什么是零信任?

 

零信任是一种实现 IT 安全性的方法名称,它假定不存在受信任的网络边界,并且每个网络事务都必须经过身份验证才能发生。

 

零信任基于“永不信任,始终验证”的原则,并依赖其他网络安全方法,如网络分段和严格的访问控制。零信任网络定义“保护面”,其中包括关键数据、资产、应用和服务(有时称为 DAAS)。保护面通常比整个攻击面小得多,因为只包括关键资产。

 

零信任安全性取代了企业网络边界内的资源应受信任的旧假设,并将信任视为一个漏洞,因为“受信任”网络上的用户能够在整个网络中移动,或导致其被授予访问权限的任何和所有数据外泄。

为何采用零信任

借助 VMware Workspace ONE 实现零信任安全

立即下载白皮书,了解什么是零信任,以及为什么零信任是现代数字化工作空间的重要元素。

免费下载 

在零信任体系架构中,不会尝试创建可信网络。相反,信任的概念被完全消除了。确定保护面后,网络流量将如何遍历该面,了解哪些用户正在访问受保护的资产,并对所使用的应用和连接方法进行编录,这些将成为创建和实施针对受保护数据的安全访问策略的关键。了解了这些依赖关系后,就有可能在保护面附近设置控件来创建一个微边界,典型的做法是使用称为分段网关的新一代防火墙 (NGFW),该防火墙只允许来自合法用户和应用的已知流量。NGFW 提供对流量的可见性,并基于 Kipling 方法实施访问控制,从而根据对象、内容、时间、地点、原因和方式定义访问策略。这将有助于确定哪些流量可以通过微边界,防止未经授权的用户和应用进入,并保留敏感数据。


由于员工分散且远程办公,因此零信任不依赖于任何特定位置。资产和用户可以驻留在任何地方 - 本地、在一个或多个云中,或在边缘位置(无论是在员工家中还是作为物联网设备)。

 

谁创建了零信任?

零信任是 Forrester Research 副总裁兼首席分析师 John Kindervag 的智慧结晶。 2010 年,当他意识到现有的安全模型依赖于过时的假设(即企业网络中的所有内容均应受信任)时,他提出了该概念的模型。2013 年,当谷歌宣布他们在自己的网络中实施了零信任安全策略时,加速了对零信任模型的采纳。到 2019 年,Gartner 已将零信任列为 Secure Access Service Edge 解决方案的核心组件。

 

 

如何实现零信任体系架构?

尽管零信任通常被认为实现起来很复杂且代价高昂,但它使用现有的网络体系架构,而不是叉车式升级。本质上不存在零信任产品,但存在与零信任体系架构和环境兼容的产品,以及与零信任体系架构和环境不兼容的产品。

 

通过使用 Forrester 在 2010 年概述的五步方法,零信任体系架构的部署和维护可以非常简单。

  1. 确定保护面,包括敏感数据和应用。Forrester 推荐使用公共、内部和机密类别的三类简单模型。需要保护的数据可以分段为多个微边界,这些微边界可以连接在一起,从而形成一个更广泛的零信任网络。
  2. 映射所有敏感数据的事务流,以了解数据如何在人员、应用和与业务伙伴和客户的外部连接之间移动。这样就可以公开和保护网络和系统对象的依赖关系。此练习可以实现数据流优化,从而提高整体性能和安全性
  3. 根据数据和事务在整个企业(以及外部合作伙伴)中的流动方式,为每个微边界定义零信任体系架构。这一点可以通过使用物理或虚拟 NGFW 的软件定义的网络 (SDN) 和安全协议来实现。
  4. 完成网络设计后,创建一个零信任策略。许多企业都采用了 Kipling 方法,该方法解决了您的策略和网络的对象、内容、时间、地点、原因和部署方式的问题。这样就实现了精细的第 7 层实施策略,使得只有已知和授权的应用或用户才被授予访问保护面的权限。假定所有个人设备(无论是公司提供的设备还是自带设备)都不安全。
  5. 自动化、监控和维护,以通过监控周围的活动来确定任何异常流量流向何处。找出异常活动发生的位置,并监控周围的所有活动。自动检查和分析日志流量,以便数据可以在不影响操作的情况下流动。

 

 

零信任的核心原则是什么?

