零信任数据安全迎来适时转变机遇

admin

102932
文章

87
评论

2023年7月12日02:56:56评论45 views字数 3775阅读12分35秒阅读模式

90个网络和数据安全相关法律法规打包下载

毕业季，谨防日益严重的招聘诈骗

网络安全的世界里如何培养良好的安全习惯

零信任数据安全迎来适时转变机遇

如何保护不再存在的东西？随着混合远程工作、物联网、API 和应用程序的快速扩展，网络边界的任何概念都已被有效消除。此外，无论喜不喜欢，技术堆栈组件固有的任何风险都会成为风险。

各种规模的组织都越来越容易受到攻击，因为它们的攻击面不断扩大并且变得更加难以（如果不是不可能的话）定义。加上地缘政治和经济不稳定，网络攻击的危险已经高得惊人。从破坏性的勒索软件攻击到泄露敏感的客户数据，风险是有形的，而且可能具有破坏性。

在当前背景下，零信任已成为迄今为止最普遍的安全策略。零信任背后的基本思想很简单：什么都不信任；验证一切。零信任使组织能够采用整体安全方法来验证与其网络和数据交互的所有用户、设备和系统的可信度和真实性。随着攻击不断升级，公司意识到零信任对于企业生存至关重要。

与任何实质性的战略变化一样，实施零信任可能很困难。虽然许多公司已经开始了这一旅程，但很少有公司成功实施了组织范围内的零信任安全方法。事实上，Gartner预测，到 2026 年，只有 10% 的大型企业将拥有成熟且可衡量的零信任计划。

有什么方法可以促进更快地转向零信任？

推进零信任安全

零信任更像是一种安全理念，而不是一种安全架构。因此，成功过渡到零信任安全需要强有力的领导。企业领导者必须避免误以为零信任只是另一套安全工具。如果操作得当，采用零信任将负责整个组织的新核心安全策略。这需要有人声称拥有推动变革的所有权。

对这种新方法的需求有多重要？根据国防部首席信息官约翰谢尔曼的说法，五角大楼计划到 2027 年在其整个企业中实施零信任架构。总统执行办公室关于政府范围内的零信任目标的公告进一步支持了这一点。顶级支持对于推进零信任实施至关重要。

零信任治理的关键概念

随着安全边界模型已经过时，上下文已成为构想安全网络和数据的最可行方式。问题是谁（或哪些软件或机器）应该有权访问什么、何时访问以及访问多长时间？零信任要求安全团队捕获并使用来自整个企业的信息来创建上下文。这使得能够对每个连接的可信度做出快速和自动化的决策。考虑到当今攻击面的流动性，执行必须是连续的并且有 AI 辅助。

由于未能掌握所需的基础治理，组织经常在零信任方面失误。一旦完全理解了这些概念，就可以选择正确的工具来使零信任成为现实。

零信任治理模型由以下因素决定：

上下文定义。上下文意味着了解用户、数据和资源，以创建与业务保持一致的协调安全策略。此过程需要根据风险发现和分类资源。从那里定义资源边界，并根据角色和职责对用户进行分类。
验证和执行。通过快速一致地验证上下文和执行策略，零信任提供适应性强但安全的保护。这需要 AI 辅助监控并根据策略条件验证所有访问请求，以快速一致地授予对正确资源的正确访问权限。
事件解决。通过有针对性的行动解决安全违规有助于减少对业务的影响。这需要准备和特定于上下文的操作，例如撤销单个用户或设备的访问权限、调整网络分段、隔离用户、擦除设备、创建事件票或生成合规报告。
分析与改进。持续改进是通过调整政策和实践来做出更快、更明智的决策来实现的。这需要不断评估和调整策略、授权操作和补救策略，以保护每项资源。

不实施零信任安全的风险

IBM Security X-Force 威胁情报指数 2023显示，网络钓鱼仍然是攻击者获取敏感数据和网络访问权限（占评估事件的 41%）的首要方式。例如，LockBit可能是当今最活跃和最危险的勒索软件。仅在过去几周，就有报道称该威胁组织入侵了英国皇家邮政、阿根廷 Grupo Albanesi、印度化工企业 SRF、美国南部 200 多家 CEFCO 便利店和葡萄牙水务局。

LockBit 通常通过网络钓鱼和社会工程技术获得立足点。虽然员工的网络意识有所不同，但有限数量的网络钓鱼尝试可能会导致违规。一旦 LockBit 攻击者获得进入权，他们将寻求提升访问权限。

特权用户可以提升对关键系统、数据和功能的访问权限。但安全解决方案必须审查、监控和分析其高级权限以保护资源。作为零信任的基石，特权访问管理(PAM) 及其兄弟身份和访问管理(IAM) 可以发现未知账户、自动重置密码并监控异常活动。

PAM 是零信任策略在整个生命周期中管理、保护和审计特权帐户的一种方式。相同的安全措施可以应用于设备、服务器和其他具有管理权限的端点。PAM 和 IAM 都是现在可用的工具，这些方法可以成功地检测和阻止试图访问敏感数据的类似 Lockbit 的入侵者。

另一种方法是依靠员工网络培训、无效的防火墙和过时的第一代身份即服务 (IDaaS) 解决方案来捕获可能潜伏在网络中数月后才被发现的入侵者。