如今数据泄露早已司空见惯，企业始终站在敏感信息随时会泄露的边缘，步步如履薄冰，部署网络安全最佳实践势在必行，刻不容缓。多年来，企业一直围绕虚拟信任边界为网络安全建模，包括可信的网络基础架构、用户和设备。
只是网络犯罪分子和不法分子多年来一直在钻这种网络安全模型的漏洞。毫无疑问，迫在眉睫的需求是滴水不漏的强大网络安全系统，保护大量设备、数字接触点和用户，打造零风险的生态系统。零信任模型应此而生。
那么，如何才能将零信任安全概念变为企业或组织机构的现实呢？这份权威指南解释了零信任模型的含义及其原理。
目录：
零信任的含义
何为零信任网络
零信任模型的原理
零信任安全原则
何为零信任架构
零信任技术
零信任模型为何如此重要
如何实施零信任安全模型
零信任安全模型的优势
零信任安全模型的挑战
结论
零信任是在“从不信任，一切皆需验证”概念延伸出的安全理念。这种网络安全方法可确保企业仅向经过确认的授权安全用户、系统、网络和流程授予访问权限。因此，它可以阻止不法分子获得访问权限，避免因此造成的任何损害。企业还可以抵御不断出现的新兴威胁，例如勒索软件。
零信任是一种相对较新的 IT 安全模型，要求对每台尝试访问专有网络资源的设备或用户进行严格的身份验证，无论他们位于网络边界之内还是外部。
尽管与零信任模型相关的主要技术是零信任网络接入 (ZTNA)，但该框架是一种全面的网络安全方法，融合了多种技术和原则。
简而言之，传统 IT 网络安全信任网络内的用户和设备，而零信任架构不相信任何设备，也不相信任何人。
传统的 IT 网络安全依赖于城堡和护城河的概念，也就是很难从外部入侵，而网络默认信任内部的所有人。所以问题就在于，一旦不法分子撕开突破口，就能自由驰骋在内部网络上。
究其根本，零信任安全模型是一种模式上的转变，企业和组织机构需要彻底改变过去对网络、系统和 IT 基础架构的构思。在过去的模型下，所有服务器、计算机和其他设备都存在于同一个网络中并且相互信任。
IT 团队要设置防病毒和防火墙之类的安全工具，这些工具默认虚拟边界之外的内容都不可靠，内部的一切都安全，无需额外审查。但是，移动设备、远程办公和云服务的爆炸式增长彻底颠覆了这些假设。如今，企业不再将数据保存在一个地方。数据分散在服务器和云供应商之间，因此很难掌控整个网络的安全。
现今的企业无法从实体层面控制员工所用的设备。此外，即使他们可以控制网络中的每台设备，过去的老旧模型也并非牢不可破。一旦攻击者以远程或物理方式绕过外围防御而入侵了企业环境，网络就默认授予他们访问权限、信任和自由。
零信任是个基本概念，也是一项持续的行为，并非一次性操作。例如，零信任模型不信任来自某些地点（例如企业员工）的特定连接、用户和设备，而要求用户证明他们有权访问。
通常，要访问企业网络，就意味着用户要用凭据（用户名和密码）以及生物识别或硬件安全密钥登录公司帐户，这样一来不法分子更难冒充用户。
更重要的是，即使在通过验证之后，系统也是基于访问或知情需求配置权限。举例来说，如果您不负责向承包商开发票，您的公司帐户就不应该有计费平台的访问权限。因此零信任网络：
限制和控制对专有网络的访问权限
记录并检查所有网络流量
验证和保护网络资源
这就意味着，零信任模型确保数据和网络资源在默认情况下始终无法访问。因此，用户只能在特定情况下在有限的时间内访问，这也称为最低权限访问。
安全模型会对所有连接进行验证和授权，例如当用户使用应用程序编程接口 (API) 连接到应用程序，或将软件连接到数据集。此外，它还确保所有交互都符合企业安全政策的条件要求。
不仅如此，零信任安全战略还根据动态策略对设备、网络流量和连接进行身份验证和授权。它使用来自诸多数据源的背景信息。
