)真正的業(yè)務(wù)成果。目前， 在許多組織中，即使已經(jīng)進(jìn)行了有限的細(xì)分，但在“D-DAY”進(jìn)行變更后的進(jìn)度仍然非常緩慢，常常需要花費(fèi)數(shù)周的時(shí)間才能完成安全批準(zhǔn)階段，甚至還需要花費(fèi)更多的人力、物力。而微細(xì)分可能使這一過(guò)程變得更加復(fù)雜。

但是，使用我在此處概述的步驟來(lái)實(shí)現(xiàn)“零信任”自動(dòng)化實(shí)踐方式，意味著從提出更改請(qǐng)求到部署和實(shí)施的端到端時(shí)間可以減少到一天甚至幾小時(shí)，且不會(huì)帶來(lái)風(fēng)險(xiǎn)。簡(jiǎn)而言之，自動(dòng)化意味著組織花費(fèi)更少的時(shí)間和預(yù)算來(lái)管理其安全基礎(chǔ)架構(gòu)，而將更多的精力用于業(yè)務(wù)實(shí)現(xiàn)，這是一個(gè)真正的雙贏局面。