什麼是零信任?| VMware 詞彙表 | TW

什麼是零信任?


零信任是一種 IT 安全性方法,不僅假設受信任的網路周邊並不存在,也會先行驗證每一筆網路交易,再予以放行。

零信任會依循「永不信任,一律驗證」的原則,並運用其他多項網路安全性方法,包括網路分段和嚴謹的存取控制。零信任網路會定義一個「保護範圍」,以納入重要資料、資產、應用程式和服務,有時也稱為「桌面平台即服務」。此一保護範圍僅包含重要資產,因此規模通常遠不及整體攻擊範圍。

過去假設企業網路周邊內的資源皆可信任的觀念,已由零信任安全性取而代之;零信任安全性會將信任視為弱點,畢竟,「受信任」網路中的使用者,皆有能力在網路中四處移動,或造成自身可存取的任何或部分資料發生外洩。

使用 VMware Workspace ONE 推動零信任安全性

探索什麼是零信任,以及為何零信任在現代化數位工作區中扮演著重要角色

立即下載 

零信任架構不會嘗試建構受信任的網路,而是完全排除「信任」的概念。一旦決定好保護範圍,就會運用多項關鍵依據來建立和強制執行受保護資料的安全存取原則,包括網路流量如何流經此一範圍、哪些使用者正在存取受保護資料並為所使用的應用程式建立目錄,以及採用何種連線方法。掌握這些相依性後,即可在保護範圍四周就近配置控管機制,以建立「微周邊」(Microperimeter);此項作業通常會使用名為「分段閘道」的新一代防火牆 (NGFW),僅會允許來自合法使用者和應用程式的已知流量。新一代防火牆可提供流量能見度,並運用 Kipling Method 強制執行存取控制,依據人員、內容、時機、位置、原因和方法來定義存取原則。此舉有助於判斷哪些流量可通過微周邊,繼而排除未經授權的使用者和應用程式,並保護敏感資料。

由於員工分散於各地,或於遠端工作,因此,零信任並不會以任何特定地點為依據。使用者和資產可位於任何地點,包括內部部署環境、一個或多個雲端、邊緣、員工住家或物聯網裝置。

零信任的起源為何?

零信任概念源自於 Forrester Research 公司副總裁兼首席分析師 John Kindervag。在 2010 年,他體認到既有的安全性模式皆建立在「企業網路中的所有內容都可供信任」的過時假設上,因而提出了零信任概念。在 Google 於 2013 年宣佈於自身網路中實作零信任安全性原則後,採納零信任模式的速度就開始加快。在 2019 年,Gartner 公司已將零信任列為安全存取服務邊緣解決方案的核心要素之一。

VMware 如何實現零信任架構?

儘管零信任經常給人難以實現且成本高昂等印象,卻可使用既有的網路架構,無需進行大幅升級。市面上並不存在零信任專用產品,不過,有些產品可相容於零信任架構和環境,有些則無法。

只要依循 Forrester 公司於 2010 年提出的五步驟方法,即可簡單部署和維護零信任架構。

  1. 識別保護範圍,包括敏感資料和應用程式。對此,Forrester 公司建議採用簡單的三大類別模式,將內容區分為公開、內部和機密。在分類後,就能將需要保護的資料劃分至微周邊中,然後將微周邊相互連結,以建構更廣大的零信任網路。
  2. 比對所有敏感資料的交易流量,以瞭解資料如何在人員、應用程式,以及連往商業合作夥伴及客戶的外部連線之間移動。接著,就能公開且保護網路和系統物件的相依性。此舉有助於實現流量最佳化,繼而提升整體效能和安全性。
  3. 定義每個微周邊的零信任架構,這項作業應以資料和交易在企業 (和外部合作夥伴) 流動的方式做為依據,並透過軟體定義的網路 (SDN) ,以及使用實體或虛擬新一代防火牆的安全性通訊協定來達成。
  4. 在網路設計完成後建立零信任原則。許多組織會採用 Kipling Method,以判斷原則和網路的使用人員、內容、時機、位置、原因和方法。如此一來,就能制訂精密的第 7 層施行原則,只讓已知且經授權的應用程式或使用者存取保護範圍,同時假定所有個人裝置 (無論是公司自有裝置或用戶自攜裝置) 都不安全。
  5. 進行自動化、監控和維護,以透過監控周邊活動來判斷異常流量位於何處、掌握異常活動的發生地點、監控所有周邊活動;然後,將日誌記錄流量的檢查和分析作業自動化,進而在不影響作業的情況下傳輸資料。

零信任的核心原則為何?

