零信任模型吸引了安全专家的注意

“永远不要信任；永远要验证。” 听起来像常识，对吧？ 这就是所谓的“零信任”策略的座右铭，该策略在网络安全领域正日益受到关注。 它涉及IT部门在授予访问权限之前验证所有用户。 根据2018年Verizon数据泄露调查报告，有效管理帐户访问比以往任何时候都更为重要，2017年有58％的中小型企业（SMB）报告数据泄露。

零信任的概念是由约翰·金德瓦格（John Kindervag）创立的，约翰·金德瓦格是Forrester Research的前分析师，现在是Palo Alto Networks的现场CTO。 Kindervag于10月30日在纽约市SecurIT零信任峰会上对听众说：“我们需要开始制定一项真正的战略，这就是零信任所能实现的。” 他补充说，零信任的概念起源于他坐下并真正考虑了信任的概念，以及恶意行为者通常是如何从不信任他们的公司中受益的。

Chase Cunningham博士成为Kindervag的继任者，担任Forrester的首席分析师，倡导零信任访问方法。 坎宁安在零信任中对PCMag说：“这两个词包含零信任，这意味着什么都不信任，不信任密码管理，不信任凭据，不信任用户，不信任网络。”首脑。

Kindervag以美国特勤局的示例为例，说明组织如何跟踪需要保护的内容以及需要访问的人员。 Kindervag说：“他们不断监视和更新这些控件，以便他们可以控制在任何给定时间穿越微边界的范围。” “这是一种高管人员保护的零信任方法。这是我们试图在零信任中尝试做的最好的视觉示例。”

OPM的零信任教训

零信任如何使组织受益的一个完美例子来自美国联邦政府前任首席信息官。 在零信任峰会上，2015年至2017年担任美国首席信息官的托尼·斯科特（Tony Scott）博士描述了2014年美国人事管理办公室（OPM）发生的重大数据泄露事件。该泄露事件是由于外国间谍活动引起的其中2220万个人的个人信息和安全许可背景信息以及560万个人的指纹数据被盗。 Scott描述了如何不仅需要数字安全和物理安全相结合来抵御此漏洞，而且还需要有效应用零信任政策。

他说，当人们向OPM求职时，他们填写了一份详尽的标准表格（SF）86调查表，数据将由武装警卫和坦克保管在一个山洞里。 “如果您是外国实体，并且想窃取该信息，则您将不得不突破宾夕法尼亚州的这个洞穴并经过武装警卫队。然后，您将不得不带着卡车装满纸，或者拥有一台非常快的施乐机器或其他东西”，斯科特说。

他继续说：“试图逃脱2100万条记录将是巨大的。” “但是慢慢地，随着OPM流程进入自动化阶段，我们开始将这些内容存储在磁性媒体上的计算机文件中，依此类推。这使得窃取变得容易得多。” 斯科特（Scott）解释说，当该机构数字化时，OPM未能找到与武装警卫同等的有效安全类型。 袭击发生后，国会发布了一份报告，呼吁采取零信任策略，以保护未来的此类违规行为。

国会报告说：“为了应对试图破坏或利用联邦政府IT网络的持续存在的高级威胁，各机构应朝信息安全和IT体系结构的“零信任”模式迈进。 时任监督委员会主席的美国前众议员Jason Chaffetz（R-Utah）当时还写了一篇有关零信任的文章，该文章最初由联邦新闻广播出版。 Chaffetz写道：“管理和预算办公室（OMB）应该为执行部门和代理机构负责人制定准则，以有效实施零信任度以及可视化和记录所有网络流量的措施。”

现实世界中的零信任

在“零信任”实施的真实示例中，Google在内部部署了一项名为BeyondCorp的计划，该计划旨在将访问控制从网络范围转移到单个设备和用户。 管理员可以使用BeyondCorp作为一种基于IP地址，设备安全状态和用户身份为Google Cloud Platform和Google G Suite创建精细访问控制策略的方法。 一家名为Luminate的公司基于BeyondCorp提供零信任安全性服务。 Luminate Secure Access Cloud对用户进行身份验证，验证设备并提供引擎，该引擎提供的风险评分可授权应用程序访问。

“我们的目标是，无论在何处托管，在云中或在本地，无论用户身在何处，都可以通过任何设备从任何设备安全地提供对任何用户的访问，而无需在端点或虚拟专用网络（VPN）等任何设备中部署任何代理，防火墙或目标站点上的代理服务器，” Luminate产品管理主管Michael Dubinsky在纽约举行的2018年混合身份保护（HIP）大会（HIP2018）上对PCMag说。

