零信任安全机制是基于“隐性信任始终是一个漏洞”这一看法而创建的概念,因此必须根据“从不信任,始终验证”的策略来设计安全性。零信任的最简单形式是,它使用严格执行的身份和设备验证流程来限制对 IT 资源的访问。
零信任身份认证 (ZTI) 和零信任访问 (ZTA) 均可确保:在默认情况下,不会信任位于任何位置的任何类型的任何设备或用户,而零信任网络访问 (ZTNA) 则将经过验证的用户和设备限制为只能访问特定网段,而不是授予他们对整个网络的访问权限。
在用户和设备获得对受保护资源的访问权限之前,零信任对它们实施严格的安全控制。零信任身份验证和授权使用最低权限原则 (PoLP),即在传输单个数据包之前授予使用给定功能所需的绝对最低权限。
由于访问网络资源的方式发生了变化,这种做法变得很有必要。存在网络边界或仅能通过 VPN 进行访问的日子已经一去不复返了;如今,越来越多的员工移动办公并且在家办公的趋势不断发展,这就要求考虑为用户采用新的安全方法,而容器和微服务计算的分布性日益提高意味着,设备间的连接也在不断增加。
因此,零信任要求相互进行身份验证来确认任何位置的设备的身份和完整性,以便根据设备身份、设备运行状况和用户身份验证的总置信度授予访问权限。
零信任网络体系架构解决了随着网络拓扑和使用情况的变化而演变的两个弱点。传统上,网络安全是由边界(即,企业网络“内部”和“外部”之间具有明确的分界点)定义的。这种方法通常会向网络边界“内”用户和设备授予广泛的访问权限,这样,一个网段上的设备可能会看到企业网络边界内的所有其他网段。
如今,计算设备和访问分布广泛,这要利用云、移动设备、边缘和物联网组件,这些组件的分界点变得模糊,使得保护边界变得越来越困难。由于 ZTNA 假设网络边界内外的一切都是不可信的,因此每次访问时都要针对每个事务和连接进行身份验证。通过身份验证后,ZTNA 会创建一个微分段网络,对该网络的访问极其有限。零信任身份认证不是基于 IP 地址,而是基于逻辑属性,如虚拟机名称。
零信任应用场景有很多,其中包括:限制供应商和承包商等外部第三方的访问、隔离物联网设备,以及为日益增多的移动办公员工提供安全的远程连接。
面向供应商和承包商的零信任。
有许多值得注意的安全泄露事件是由“受信任的”第三方造成的,例如臭名昭著的 Target 泄露事件。为外部企业提供广泛的访问权限可能是灾难性的。零信任通过两种方式解决此问题,第一种是使用多因素身份验证或其他身份和访问管理 (IAM) 平台进行严格的身份验证,该平台可为每个外部方分配一种权限类别,该权限类别定义了他们在网络中的访问权限。此外,分段可能会限制对与第三方一起执行任务或交易所需的网络部分的访问。
零信任和物联网。
物联网设备的增长速度持续加快,预计到 2023 年,物联网设备将达到近 150 亿台。它们无处不在(安全功能通常有限),因此,就通过物联网访问网络资源而言,需要采用零信任方法。例如,可以将物联网设备隔离到专为此目的而设计的单个网段,从而限制遭入侵的物联网设备访问其他更敏感的网络资产,并限制威胁横向扩展到这些资产。
面向远程员工的零信任。
随着越来越多的员工因公司政策或疫情而在传统网络边界外工作,ZTNA 通过确保所有员工(无论是通过 VPN 还是在星巴克的公共 Wi-Fi 工作)安全地连接到完成工作所需的数据、服务和资源,来提供安全的员工访问权限并限制受攻击面。
零信任的主要原则是“从不信任,始终验证”。任何设备或用户都不可信,无论他们的位置、IP 地址或网络访问方法是什么。无论源位于何处,网络上的每次交互都始终需要进行验证。此外,为了实现预期目标,网络访问应限制在尽可能小的网段,因为大多数网络都由互联区域组成,其中包括本地部署基础架构、云、远程和移动用户。
对于 VMware 而言,零信任安全机制意味着构建一个更加强大和动态的现代安全体系架构,并更深入、更全面地建立信任。
为了实现这种更全面的零信任方法,VMware 为零信任体系架构提供了 5 个支柱。
零信任的主要原则是“从不信任,始终验证”。任何设备或用户都不可信,无论他们的位置、IP 地址或网络访问方法是什么。无论源位于何处,网络上的每次交互都始终需要进行验证。此外,为了实现预期目标,网络访问应限制在尽可能小的网段,因为大多数网络都由互联区域组成,其中包括本地部署基础架构、云、远程和移动用户。
对于 VMware 而言,零信任安全机制意味着构建一个更加强大和动态的现代安全体系架构,并更深入、更全面地建立信任。
为了实现这种更全面的零信任方法,VMware 为零信任体系架构提供了 5 个支柱。
1.设备信任
通过实施设备管理、设备盘点、设备合规性和设备身份验证等解决方案,企业可以大大地限制未经授权的用户获得设备访问权限并出于恶意目的而利用该访问权限的风险。
2.用户信任
用户信任包括密码身份验证、多因素身份验证、条件访问和动态评份,所有这一切均用于“证明”此用户实际上是经过授权和验证的用户。
3.传输/会话信任
传输/会话参数通过限制用户的访问权限并应用所需最低权限来执行给定工作,增强了针对资源的最低权限访问原则。
4.应用信任
使用单点登录 (SSO)、隔离和任何设备访问等工具可以增强应用信任参数。
5.数据信任
数据信任是 VMware 零信任模式的最后一个支柱。数据信任策略包括通过加密或不变性、数据完整性(经常检查数据完整性)、DLP(数据丢失防护)和数据分类来保护静态数据。
零信任的这五大支柱中的每一个都由体系架构层(包括可见性和分析以及自动化和编排)提供支持。
一些工具和技术有助于实现零信任的最佳实践。下面列了对于能否取得成功最关键的最佳实践:
若要访问任何单个网段,用户必须通过严格的身份认证和设备验证过程。在建立通信会话之前,必须对每个会话进行身份验证、授权和计费 (AAA)。
若要实现零信任身份认证,网络身份认证应基于逻辑属性,例如多因素身份验证 (MFA),传输层安全性 (TLS) 证书、应用服务或使用逻辑标签/标记。
仅在两个(或更多)因素将用户验证为合法用户后,才会进行身份验证。
若要维护零信任网络,IT 部门必须:
借助 VMware Service-defined Firewall,企业可以从单一窗口深入了解相关信息并实施全面的策略控制措施。
为了全面实施零信任网络体系架构,VMware 提供了 VMware Service-defined Firewall,这是一种基于 VMware NSX 构建的可横向扩展的内部分布式防火墙,用于保护多云环境中的东西向流量。