实施零信任的五项建议

随着越来越多的员工选择混合办公，传统的护城河安全模式已不再适用。可以看到，每一个被漏洞影响的组织都有防火墙，所以防火墙并不总是有效的。威胁行为者现在正在加密所有恶意内容，并且这种加密流量正在使用端口 443 等合法通道通过防火墙，而传统防火墙通常缺乏检查大量云计算流量的性能，因此许多专家认为零信任才是最好的解决方案。

零信任基于这样一个原则，即任何用户、应用程序或设备都不应被默认为可信。这意味着，如果攻击者出现在系统里，他们的身份在他们访问每个文件或应用时都需要得到验证。美国政府现已强制要求所有政府机构和承包商必须采用零信任技术和框架。

研究表明，尽管90%的企业正在采用零信任，但其中大多数企业都遇到了无法充分发挥其潜力的问题。安全供应商一直在将零信任推销成一种可以买到的现成技术，但实际上，零信任更像是一种架构，零信任的核心是减少或控制影响范围。以下是实施零信任时需要牢记的建议：

当Blockbuster试图打败Netflix时，他们将一堆DVD播放器连接到云端，这显然没有产生正确的保真度，Blockbuster因此破产了。从根本上看，他们在架构选择上犯了错误。同样，对于零信任，考虑技术债务和从零开始构建自己的安全架构是非常重要的。如果组织只是简单地将安全层叠在顶部，它们只会引入更多的漏洞，并为安全管理增加复杂性。

永远记住这一点：如果你能接触得到，意味着你也就容易被攻击。因此，如果我们的应用程序暴露在了互联网上，攻击者很可能会攻击它。所以，应用程序和服务器必须始终放置在安全云后面以避免这种攻击。如此，当攻击者敲响你的门时，它就像一个交换机而不是一扇门，交换机会为其建立那个连接，但不会直接把它连接到应用程序。这是零信任架构的一个重要组成部分。

组织应该对网络、工作负载和应用程序进行细粒度的分段或分割。如果攻击者突破可组织的环境，微分段有助于限制横向移动，遏制威胁，并限制恶意软件在整个环境中传播。

人为错误是不可避免的，这是大多数云泄露和引发勒索软件攻击的主要原因。如果攻击者获得特权用户的访问权限，他们可以利用它来窃取敏感信息，或在网络中横向移动并破坏其他系统。而在零信任环境中，用户只可以访问他们应该访问的内容，不可以访问其他任何内容。

除了需要检查身份外，还必须审查一些上下文参数。为了做到这一点，组织必须强制执行最少特权原则，应用细粒度权限并部署考虑身份和上下文的身份验证机制。

部署零信任时不要干扰用户。正确地部署该架构，用户体验可以得到提升，甚至可以帮助减少内部摩擦。例如，如果身份验证是无缝的，访问和连接将变得更加容易，这样用户接受零信任时也会变得更为主动。

当下，零信任还处于初级阶段，如果组织遵循最佳实践并专注于获得正确的架构和用户体验，他们一定会构建出更具弹性的网络安全态势，这是所有人都需要关注的内容。