零信任正在迅速获得关注的关键IT学科是身份管理。 根据“ Forrester Wave：2016年第三季度特权身份管理”报告，这很可能是因为80％的违规行为是由于滥用特权凭证引起的。 将授权访问控制得更细微的系统可以帮助防止这些事件。

身份管理领域并不是一个新事物，提供此类解决方案的公司很多，其中最普遍的是Microsoft及其Active Directory（AD）平台，该平台已嵌入仍然流行的Windows Server操作系统（操作系统）。 但是，有许多新的播放器可以提供比AD更多的功能，而且还可以使身份管理更易于实现和维护。 这些公司包括Centrify，Idaptive，Okta和SailPoint Technologies等参与者。

尽管已经在Windows Server上进行过投资的人可能不愿为他们认为已经在投资上的技术付出更高的价格，但更深入，维护得更好的身份管理体系结构可以在受挫的违规和合规性审核中大赚一笔。 另外，成本虽然高昂，但并不是高得让人望而却步。 例如，Centrify基础设施服务的起价为每个系统每月22美元。

零信任如何运作

Kindervag说：“ Zero Trust要做的一件事就是定义网络分段。” 分段是网络管理和网络安全中的关键概念。 它涉及在逻辑上或物理上将计算机网络分为多个子网，以提高性能和安全性。

零信任架构超越了涵盖网络物理位置的外围模型。 坎宁安说，这涉及“将边界向下推到实体”。

他说：“实体可以是服务器，用户，设备或访问点。” “您将控件向下推至微观层次，而不是认为自己已经筑起一堵高墙并且安全了。” 坎宁安（Cunningham）将防火墙描述为典型边界的一部分。 他说：“这是一个方法，策略和边界问题。” “高墙是一件大事：它们只是行不通。”

身份管理公司Idaptive的新任首席执行官丹尼·基贝尔（Danny Kibel）表示，要获得网络访问权限，安全的一个古老方面是使用路由器。 在零信任之前，公司将先进行验证然后再信任。 但是Kibel解释说，有了“零信任”，您“总是会验证，永远不会信任”。

Idaptive提供了一个下一代访问平台，该平台包括单点登录（SSO），自适应多因素身份验证（MFA）和移动设备管理（MDM）。 诸如Idaptive之类的服务提供了一种在访问时创建必不可少的粒度控件的方法。 您可以根据谁需要访问各种应用程序进行供应或取消供应。 Kibel说：“它为组织控制访问提供了细粒度的能力。” “这对于我们所看到的组织来说非常重要，因为在未经授权的访问方面存在很多蔓延。”

Kibel通过三个步骤定义了Idaptive的“零信任”方法：验证用户，验证他们的设备，然后才允许该用户访问应用程序和服务。 Kibel说：“我们有多个向量来评估用户的行为：位置，地理位置，一天中的时间，一周中的时间，所用的应用程序类型，甚至在某些情况下，您如何使用该应用程序。” 。 Idaptive监视成功和失败的登录尝试，以查看何时需要重新进行身份验证或完全阻止用户。

10月30日，Centrify引入了一种称为“零信任特权”的网络安全方法，其中公司授予所需的最少特权访问权限，并验证谁在请求访问权限。 零信任特权过程的四个步骤包括验证用户，调查请求的上下文，保护管理环境以及授予最少的必要特权。 Centrify的“零信任特权”方法涉及降低风险的分阶段方法。 它还带来了从旧版特权访问管理（PAM）的过渡，该软件使公司能够限制对新型环境的访问，例如云存储平台，大数据项目，甚至是在企业级Web中运行的高级自定义应用程序开发项目。托管设施。

Centrify总裁Tim Steinkopf表示，零信任模型假设黑客已经在访问网络。 Steinkopf认为，应对这种威胁的策略是限制横向移动并在所有地方应用MFA。 Steinkopf告诉PCMag：“每当有人尝试访问特权环境时，您都需要立即拥有正确的凭据和正确的访问权限。” “强制实施的方法是合并身份，然后您需要请求的上下文，即谁，什么，何时，为什么以及在哪里。” 之后，您只需授予必要的访问量即可，Steinkopf说。

杜宾斯基说：“您正在考虑用户的情况，在这种情况下，可能是医生，可能是护士或可能是其他人试图访问数据。” “您采用他们正在使用的设备的上下文，采用他们试图访问的文件的上下文，然后需要基于此做出访问决定。”