“永不信任,始终验证”。零信任的核心原则是摒弃网络内任何内容都是安全的过时理念。由于员工队伍性质的变化、基于微服务应用的采用(实际上可能在任何地方都有组件),以及业务流程的协作性质日益增强,因此不再存在安全边界。远程员工甚至是通过 VPN 连接的员工都不再位于防火墙后面。没有任何设备是安全的。毫无疑问,没有任何智能手机、任何台式机是安全的。

 

零信任不是一项技术或产品。它是一种保护关键业务资产免受窥探和恶意软件攻击的方法。零信任是通过诸如新一代防火墙 (NGFW)、多因素身份验证以及微分段和最小特权原则实现的。

 

没有单一的方法或技术可以实现零信任。体系架构将取决于保护面的大小和所产生的微分段,并且架构师必须考虑零信任策略对受影响的应用、数据库和其他资源的用户体验产生的影响。

 

零信任可能要求企业重新评估如何保护每一项资产,因为强制执行实际上从网络边界转移到保护面中的各个系统和应用。零信任不是确定请求来自何处以及相应网络是否安全,而是尝试对特定用户和设备进行身份验证,以确保他们是自己所声称的身份和内容。这一点应包括根据提供的其他身份验证为设备分配信任的能力,例如,如果提供了正确的用户 ID 和密码,则“已知”智能手机不需要 Token。

 

零信任可能很困难,因为它将限制访问权限,并可能会激怒那些本来可随意访问不需要执行其功能的应用的人员。有关零信任网络的必要性和优势的适当教育和培训,应能够在最初推出和新用户培训方面发挥重大作用。

 

 

零信任在远程员工安全中的作用是什么?

全球冠状病毒的流行大大增加了在家工作的员工人数,许多分析人士认为,即使威胁消除,许多企业仍将继续向不需要亲自到场履行其工作职责的员工推广在家工作 (WFH) 理念。

 

随着远程访问系统的用户数量的增加,对远程工作人员和设备的网络攻击,以及通过远程工作人员对公司系统的网络攻击也可能会增加。

 

因此,企业网络面临着越来越大的网络犯罪和勒索的风险,因为工作人员大多远程办公。

 

鉴于越来越多的员工在家工作,针对远程员工或通过远程员工的攻击可能会继续增加。网络犯罪分子已经准备好并愿意利用更大的“在家办公”目标群体,这使得公司网络和数据面临比平时更高的风险。很多企业已经采用或将采用零信任安全模型,其目的是对每个用户及其所使用的访问设备进行身份验证,同时将每个用户的权限降低到处理其业务所需的绝对最小权限。

 

这样将减少员工在大部分安全堆栈中的负担,因为零信任假定员工在被证明安全之前在本质上是不安全的。即使是最小的企业也可以开始采用零信任安全策略,例如,坚持对每个用户(无论是内部用户还是外部用户)进行多因素身份验证。

 

许多远程员工人数不断扩大的企业通过使用基于 Web 的网关前端来做到这一点,保护面的所有访问都必须通过该前端,而不管它来自哪里。这样的网关可以执行身份验证任务,甚至可以确保设备和操作系统在授予访问权限之前已应用了最新的安全补丁。

 

由于在家办公 (WFH) 员工通常依赖两个或更多的设备来完成工作,因此使零信任安全性完全与设备和网络无关是极其重要的。由于远程工作将持续存在,在新的未知设备上启用安全连接的零信任能力将继续是其持续增长的一个因素。

 

 

 

VMware 零信任相关产品、解决方案和资源

VMware Horizon 7

VMware Horizon® 7 可以通过面向终端用户的单一平台,简化本地部署、云中、混合云或多云配置中的虚拟桌面和应用的管理和交付。

VMware 零信任安全性

VMware Workspace ONE 将零信任条件访问控制与行业领先的现代管理方式相结合,帮助 IT 组织主动保护由用户、应用和端点组成的数字化工作空间。

一款可以减小受攻击面的内部防火墙

VMware Service-defined Firewall 是唯一一款专门构建的内部防火墙,可以跨多云环境保护东西向流量和工作负载。

实现企业网络连接和安全转型的新方法

在企业网络连接和安全方面更进一步。通过从数据中心扩展到云环境再到边缘网关的软件层,将分布式环境中的所有对象连接起来。

VMware 远程办公解决方案和技术

VMware 提供适用于安全、可扩展的数字化优先基础架构的技术,致力于打造满足当前和未来需求的支持性远程办公文化,从而实现诸多优势。