搜索

[15113] 2020-03-10_建立零信任IT环境的5个步骤

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-03-10_建立零信任IT环境的5个步骤 建 立 零 信 任 I T 环 境 的 5 个 步 骤 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 3 - 1 0 零 信 任 不 是 产 品 或 服 务 ， 当 然 也 不 仅 仅 是 流 行 语 。 相 反 ， 它 是 网 络 安 全 防 御 的 一 种 特 殊 方 法 。 顾 名 思 义 ， 不 零 信 任 不 是 产 品 或 服 务 ， 当 然 也 不 仅 仅 是 流 行 语 。 相 反 ， 它 是 网 络 安 全 防 御 的 一 种 特 殊 方 法 。 顾 名 思 义 ， 不 是 是 “ 先 验 证 ， 然 后 信 任 先 验 证 ， 然 后 信 任 ” ， 而 是 ， 而 是 “ 永 远 不 要 信 任 ， 永 远 要 验 证 永 远 不 要 信 任 ， 永 远 要 验 证 ” 。 。 本 质 上 ， 零 信 任 是 通 过 限 制 数 据 访 问 来 保 护 数 据 。 无 论 是 否 在 网 络 范 围 之 内 ， 企 业 都 不 会 自 动 信 任 任 何 人 或 任 何 事 物 。 零 信 任 方 法 要 求 在 授 予 访 问 权 限 之 前 ， 对 试 图 连 接 到 企 业 的 应 用 程 序 或 系 统 的 每 个 人 、 设 备 、 帐 户 等 进 行 验 证 。 然 而 ， 网 络 安 全 系 统 设 计 之 初 不 是 已 有 这 个 功 能 了 吗 ？ 难 道 零 信 任 只 是 在 此 基 础 上 增 加 某 些 额 外 的 控 件 ？ 的 确 ， 零 信 任 框 架 包 括 许 多 企 业 广 泛 使 用 的 数 据 保 护 技 术 。 但 是 ， 零 信 任 代 表 着 一 个 清 晰 的 支 点 ， 即 如 何 思 考 网 络 安 全 防 御 。 这 种 方 法 不 仅 可 以 保 护 整 个 企 业 ， 而 且 还 可 以 将 该 范 围 扩 大 到 组 织 内 外 的 每 个 网 络 、 系 统 、 用 户 和 设 备 。 强 大 的 身 份 、 多 因 素 身 份 验 证 、 受 信 任 的 端 点 、 网 络 分 段 、 访 问 控 制 和 用 户 归 因 来 分 隔 和 规 范 敏 感 数 据 以 及 系 统 访 问 ， 从 而 让 零 信 任 成 为 可 能 。 简 而 言 之 ， 零 信 任 是 一 种 新 的 思 考 网 络 安 全 的 方 法 ， 可 帮 助 组 织 在 当 今 瞬 息 万 变 的 威 胁 形 势 下 保 护 其 数 据 、 客 户 和 自 己 的 竞 争 优 势 。 网 络 安 全 零 信 任 正 恰 逢 其 时 网 络 安 全 零 信 任 正 恰 逢 其 时 企 业 高 管 已 经 感 受 到 保 护 企 业 系 统 和 数 据 的 压 力 了 。 投 资 者 和 “ 数 据 主 体 ” （ 客 户 和 消 费 者 ） 也 坚 持 要 求 有 更 好 的 数 据 安 全 。 某 些 数 据 和 应 用 程 序 为 本 地 部 署 ， 而 某 些 则 在 云 中 时 ， 安 全 问 题 将 变 得 更 加 复 杂 ， 从 员 工 到 承 包 商 和 合 作 伙 伴 ， 每 个 人 都 在 使 用 多 个 位 置 的 各 种 设 备 来 访 问 这 些 应 用 程 序 。 同 时 ， 政 府 和 行 业 法 规 也 在 提 高 保 护 重 要 数 据 的 要 求 ， 零 信 任 可 以 帮 助 企 业 满 足 这 些 合 规 要 求 。 零 信 任 网 络 安 全 技 术 零 信 任 网 络 安 全 技 术 幸 运 的 是 ， 零 信 任 背 后 的 技 术 正 在 迅 速 发 展 ， 这 也 让 该 方 法 如 今 更 加 实 用 。 实 现 零 信 任 网 络 安 全 框 架 的 方 法 不 是 单 一 的 ， 也 不 仅 仅 只 是 一 种 技 术 。 而 是 需 要 多 种 技 术 ， 这 样 才 可 以 确 保 只 有 经 过 安 全 验 证 的 用 户 和 设 备 才 能 访 问 目 标 应 用 程 序 和 数 据 。
