為什么零信任是混合世界中安全的基礎(chǔ)

如果想衡量某個(gè)特定術(shù)語(yǔ)、趨勢(shì)或主題的流行程度，網(wǎng)絡(luò)搜索通常是一個(gè)不錯(cuò)的選擇。在網(wǎng)絡(luò)上搜索“混合世界”會(huì)產(chǎn)生驚人的十億、兩億六千萬(wàn)個(gè)結(jié)果。這并不奇怪，因?yàn)槿蚪M織都在努力了解如何才能使混合世界發(fā)揮作用。

他們的好奇心源于這樣一個(gè)事實(shí)，即我們已經(jīng)從一個(gè)靜態(tài)世界轉(zhuǎn)變?yōu)橐粋€(gè)不斷移動(dòng)的混合環(huán)境，在這個(gè)世界里，人們和設(shè)備在特定的位置訪問(wèn)靜態(tài)應(yīng)用。在這個(gè)環(huán)境中，人員、設(shè)備、應(yīng)用和數(shù)據(jù)可以位于多個(gè)不斷變化的位置。

這給IT團(tuán)隊(duì)帶來(lái)了獨(dú)特的挑戰(zhàn)。他們現(xiàn)在需要將員工聯(lián)系起來(lái)，以便他們無(wú)論身在何處都可以相互協(xié)作，使他們能夠訪問(wèn)包括機(jī)密信息在內(nèi)的企業(yè)資源，并確保無(wú)論他們選擇在哪里以及如何工作，他們的體驗(yàn)仍然是良好的。與此同時(shí)，他們需要重新考慮如何看待網(wǎng)絡(luò)安全，以確保連接性和安全性同等重要。

信任：越少越好

過(guò)去，企業(yè)使用一種稱為“信任但驗(yàn)證”的方法，其中用戶在加入網(wǎng)絡(luò)時(shí)只經(jīng)過(guò)一次身份驗(yàn)證，并且默認(rèn)情況下受到所有應(yīng)用的信任。這種網(wǎng)絡(luò)安全方法的前提是企業(yè)已知地點(diǎn)、網(wǎng)絡(luò)甚至設(shè)備。

在混合世界中，這不再是事實(shí)。根據(jù)最新研究，超過(guò)95%的受訪者表示，他們的員工使用未注冊(cè)的設(shè)備登錄工作平臺(tái)。此外，94%的人表示他們的員工至少使用兩個(gè)網(wǎng)絡(luò)登錄工作，57%的人使用五個(gè)以上。

更為復(fù)雜的是，對(duì)應(yīng)用和數(shù)據(jù)的依賴，所有這些都分散在公共云、本地和私有云平臺(tái)的混合平臺(tái)上大幅增加。所有這些都以成倍地增加了攻擊面，使安全形勢(shì)更加復(fù)雜，并增加了成為網(wǎng)絡(luò)攻擊受害者的概率。企業(yè)也知道這種威脅是真實(shí)存在的。

快速發(fā)展的環(huán)境促使企業(yè)轉(zhuǎn)向“零信任”方法。簡(jiǎn)而言之，這種方法假定所有設(shè)備、用戶和網(wǎng)絡(luò)都是潛在威脅，除非另有驗(yàn)證。這意味著用戶和設(shè)備在被授予訪問(wèn)權(quán)限之前，必須不斷地證明自己的身份和訪問(wèn)級(jí)別。

可以說(shuō)這是在混合世界中加強(qiáng)網(wǎng)絡(luò)防御的第一步。

零信任：揭開(kāi)復(fù)雜性的神秘面紗

從表面上看，對(duì)任何人或任何事物的零信任聽(tīng)起來(lái)像是一種負(fù)擔(dān)。每次都必須為每個(gè)用戶驗(yàn)證身份和訪問(wèn)權(quán)限，這是一個(gè)繁瑣的過(guò)程。但現(xiàn)實(shí)是，零信任方法是現(xiàn)代世界最簡(jiǎn)單、最有效的方法之一。這一切都是關(guān)于建立、加強(qiáng)和不斷驗(yàn)證信任，并對(duì)其中的任何變化做出響應(yīng)。

使用零信任的企業(yè)通過(guò)獲得關(guān)于用戶、設(shè)備和網(wǎng)絡(luò)的可見(jiàn)性和上下文意識(shí)來(lái)建立信任，以便系統(tǒng)能夠確定是否存在風(fēng)險(xiǎn)。例如，如果用戶從家庭網(wǎng)絡(luò)訪問(wèn)業(yè)務(wù)應(yīng)用，然后在咖啡館轉(zhuǎn)移到新的網(wǎng)絡(luò)，或者在通勤上班時(shí)改用平板電腦設(shè)備，企業(yè)應(yīng)該意識(shí)到并決定是否需要重新驗(yàn)證。

