關於零信任的7個原則解釋

坊間不乏零信任的定義。你會聽到諸如原則、支柱、基本原理和宗旨等術語。雖然沒有單一的零信任定義，但對一個概念有一個共同的理解是有幫助的。為此，美國國家標準與技術研究所(NIST)釋出了NIST SP 800-207零信任架構，其中描述了零信任的以下七個原則。

1. 所有資料來源和計算服務都被視為資源

只將終端使用者裝置或伺服器視為資源的時代已經過去了。今天的網路由一系列動態的裝置組成，從傳統的專案，如伺服器和端點，到更動態的雲端計算服務，如功能即服務(FaaS)，它們可能以特定的許可權來執行你環境中的其他資源。

對於你環境中的所有資料和計算資源，你必須確保你有基本的，並在必要時有高階的認證控制，以及最低許可的訪問控制。在隨後的宗旨中，所有這些資源都在某種程度上進行溝通，並可以提供訊號背景，以幫助推動零信任中的架構元件做出的決定，這將在宗旨7中討論。

2. 所有通訊都是安全的，無論網路位置如何

在零信任環境中，零信任網路訪問(ZTNA)的概念得以實現。這與傳統的遠端訪問模式形成了鮮明的對比，在傳統的遠端訪問模式中，使用者可以對VPN進行認證，然後在網路內/跨網路不受限制地訪問。

在ZTNA環境中，訪問策略是預設到拒絕。明確的訪問必須被授予特定的資源。此外，在ZTNA環境中操作的使用者甚至不會意識到環境中的應用程式和服務，如果沒有這些明確的訪問授權存在。你很難轉到你不知道存在的東西。

今天，地理上分散的勞動力，由於COVID大流行而進一步加劇，使得宗旨2對組織來說更加關鍵，現在有很大一部分的勞動力從許多地方和裝置上訪問內部資源。

3.對單個企業資源的訪問是以會話為基礎的。

"就像季節一樣，人也在變化"。這句話對於數字身份來說更是如此。在分散式計算環境、雲原生架構和不斷暴露在一連串威脅下的分散式勞動力的動態性質中，信任的概念不應超出單個會話的範圍。

這意味著，僅僅因為你在以前的會話中信任一個裝置或身份，並不意味著你在以後的會話中本質上信任他們。每個會話都應涉及相同的嚴格性，以確定裝置和身份對你的環境構成的威脅。與使用者相關的異常行為，或裝置安全態勢的變化，都是可能發生的一些變化，應在每個會話中使用，以決定訪問和程度。

4. 對資源的訪問是由動態策略決定的--包括客戶身份、應用/服務和請求資產的可觀察狀態，並可能包括其他行為和環境屬性。

現代計算環境是複雜的，並且遠遠超出了一個組織的傳統邊界。應對這一現實的方法之一是利用所謂的 "訊號"，在你的環境中做出訪問控制決策。

一個視覺化的好方法是透過微軟的條件訪問圖。訪問和授權決策應該考慮到訊號。這些訊號可以是諸如使用者和位置、裝置及其相關的安全狀況、實時風險和應用環境。這些訊號應該支援決策過程，如授予完全訪問、有限訪問或完全不訪問。你也可以根據這些訊號採取額外的措施，要求更高水平的認證保證，如多因素認證(MFA)，並根據這些訊號限制授予的訪問級別。

5. 企業監控和測量所有擁有的和相關資產的完整性和安全態勢

在零信任模式中，沒有任何裝置或資產是固有的信任。每個資源請求都應觸發安全態勢評估。這包括持續監控能夠訪問環境的企業資產的狀態，無論這些資產是由企業還是其他實體擁有，如果它們能夠訪問內部資源。這包括根據從持續監測和報告中獲得的洞察力，快速應用補丁和漏洞修復。回到前面關於每個會話訪問的例子，可以檢查裝置狀態，以確保它沒有關鍵的漏洞存在或缺乏重要的安全修復和補丁。

從這種對所擁有的和相關的資產的完整性和安全狀況的動態洞察和監測中，可以圍繞授予的訪問水平做出政策和決定，如果有的話。

6. 所有的資源認證和授權都是動態的，並在允許訪問之前嚴格執行。

正如前面的例子所討論的，授予訪問權和信任的概念是以一種動態和持續的方式發生的。這意味著它是一個掃描裝置和資產的連續迴圈，使用訊號以獲得更多的洞察力，並在作出信任決定之前對其進行評估。這是一個持續的動態過程，一旦使用者建立了一個具有相關資源許可權的賬戶，就不會停止。這是一個反覆的過程，每個政策執行的決定都有無數的因素在起作用。

7. 企業儘可能多地收集有關資產、網路基礎設施和通訊現狀的資訊，並利用這些資訊來改善其安全狀況。

技術環境受到無數的威脅，企業必須保持持續的監控能力，以確保他們瞭解其環境中發生的事情。零信任架構由三個核心部分組成：

• 政策引擎(PE)

• 政策管理員(PA)

• 政策執行點(PEP)

從資產、網路基礎設施和通訊的當前狀態收集的資訊被這些核心架構元件用來加強決策，並確保避免有關訪問的風險決策批准。

零信任是一個旅程

許多組織犯的一個常見錯誤是把零信任當作一個目的地。如果他們只是購買了正確的工具，他們將在其環境中實施零信任。這不是它的工作方式。當然，工具可以幫助實現零信任的各個方面，使你的組織更接近於零信任架構，但它們不是萬能的。與IT和網路安全領域的大多數事情一樣，它由人、流程和技術組成。

正如美國國家安全域性(NSA)的出版物《擁抱零信任安全模式》中所述，主要的建議包括從成熟度的角度來對待零信任。正如NSA所描述的那樣，這包括初始準備和基本、中級和高階的成熟階段。

說到這裡，第一步是準備。找出你的位置，你的差距在哪裡，你的架構、實踐和流程如何與上述零信任原則保持一致，然後制定一個計劃來解決這些問題，最重要的是，接受這需要時間。