例 如 ， 基 于 “ 最 低 特 权 ” 的 原 则 授 予 访 问 权 限 ， 仅 为 用 户 提 供 完 成 工 作 所 需 的 数 据 。 这 包 括 实 施 到 期 特 权 和 一 次 性 使 用 的 凭 证 ， 这 些 凭 证 在 不 需 要 访 问 后 会 自 动 被 吊 销 。 此 外 ， 将 连 续 检 查 和 记 录 流 量 ， 并 限 制 访 问 范 围 ， 以 防 止 数 据 在 系 统 和 网 络 之 间 进 行 未 经 授 权 的 横 向 移 动 。 零 信 任 框 架 使 用 多 种 安 全 技 术 来 增 加 对 敏 感 数 据 和 系 统 的 访 问 粒 度 。 比 如 ， 身 份 和 访 问 管 理 （ I A M ） ； 基 于 角 色 身 份 的 访 问 控 制 （ R B A C ） ； 网 络 访 问 控 制 （ N A C ） ， 多 因 素 身 份 验 证 （ M F A ） ， 加 密 ， 策 略 执 行 引 擎 ， 策 略 编 排 ， 日 志 记 录 ， 分 析 以 及 评 分 和 文 件 系 统 权 限 。 同 样 重 要 的 是 ， 可 以 使 用 技 术 标 准 和 协 议 来 支 持 零 信 任 方 法 。 云 安 全 联 盟 （ C S A ） 开 发 了 一 种 称 为 软 件 定 义 边 界 （ S D P ） 的 安 全 框 架 ， 该 框 架 已 应 用 于 某 些 零 信 任 措 施 。 互 联 网 工 程 任 务 组 （ I E T F ） 通 过 批 准 主 机 标 识 协 议 （ H I P ） 为 零 信 任 安 全 模 型 做 出 了 贡 献 ， 该 协 议 代 表 了 O S I 堆 栈 中 的 新 安 全 网 络 层 。 在 这 些 进 步 的 技 术 基 础 上 ， 许 多 供 应 商 逐 渐 将 零 信 任 解 决 方 案 推 向 市 场 。 基 于 这 些 技 术 、 标 准 和 协 议 ， 组 织 可 以 使 用 三 种 不 同 的 方 法 来 实 现 零 信 任 安 全 ： 1 . 网 络 微 分 段 ， 将 网 络 刻 画 到 小 的 粒 度 节 点 ， 一 直 到 某 个 设 备 或 应 用 程 序 。 安 全 协 议 和 服 务 交 付 模 型 是 为 每 个 单 独 的 细 分 市 场 设 计 的 。 2 .   S D P ， 基 于 一 种 “ 需 要 了 解 ” 的 策 略 ， 即 在 授 予 对 应 用 程 序 基 础 结 构 的 访 问 权 限 之 前 ， 先 验 证 设 备 的 状 态 和 身 份 。 3 . 零 信 任 代 理 ， 可 充 当 客 户 端 和 服 务 器 之 间 的 中 继 ， 有 助 于 防 止 攻 击 者 入 侵 专 用 网 络 。 在 特 定 情 境 中 哪 种 方 法 最 佳 ， 这 取 决 于 保 护 对 象 是 哪 些 应 用 程 序 ， 当 前 的 基 础 架 构 如 何 ， 是 在 未 开 发 的 环 境 中 还 是 传 统 环 境 中 进 行 等 多 种 因 素 。 在 在 I T 中 采 用 零 信 任 ： 构 建 零 信 任 环 境 的 五 个 步 骤 中 采 用 零 信 任 ： 构 建 零 信 任 环 境 的 五 个 步 骤 建 立 零 信 任 框 架 并 不 一 定 意 味 着 一 定 需 要 完 全 的 技 术 转 型 。 通 过 使 用 以 下 这 些 循 序 渐 进 的 方 法 ， 企 业 可 以 以 可 控 的 、 迭 代 的 方 式 进 行 ， 从 而 帮 助 获 取 最 佳 效 果 ， 同 时 对 用 户 和 操 作 系 统 的 干 扰 降 到 最 低 。 1 . 界 定 保 护 表 面 范 围 。 零 信 任 环 境 下 ， 企 业 不 会 专 注 于 攻 击 表 面 ， 而 只 会 专 注 于 保 护 表 面 ， 专 注 于 对 公 司 最 有 价 值 的 关 键 数 据 、 应 用 程 序 、 资 产 和 服 务 （ D A A S ） 。 保 护 表 面 比 如 ， 信 用 卡 信 息 ， 受 保 护 的 健 康 信 息 （ P H I ） ， 个 人 身 份 信 息 （ P I I ） ， 知 识 产 权 （ I P ） ， 应 用 程 序 （ 现 成 的 或 定 制 的 软 件 ） ； S C A D A 控 件 ， 销 售 点 终 端 ， 医 疗 设 备 ， 制 造 资 产 和 I o T 设 备 等 资 产 以 及 D N S ， D H C P 和 A c t i v e   D i r e c t o r y 等 服 务 。 一 旦 界 定 保 护 面 后 ， 可 以 将 控 件 尽 可 能 地 移 近 它 ， 附 上 限 制 性 的 、 精 确 的 和 可 理 解 的 策 略 声 明 ， 以 此 创 建 一