「永不信任,一律驗證」。零信任採用的這項核心原則,旨在取代「網路中的任何項目皆安全無虞」的過時觀念。隨著人力型態改變、元件可存在於任何地點的微服務架構應用程式大行其道,以及業務流程型態日益講求協同作業,過往的安全周邊已不復存在。舉凡遠端員工或使用 VPN 連線的員工,皆不再受防火牆保護。所有裝置都面臨風險,無論智慧型手機或桌面平台,都無法倖免。

零信任並不是一項技術或產品,而是一種安全性做法,旨在防範關鍵業務資產遭到窺探,或遭受惡意軟體攻擊。零信任可透過多種產品建置,包括新一代防火牆、多重要素驗證、微分段原則和最低限度權限。

零信任無法藉由單一方法或技術達成。此架構與保護範圍以及所衍生的微分段規模息息相關,對於受影響應用程式、資料庫和其他資源的使用者體驗,架構設計師必須考量零信任原則將對其造成哪些衝擊。

為了推動零信任,企業可能需要重新評估每項資產的保護方式,畢竟,一旦實施零信任,就需要捨棄過去的網路周邊做法,改將個別系統和應用程式納入保護範圍內。零信任不會判斷要求來源及網路安全與否,而是嘗試驗證特定的使用者和裝置,以確保對方確實如所宣稱的一樣。因此,零信任要有能力根據所提供的其他驗證機制,對裝置授予信任,例如,只要提供適當的使用者 ID 和密碼,「已知」的智慧型手機就不需要取得權杖。

實施零信任後,不僅將限制存取,過去可隨意存取非工作所需應用程式的員工也會處處受限,因此可能會引發不滿。若能透過適當的教育和訓練來宣導零信任網路的必要性和優勢,將有助於提高初期導入成效,並協助新使用者順利進入狀況。

零信任在遠端員工安全性中扮演著何種角色?

全球新冠肺炎疫情導致在家工作的員工人數大幅攀升,而眾多分析師認為:即使在疫情結束後,許多組織仍將繼續針對可遠端處理工作的員工,推行在家工作 (WFH) 措施。

隨著遠端存取系統的使用者人數不斷增加,網路攻擊鎖定遠端工作者和裝置,繼而入侵企業系統的可能性,也隨之提高。

正因如此,數量龐大的遠端員工,正大幅提高企業網路所面臨的網路犯罪及勒索軟體風險。

鑑於在家工作的員工人數日漸增加,遠端員工遭受攻擊或淪為攻擊跳板的機會,只會有增無減。網路罪犯正蓄勢待發,並積極鎖定廣大的在家工作員工,繼而讓企業網路和資料陷入前所未見的高度風險之中。許多組織皆已採用或計畫採用零信任安全性模式,以驗證每位使用者 (及其用來進行存取的裝置),同時將每位使用者的權限降至進行業務交易所需的最低限度。

如此一來,員工就無需肩負過多的安全性堆疊責任,因為零信任會一律將員工視為不安全,直到他們通過驗證為止。即使組織規模不大,也可透過許多方式著手採用零信任安全性原則,例如強制對每位使用者 (無論內部或外部) 進行多重要素驗證。

多數面臨遠端員工激增的組織,正運用網頁型閘道前端來達成上述目的,無論存取來源為何處,都需通過網頁型閘道前端,才能進入保護範圍。此一閘道不僅可執行驗證作業,還能確保裝置和作業系統皆已套用最新的安全性修補,以取得存取權限。

鑑於在家工作員工會使用多部裝置執行工作,零信任安全性不應受到任何裝置和網路限制。由於遠端工作型態已然成形,零信任保護全新和已知裝置連線的能力,將成為其後續成長的一大關鍵。

VMware 針對零信任提供的相關產品、解決方案與資源

VMware Horizon 7

VMware Horizon® 7 適用於內部部署、雲端、混合雲或多雲環境中的虛擬桌面與應用程式,可透過單一平台簡化管理作業,並將其交付給終端使用者。

嶄新的企業網路與安全性方式

邁出企業網路與安全性的下一步。透過可從資料中心延伸到雲端和邊緣的軟體層,連接分散式環境中的一切項目。

VMware 零信任安全性

VMware Workspace ONE 將零信任條件式存取控制機制與領先業界的現代化管理功能相互結合,協助 IT 主動保護使用者、應用程式和端點的數位工作區。

使用 VMware NSX 進行微分段

運用 VMware NSX 微分段功能封鎖橫向移動,在私有雲和公有雲環境中實現應用程式的零信任安全性。

可縮小攻擊範圍的內部防火牆

VMware Service-defined Firewall 是市面上唯一一款量身打造的內部防火牆,可保護東西向流量,以及多雲環境中的工作負載。

遠端工作解決方案與技術

運用 VMware 遠端工作解決方案和技術,賦予遠端員工更多能力