接下來(lái)，零信任使用一致、統(tǒng)一、基于策略的驗(yàn)證和管理來(lái)強(qiáng)制執(zhí)行基于信任的訪問(wèn)。這意味著系統(tǒng)使用策略來(lái)了解情況，并確定是否可以繼續(xù)向應(yīng)用提供訪問(wèn)權(quán)限。

零信任的一項(xiàng)關(guān)鍵任務(wù)是不斷驗(yàn)證信任，并根據(jù)不斷變化的風(fēng)險(xiǎn)進(jìn)行調(diào)整。如果工程團(tuán)隊(duì)中的某個(gè)人試圖訪問(wèn)企業(yè)的財(cái)務(wù)應(yīng)用，即使它位于之前已經(jīng)過(guò)身份驗(yàn)證的網(wǎng)絡(luò)和設(shè)備上，也會(huì)引起關(guān)注。使用零信任的系統(tǒng)將標(biāo)記此事件，并在提供訪問(wèn)之前強(qiáng)制進(jìn)行最高級(jí)別的驗(yàn)證。

如上文所述，響應(yīng)信任變化是零信任模型的關(guān)鍵。識(shí)別出的任何風(fēng)險(xiǎn)或信任變化會(huì)自動(dòng)觸發(fā)系統(tǒng)的響應(yīng)，旨在保護(hù)企業(yè)的數(shù)據(jù)、應(yīng)用和設(shè)備。

零信任方法的美妙之處在于，它使企業(yè)能夠定制和適應(yīng)自己的環(huán)境、安全狀況、風(fēng)險(xiǎn)評(píng)級(jí)和合規(guī)需求。這不是一種一刀切的方法。

讓它發(fā)揮作用：協(xié)作和經(jīng)驗(yàn)的鋼絲

企業(yè)確實(shí)需要了解的一件事是，他們需要在整個(gè)IT架構(gòu)中審視零信任。如果在孤島中實(shí)施，該方法將不會(huì)成功。舉例來(lái)說(shuō)，我們使用零信任方法來(lái)進(jìn)行身份驗(yàn)證，但在網(wǎng)絡(luò)或應(yīng)用訪問(wèn)級(jí)別上卻沒(méi)有相同的方法。

零信任需要身份驗(yàn)證、設(shè)備、網(wǎng)絡(luò)、應(yīng)用工作負(fù)載和數(shù)據(jù)之間的同步。其中的部分由企業(yè)中的不同領(lǐng)導(dǎo)者處理，例如CISO、首席信息官、基礎(chǔ)設(shè)施和應(yīng)用主管等。

得到各個(gè)領(lǐng)域支持的零信任模型是保護(hù)員工的好方法，無(wú)論他們?cè)谀睦锕ぷ?、選擇什么設(shè)備以及使用哪個(gè)網(wǎng)絡(luò)。它還允許企業(yè)在其關(guān)鍵基礎(chǔ)設(shè)施環(huán)境中擴(kuò)展相同的安全層，并保護(hù)為當(dāng)今智能辦公室和工廠提供動(dòng)力的數(shù)千個(gè)物聯(lián)網(wǎng)(IoT)設(shè)備。

最后，企業(yè)必須考慮用戶疲勞的風(fēng)險(xiǎn)，尤其是因?yàn)轭l繁的身份驗(yàn)證可能會(huì)讓用戶感到沮喪。這種情況的風(fēng)險(xiǎn)在于，隨著時(shí)間的推移，用戶往往會(huì)批準(zhǔn)移動(dòng)設(shè)備或計(jì)算機(jī)上的每一次身份驗(yàn)證，而不檢查真正產(chǎn)生請(qǐng)求的是什么。

平衡安全性和用戶體驗(yàn)并不容易，但企業(yè)需要確定自己的基線并部署零信任，以確保人們享受混合工作體驗(yàn)，而不會(huì)成為網(wǎng)絡(luò)威脅的受害者。

企業(yè)可以解決這一問(wèn)題的一種方法是專注于創(chuàng)建最低權(quán)限訪問(wèn)地圖，讓人們可以做他們需要做的一切，而不是更多。有了這樣的地圖，再加上持續(xù)的監(jiān)控和分析，企業(yè)可以制定政策來(lái)保護(hù)其系統(tǒng)，而不會(huì)不必要地?fù)p害用戶體驗(yàn)。

轉(zhuǎn)向混合工作從根本上改變了企業(yè)處理網(wǎng)絡(luò)安全的方式。然而，平心而論，沒(méi)有人想象這種轉(zhuǎn)變會(huì)以如此大的規(guī)模和速度發(fā)生。這意味著企業(yè)仍在學(xué)習(xí)和理解什么對(duì)他們最有效。有一點(diǎn)是肯定的，零信任將是這一戰(zhàn)略不可或缺的組成部分。企業(yè)越早了解這一點(diǎn)，就越快準(zhǔn)備好應(yīng)對(duì)未來(lái)的挑戰(zhàn)。

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。