零信任模型要用到一系列安全功能和经验，包括：
身份：定义和管理零信任安全策略，并使用多重身份验证、SSO 和生命周期管理来管理用户和特权帐户的访问权限。
数据：使用成熟可靠的零信任最佳实践保护关键数据；发现、分类数据，并根据风险等级管理数据访问权限。
分析和可见性：通过智能分析监控和执行零信任策略；允许企业查看和监控用户行为、资源和数据连接。
设备和工作负载：实行零信任做法，全面保护企业，例如保护应用程序、监控和管理端点。
网络和端点：应用现代化解决方案和成熟的技能和专业知识，保护网络基础架构和端点。
自动化和编排：在零信任实践中，运用经编排的操作和常用手册快速解决安全问题并持续循环此过程。
零信任依赖以下核心原则来保护企业 IT 环境，保证环境安全：
1. 持续监控和验证
零信任模型假设网络内外都危机四伏，攻击者无处不在。因此，它并不自动为任何人或任何设备授予信任和访问权限，而是验证每个用户的身份和权限，以及设备身份和安全性。此外，企业还可以将连接和登录会话设置为建立后定期超时，从而强制持续重新验证用户和设备。
2. 最低权限原则
最低权限访问意味着基于访问或知情需求向用户授予访问权限。因此，它能最大限度减少用户接触到的网络敏感信息。
实施最小权限就要谨慎管理用户权限。此外，VPN 允许用户访问整个连接的网络，因此不适合最小权限授权方法。
3. 微分段
这种做法是将网络的安全边界分成较小的区域，确保不同区域的访问权限不同。例如，在单个数据中心存储文件的网络可以将文件微分成数十个不同的安全区域。因此，用户或程序需要对不同的文件区域获得单独授权。
4. 设备访问控制
零信任模型还要求实施严格的设备访问控制。它们应该监控不同设备尝试访问网络的方法，确保它们经过授权，并对它们进行评估，辨别是否遭到过攻击者的入侵。
5. 防止横向移动
网络安全中的横向移动是指攻击者获得访问权限后能在网络内移动。攻击者在网络各个部分移动时可能会进行破坏，从而加大检测难度。网络分段可防止横向移动，有助于 IT 团队检测和隔离被入侵的用户帐户或设备。
6. 多重身份验证 (MFA)
它要求用户提供多个凭据来验证身份，这意味着仅输入用户名和密码不能获得访问权限。例如，双重身份验证 (2FA) 是 Google 和 Facebook 等平台上常用的多重身份验证应用程序。双重身份验证要求用户输入密码以及发送到辅助设备的一次性验证码。
零信任架构 (ZTA) 是指企业网络安全基础架构采用零信任组件和原则，旨在防止出现数据泄露和网络入侵，同时限制内部横向移动。零信任架构加强了企业的网络安全防御体系，将未经授权的用户拒阻在专用网络之外，并保护资产远离威胁。
从本质上来说，零信任架构允许网络用户仅访问他们执行工作所需的内容。它还可以识别潜在的恶意或异常活动并隔离受影响的分段，防止攻击在网络中传播。
零信任安全模型的假定前提是网络中的用户和设备都是入侵而来的，并要求他们证明自己不是攻击者。
美国国家标准和技术协会 (NIST) 已经为政府机构制定了零信任架构原则。这些 NIST 原则也适用于私人组织机构，包括以下内容：
企业应将所有数据源和计算服务视为资源。
无论网络位置如何，企业都应保护所有通信。
企业应按连接逐个授予对个别企业资源的访问权限。
企业应使用策略来确定用户对资源的访问权限，包括请求系统的状态和用户身份，以及其他行为属性。
他们应确保所有系统（自有的和关联的）都处于安全状态，并对其进行监控以确保它们始终得到全面保护。
企业应在授予访问权限之前严格验证用户的身份。这是一个周而复始的循环，包括访问、扫描和评估威胁、调整并持续进行身份验证。
为成功实施高效且有效的零信任架构，企业应自身部署一些技术，还要考虑一些注意事项。包括：
