零信任的應用與發展融合

陸英

傳統網絡安全防護工作會將網絡劃分為內、外網并通過物理位置來判斷威脅程度，通常更多關注外部網絡的危險性，在網絡邊界部署防火墻、入侵防御等安全設備，構建邊界安全防御體系。隨著移動互聯網、云計算、大數據等創新技術廣泛應用，基于物理邊界的網絡安全防控模式正在逐步瓦解。

面對內外網絡安全威脅變化和網絡邊界泛化模糊的新形勢，以零信任架構為代表的創新安全防護理念應運而生。不過在實際建設中，企業網絡安全團隊往往有多種創新安全框架可以選擇，這就需要根據企業整體安全態勢的實際需求，來選擇合適的安全模型和建設框架。多種安全方法可以同時應用于同一家企業，比如縱深防御和零信任。

縱深防御

縱深防御一詞源自軍事領域，意指戰爭過程中利用地理優勢來設多道軍事防線進行防御。在網絡安全領域中，縱深防御代表著一種更加系統、積極的防護戰略，要求合理利用各種安全技術的能力和特點，構建多方式、多層次、功能互補的安全防護能力體系，以滿足企業安全工作中對縱深性、均衡性、抗易損性的多種要求。

縱深防御策略需要結合使用多種安全工具和機制，如果一個安全工具失效、被攻擊或者繞過，其他正確配置的工具可防止未授權訪問。目前，縱深防御被認為是現代企業網絡安全建設中的基本性原則之一，原因主要有2個：

多管齊下的分層安全方法有助于確保減少安全策略之間的漏洞；

縱深防御有助于防止人為錯誤導致安全工具的配置錯誤。

如果沒有落實縱深防御策略，漏洞和錯誤配置將為攻擊者輕松入侵網絡打開大門。

零信任安全

零信任安全在縱深防御基礎上，融合了更多安全控制原則的創新安全防護模式。零信任的目標是，永遠不要信任任何訪問公司網絡內的應用程序和服務，以及與之交互的任何人或機器。零信任使用最小特權原則，確保只有連接到網絡的合適設備和用戶以及公共和私有數據中心中的工作負載才可以傳送和接收數據。

零信任構建關鍵步驟

構建零信任安全需要網絡團隊和安全團隊共同配合，并需要以下幾個關鍵步驟：

通過身份和訪問管理技術，識別試圖連接到網絡的用戶和設備；

部署具有微隔離機制的下一代防火墻系統，為應用程序、文件和服務訪問確立訪問控制機制；

使用自動化的網絡檢測和響應技術，構建不斷監控網絡和設備行為的安全運營能力；

評估遠程訪問，以確保適當的安全和身份驗證。

應用價值分析

零信任的價值體現在“從不信任，驗證一切”。如采用零信任，從初步登錄到登錄之后，用戶必須不斷證明自己擁有適當的權限。這意味著，即使攻擊者滲入到系統中，也不一定會造成任何破壞或外泄數據。盡管零信任聽起來處處限制用戶，但它可以通過單點登錄等工具改善用戶體驗，并減少密碼管理不當方面的擔憂。

相比零信任，縱深防御的最大價值是，如果分層安全的某一層失效，安全架構中的其他層已落實到位，可確保關鍵數據免受攻擊者的攻擊。分層防御還可以減緩攻擊者的速度，提高攻擊者被安全機制或安全團隊發現的可能性。

很多人會將縱深防御簡單理解為分層安全，因為它們有著很多相似和連結。縱深防御基礎架構需要具備分層抵御攻擊的安全能力，但這并不是縱深防御的全部。縱深防御不僅是技術層面的問題，同時還需要確定組織將如何響應可能出現的攻擊，以及對事件的報告和溯源機制。縱深防御不僅需要在技術層面具有多層化的安全工具，還要有一套與之相配合的安全管理理念與策略。

應用挑戰分析

縱深防御體系的實施往往是一項艱巨的任務，而不是簡單的交鑰匙工程，它代表一種整體化的安全理念，需要持續性的運營制度來保障支撐。實施縱深防御的主要挑戰是，攻擊形勢每天都在變化。昨天使用的技術可能不再流行，今天使用的新攻擊技術也許能輕松繞過多個安全防御措施。

實施縱深防御的另一個挑戰是如何有效整合各層安全能力，這在一定程度上會阻礙協作流暢性，還可能降低威脅檢測速度。縱深防御有多層，也意味著安全團隊的管理也會變得更復雜。

基于零信任安全架構雖然可更好地防御橫向攻擊，保護核心數據與系統，但全面實施零信任安全架構難度大、代價高，甚至可能影響業務高峰時系統訪問性能。像縱深防御一樣，零信任安全體系的管理和運營同樣非常復雜，尤其在實施階段。企業組織的規模越大，確保系統應用安全所需的身份驗證和授權就越多。零信任安全的另一個常見挑戰是，它需要更多的運營團隊來支撐，甚至需要使用第三方托管服務提供商。

應用發展分析

如果單單著眼于縱深防御和零信任戰略各自主要實現的目標，我們可能以為這是2種獨立的網絡安全架構模型。事實上，它們之間有著緊密的聯系，可以相互融合發展。比如，雖然整體縱深防御策略還包括零信任架構之外的一些其他安全防護系統和數據保護功能，但可以將零信任原則融入到縱深防御的整體策略中。

縱深防御在許多方面與零信任安全理念相吻合。零信任架構認為網絡上的任何用戶或設備都應該不斷受到質疑和監控，以確保訪問行為的真實可靠。這種理念需要縱深防御基礎架構的支撐和保障，其中重要一點就是，組織現有的安全工具和策略能夠對各種IT設備和業務系統進行有效的運行管控。

縱深防御的建設理念也可以融合到零信任安全部署環境中。比如，安全管理員可以根據業務需要，嚴格鎖定用戶的賬戶，確保他們僅僅有權運行某些應用程序和服務。此外，管理員可以創建邏輯隔離的安全區，以限制用戶訪問他們權限以外的網絡部分。如果用戶賬戶受到威脅，不僅可以對該賬戶的訪問權限進行限制，而且可以對其所在的安全區進行有針對性的保護措施。