个 微 边 界 （ 或 分 隔 的 微 边 界 ） 。 2 . 记 录 事 务 流 量 ， 流 量 在 网 络 中 的 传 输 方 式 决 定 了 它 的 保 护 方 式 。 因 此 ， 获 得 有 关 D A A S 相 互 依 赖 关 系 的 上 下 文 信 息 十 分 重 要 。 记 录 特 定 资 源 的 交 互 方 式 有 助 于 适 当 地 加 强 控 制 并 提 供 有 价 值 的 上 下 文 信 息 ， 确 保 最 佳 的 网 络 安 全 环 境 ， 同 时 对 用 户 和 业 务 运 营 的 干 扰 降 到 最 低 。 3 . 构 建 零 信 任 I T 网 络 。 零 信 任 网 络 完 全 可 以 自 定 义 ， 而 不 仅 是 一 个 通 用 的 设 计 。 而 且 该 体 系 结 构 主 要 围 绕 保 护 表 面 构 建 。 一 旦 定 义 了 保 护 表 面 并 根 据 业 务 需 求 记 录 了 流 程 ， 就 可 以 从 下 一 代 防 火 墙 开 始 制 定 零 信 任 架 构 。 下 一 代 防 火 墙 充 当 分 段 网 关 ， 在 保 护 表 面 周 围 创 建 一 个 微 边 界 。 对 任 何 尝 试 访 问 保 护 表 面 内 的 对 象 使 用 分 段 网 关 ， 可 以 强 制 执 行 附 加 的 检 查 和 访 问 控 制 层 ， 一 直 到 第 七 层 。 4 . 创 建 零 信 任 安 全 策 略 。 构 建 网 络 后 ， 将 需 要 创 建 零 信 任 策 略 来 确 定 访 问 流 程 。 访 问 用 户 对 象 、 访 问 的 应 用 程 序 、 访 问 原 因 、 倾 向 的 这 些 应 用 程 序 连 接 方 式 以 及 可 以 使 用 哪 些 控 件 来 保 护 该 访 问 ， 这 些 问 题 都 要 提 前 了 解 。 使 用 这 种 精 细 的 策 略 实 施 级 别 ， 可 以 确 保 仅 允 许 已 知 的 流 量 或 合 法 的 应 用 程 序 连 接 。 5 . 监 视 和 维 护 网 络 。 这 最 后 一 步 ， 包 括 检 查 内 部 和 外 部 的 所 有 日 志 ， 并 侧 重 于 零 信 任 的 操 作 方 面 。 由 于 零 信 任 是 一 个 反 复 的 过 程 ， 因 此 检 查 和 记 录 所 有 流 量 将 大 大 有 益 ， 可 提 供 宝 贵 的 参 考 ， 以 了 解 如 何 随 着 时 间 的 推 移 改 进 网 络 。 其 他 注 意 事 项 和 最 佳 实 践 其 他 注 意 事 项 和 最 佳 实 践 对 于 考 虑 采 用 零 信 任 安 全 模 型 的 企 业 ， 以 下 是 一 些 其 他 的 注 意 事 项 选 择 架 构 或 技 术 之 前 ， 确 保 具 有 正 确 的 策 略 。 零 信 任 是 以 数 据 为 中 心 的 ， 因 此 ， 重 要 的 是 考 虑 数 据 的 位 置 ， 需 要 访 问 的 人 以 及 可 以 使 用 哪 种 方 法 来 保 护 数 据 。 F o r r e s t e r 建 议 将 数 据 分 为 三 类 — — 公 开 ， 内 部 和 机 密 ， 组 建 带 有 微 边 界 的 “ 数 据 块 ” 。 从 小 处 着 手 积 累 经 验 。 为 整 个 企 业 实 施 零 信 任 的 规 模 和 范 围 可 能 是 巨 大 的 。 例 如 ， 谷 歌 花 了 七 年 时 间 才 实 施 自 己 的 B e y o n d C o r p 项 目 。 考 虑 用 户 体 验 。 零 信 任 框 架 不 必 破 坏 员 工 的 正 常 工 作 流 程 ， 即 使 他 们 （ 及 其 设 备 ） 正 受 到 访 问 权 限 验 证 的 审 查 。 有 些 过 程 在 后 台 进 行 ， 或 许 用 户 根 本 看 不 到 。 对 用 户 和 设 备 身 份 验 证 实 施 强 有 力 的 措 施 。 零 信 任 的 基 础 在 于 ， 在 完 全 验 证 为 有 权 访 问 内 部 资 源 之 前 ， 没 有 任 何 人 、 任 何 设 备 可 以 信 任 。 因 此 ， 基 于 强 身 份 、 严 格 的 身 份 验 证 和 非 持 久 权 限 的 企 业 范 围 I A M 系 统 是 零 信 任 框 架 的 关 键 构 建 块 。
将 零 信 任 框 架 纳 入 数 字 化 转 型 项 目 。 重 新 设 计 工 作 流 程 时 ， 还 可 以 转 换 安 全 模 型 。 当 下 是 采 用 零 信 任 安 全 模 型 最 好 的 时 候 。 技 术 已 经 成 熟 ， 协 议 和 标 准 已 经 确 定 ， 对 于 新 的 安 全 性 方 法 的 需 求 不 容 忽 视 。 * 参 考 来 源 ： 参 考 来 源 ： h e l p n e t s e c u r i t y ， ， S a n d r a 1 4 3 2 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理