零信任网络访问 (ZTNA)：采用该技术后，新的零信任云服务能够向远程工作人员和团队授予对内部专有网络的访问权限，避免虚拟专用网络 (VPN) 带来的风险、复杂性和瓶颈问题。
下一代防火墙：此工具提供网络保护，有助于企业进行微分段并解密流量。
数据丢失防护 (DLP)：企业通过此技术不仅能够控制用户和设备的访问，还能管理对数据的使用。
持续监控：企业必须假设网络内外危机四伏，不法分子虎视眈眈，因此他们要部署相应技术，持续监控系统和数据。
零信任模式的诞生是对无边界数字世界的回应，在这个世界里，云技术、自带设备 (BYOD) 甚至物联网 (IoT) 等创新塑造了全球企业的格局。如今，用户可以在任何设备上远程工作，并通过网络共享和基于云的 SaaS 工具进行在线协作。
企业将信息存储在云中，使其随时随地均可被访问，与此同时，个人设备如洪水般涌入市场，挤进了公司值得信赖的内部网络。随着世界变得更加互联互通，数字边界在逐渐消失，网络安全威胁日益猖獗，虚拟信任边界因此转移到了终端设备和用户帐户。
对于黑客来说，相比直接攻击安全网络，用网络钓鱼手段（例如社交网络或电子邮件网络钓鱼）挑个别员工和个人设备下手，撕开专用网络入口要容易得多。
因此，零信任的前提是避免授予任何设备或用户隐性信任，而是让网络先验证这种信任，然后再授予访问权限，同时还要定期重新评估信任度。此外，为了持续评估信任度并控制数字设备、身份和服务，该模型还需要部署一套相应的技术。
企业应规划和实施零信任安全模型以推进网络安全措施，发现不断改进的零信任模式所具有的优势。
遵循以下六步零信任模型实施计划，确保做到面面俱到：
1. 成立专门的零信任安全团队
首先，企业应寻找人才并成立一个专门的零信任安全团队，负责规划和实施零信任模式迁移。该团队的成员可以从自应用程序和数据安全、用户和设备身份以及网络和基础架构安全等 IT 团队或部门招纳。
2. 评估环境
下一步是全面盘点拥有网络访问权限的设备，属于私人和企业的设备均应包含其中。然后应该进一步了解设备的安全状态和控制措施。
企业可进一步核查软件资源和用户，包括帐户、群组、群组成员、身份、非人类身份（应用程序和服务帐户）以及虚拟机和容器。
3. 定义保护面
鉴于当今威胁格局的快速演变，试图缩小企业不断扩张的攻击面是不可行的，也是不可取的。但是，IT 团队人员可以识别和定义企业的保护面，涵盖以下内容：
数据：受保护的健康信息 (PHI)、信用卡信息 (PCI)、知识产权 (IP) 和个人身份信息
资产：医疗设备、SCADA 控件、制造资产、物联网设备和销售点终端
服务：DNS、Active Directory 和 DHCP
应用程序：定制软件
然后，企业可以对受保护面采取安全控制措施，并使用精简易懂的政策声明建立起安全边界。
4. 评估适用的零信任技术
NIST 确立了实施零信任模型的三大方法。它们分别是微分段、软件定义边界和增强的身份治理 —IAM 和 PAM（即“身份访问管理”和“特权访问管理”）。
您可能要部署的基本技术包括零信任网络访问 (ZTNA)、下一代防火墙和数据丢失防护 (DLP) 等。
5. 规划零信任安全战略
零信任网络围绕企业的受保护面进行定制和构建。零信任网络配置计划示例：
首先是多重身份验证和单点登录 (SSO)，消除网络安全系统的边界，尤其在全球远程工作日益倚重软件即服务的局面下。
采用特权访问，防止黑客登录系统和在网络中传播病毒。为此，企业需妥善保管或随机生成高特权的帐户密码。
下一代防火墙可用作分段网关，围绕已确定的保护边界创建微边界。您可在此强制执行其他检查并访问控制层。