MFA，零信任和最佳实践

提供MFA解决方案的Silverfort首席执行官兼联合创始人Hed Kovetz指出，零信任模型的一个关键方面是强身份验证，并且允许多种身份验证是其中的一部分。 由于云时代缺乏边界，因此比以往任何时候都更需要身份验证。 Kovetz在HIP2018上对PCMag表示：``能够进行任何事情的MFA几乎都是零信任的基本要求，而如今这是不可能的，因为零信任源自不再存在边界的想法。'' “因此任何事物都可以连接到任何事物，并且在现实中，您没有可以应用控制的网关。”

Forrester的坎宁安（Cunningham）概述了一种称为零信任扩展（XTX）的策略，可将技术购买决策映射到零信任策略。 坎宁安说：“我们确实研究了实际安全地管理环境所需的七个控制措施。” 七个支柱是自动化和编排，可见性和分析，工作量，人员，数据，网络和设备。 要成为ZTX平台，系统或技术将具有上述三个支柱以及应用程序编程接口（API）功能。 提供安全解决方案的多家供应商适用于框架的各个支柱。 坎宁安指出，Centreify提供的产品可解决人员和设备的安全问题，Palo Alto Networks和思科提供网络解决方案，而IBM的Security Guardium解决方案则专注于数据保护。

Steinkopf说，零信任模型还应该包括加密隧道，流量云和基于证书的加密。 他解释说，如果要通过iPad从iPad发送数据，则要验证收件人是否有权访问。 Steinkopf表示，实施新兴技术趋势（例如容器和DevOps）可以帮助消除特权证书滥用。 他还将云计算描述为零信任策略的最前沿。

Luminate的Dubinsky同意。 对于SMB，求助于提供身份管理或MFA服务的云公司将这些安全责任转移给了专门从事该领域的公司。 杜宾斯基说：“您希望将尽可能多的工作分担给负责日常工作的公司和人员。”

零信任框架的潜力

尽管专家们承认公司正在转向零信任模式，尤其是在身份管理方面，但有些人认为采用零信任不需要对安全基础架构进行重大更改。 IDC安全产品部门程序副总裁Sean Pike说：“我不确定今天是否要采用这种策略。” “我不认为ROI计算存在于合理的时间范围内。我认为许多架构变更和人员问题使成本成为战略中无法实现的。”

但是，派克认为电信和IDM的零信任潜力很大。 派克说：“我确实认为，有些组件今天可以很容易地采用，不需要全面更改架构（例如，身份）。” “虽然它们相互关联，但我强烈的感觉是采用并不一定是朝着零信任的战略方向，而是要解决用户连接的新方式以及摆脱基于密码的系统和改善访问管理的需求，” Pike解释。

专家认为，尽管“零信任”可以被解释为重复了一些网络安全标准原则的营销概念，例如不信任您的网络进入者和需要验证用户，但它确实起到了游戏计划的作用。 。 Forrester的坎宁安说：“我是零信任的坚定支持者，它朝着这种独特的战略口号前进，并在组织内部倡导这一口号。”

提供安全培训和认证的SANS研究所新兴安全趋势总监John Pescatore指出，Forrester在2010年提出的“零信任”思想对网络安全行业来说并不陌生。 他说：“这几乎是网络安全的标准定义，力求使一切安全，分割网络并管理用户权限。”

佩斯卡托雷指出，在2004年左右，一个已经不复存在的安全组织杰里科论坛（Jericho Forum）提出了与Forrester类似的关于“无边界安全”的思想，并建议仅允许信任的连接。 佩斯卡托雷说：“这有点像在说：'移至没有犯罪分子和完美天气的地方，您不需要在房屋上安装屋顶或门。” “零信任至少可以带回分段的常识，您总是可以从互联网上进行边界分段。”

• 超越外围：如何解决分层安全性超越外围：如何解决分层安全性
• 纽约创业公司寻求刺激工作，网络安全创新纽约创业公司寻求刺激工作，网络安全创新
• 如何为您的下一个安全漏洞做准备如何为您的下一个安全漏洞做准备

作为零信任模型的替代方法，佩斯卡托尔建议遵循Internet安全中心的关键安全控制中心。 最终，尽管进行了大肆宣传，零信任当然可以带来好处。 但是，正如Pescatore所指出的，无论它被称为零信任还是其他东西，这种策略仍然需要基本的控制。

佩斯卡托雷说：“为了保护企业，您必须开发基本的安全卫生流程和控制并拥有熟练的员工，以使其保持高效运行，这并没有改变这一事实。” 对于大多数组织来说，这不仅仅是一笔财务投资，而且是一家公司需要专注于成功的公司。