设计好零信任网络架构后，企业应落实周密的策略来保护资源和确定访问级别。从更高层面制定详细的策略执行规则，确保仅允许使用批准的流量和合法的应用程序通信。
6. 监控和维护网络
最后一步侧重于零信任的运行层面，其中包括审查内外部日志。由于这是一个迭代过程，因此企业应检查和记录所有通信流量，洞察网络的效率并逐步改进。
零信任方法的主要优势是在网络内外实行全方位保护。传统的安全模型之所以失败，是因为它们的防御重点放在网络边界上。相比外部，漏洞更多地发生在网络内部。例如，它可能明显来自内部员工的恶意行为，也可能是外部威胁通过 VPN 连接、电子邮件、浏览器、端点和其他方式渗透到网络内部。
因此，零信任安全会剥夺所有人的访问权限，直到受保护的网络确定这是经授权的用户。然后，它会持续监控用户如何使用数据，并可能撤消用户在其他地方复制或删除数据的权限。
IT 团队可以将零信任功能设计到业务流程、系统和服务中，以便可以更有效地：
防止数据泄露并使用应用程序微分段来遏制黑客横向移动。
在完全独立于底层基础架构的计算和容器化环境中扩展安全保护。
持续监控和响应威胁或入侵迹象。记录威胁、报告、发出警报，并采取应对措施。
深入洞察用户、组件、设备和工作负载，识别正在运行或访问的内容，并实施相应策略。
确保企业始终安全，同时交付高度一致的用户体验。
减少全职工时，降低架构复杂性。
零信任安全模型还可以简化 IT 管理，优化现有的 IT 和安全人员结构，保护远程员工数据，确保企业持续合规，简化用户访问权限，让高层管理人员高枕无忧。
要达到完全的零信任状态并非易事，在实现零信任数字环境时经常碰到各类问题，很多时候找不到一种解决方案或技术来解决所有问题。这是一段循序渐进的旅程，无法一次解决到位。
实施零信任模型的部分挑战包括：
微分段是零信任模型的底层概念，但很难实现，尤其是在使用传统防火墙技术管理的本地网络和服务器中。
很多企业和组织机构使用混合的数字环境。他们的基础架构托管在本地、公有云和私有云中。远程员工的设备则托管在任意位置。
使用旧版 Web 服务访问权限的企业必须升级到更新的版本，以获得持续的安全保证并确保对用户、设备和连接进行合规性评估。
远程用户需要从任意位置轻松灵活地访问网络，这就要求企业依据网络收集的安全信息（有关用户、设备或连接的信息）灵活应用策略，包括授权、审计、控制和其他操作等。
解决物联网问题仍然是一项挑战，因为零信任模型所采用的技术要求在终端设备上安装代理，目前这一点仍无法在这些设备上实现。
企业还应部署强大的解决方案来支持零信任技术，借此控制云中的数据安全和访问。
由于企业可能采用的解决方案和技术多种多样，因此企业应考虑进行集成，避免功能重叠。此举还可最大限度地降低成本以及支持和维护的复杂性。
随着针对企业的网络攻击不断增多和演变，传统的“信任但需验证”的网络安全方法已不足以阻止攻击，无法保护数据和系统。安全团队应该明白，默认信任网络中的端点、设备和用户会让整个企业面临恶意攻击、未经授权的用户访问、帐户遭到入侵和内部人员粗心犯错等威胁。
因此，零信任安全模型是保护企业的关键利器。“从不信任，一切皆需验证”的安全方法、最低权限原则和微分段的组合可进一步提高防护能力，抵御愈演愈烈的网络威胁。
在零信任安全模式下，企业可实施更强大的访问控制、遏制漏洞入侵、保护资产并缓解潜在的损害风险。但如果缺少精心规划的架构和战略，您投入的一切精力和资源可能都将徒劳无功。
Veritas 客户包括 95% 的财富 100 强企业，而 NetBackup™ 被列为保护企业海量数据的首选。
了解 Veritas 如何通过企业数据保护服务跨虚拟、物理、云和传统工作负载全面保护数据。
立即联系我们，了解更多信息。