零信任的概念在10年前常常被忽视，但2020年疫情的爆发将其推到了企业安全关注的首位。COVID-19大流行推动了大规模的远程工作，几乎在一夜之间在复杂多样的使用环境中破坏了组织基于系统的传统安全模型。在这种远程工作的新常态中，组织的网络不再是单一的地方和事物，而是始终存在于某个地方。即使当我们查看在一个地方使用单个数据中心的组织时，多个用户也可以在多个设备上访问该数据中心。在当今复杂和动态的网络环境中，如果没有零信任方法，恶意软件（尤其是勒索软件）将仍然不受网络干扰的影响，如果网络的一部分受到威胁，这可能会使组织倒闭。近年来，我们已经看到了多个勒索软件攻击的例子：从医院和地方政府到大公司，各个部门的组织都遭受了大规模的中断。简而言之，纯粹基于系统的安全模型不再有意义。那么，组织应该如何应用“零信任”蓝图来解决他们新的复杂网络问题呢？通过以下五个步骤找出哪些数据是有价值的、数据去了哪里以及如何使用这些数据，成为实现零信任网络最合乎逻辑的方法。成功做到这一点的唯一方法是使用自动化和编排。1.识别和分割数据这是实施零信任最复杂的领域之一，因为它需要组织识别哪些数据是敏感的。在受到严格监管的环境中运营的企业可能已经知道这些数据是什么，因为监管机构一直要求对此类数据进行监管。另一种方法是将人类可访问的系统与环境中的其他系统分开，例如可以通过智能手机、笔记本电脑和台式机连接的网络部分。不幸的是，人类往往是最薄弱的环节，也是漏洞的头号来源。因此，将这些类型的网段与数据中心服务器分开是有意义的。自然地，所有进入组织的家庭用户连接都需要在隔离的网段中终止。2.映射敏感数据流并将其与业务应用相关联一旦识别出敏感数据，下一步就是了解数据的去向、用途和应用。随着数据跨网络流动，系统和用户可以通过许多业务应用程序一致地访问跨网络流动的数据。如果您不知道有关您的数据的信息，就无法有效地保护它。自动发现工具可以帮助您了解数据的意图，它为什么流向那里？“零信任”规则，确定“其他一切都将被禁止”。3.构建网络一旦您知道应该允许什么流量（然后应该阻止其他所有流量），您就可以开始设计网络架构以及对网络微边界实施过滤策略，简而言之，设计控制以确保仅允许合法流量。当前的虚拟化技术使您能够比过去更轻松地构建此类网络。数据中心和公共云提供商中的软件定义网络(SDN)平台允许您在网络结构中部署过滤器。所以从技术上讲，过滤策略可以放在网络的任何地方。然而，实际定义这些过滤策略的是控制允许的流量的规则，这就是自动发现真正发挥作用的地方。完成发现过程后，您将能够了解流程的意图，并可以在不同区域和段之间设置边界。它是您想要实现的控制量与安全性之间的平衡。对于许多连接孤岛或微分段，您必须考虑设置和管理它们需要多少时间。发现意图使这一切变得简单，因为它可以帮助您决定这些部分在逻辑上应该放置在哪里。4.监控一旦部署了微分段和策略，就必须监控所有内容，这就是可见性发挥作用的地方。知道是否存在问题的唯一方法是始终监控整个基础设施上的流量。监控有两个重要方面：首先，需要持续合规，您当然不希望只有在审计员出现时才检查自己是否合规。这意味着您需要始终监控配置和流量，当审计人员出现时，您可以向他们展示最新的报告。其次，组织必须区分监控的学习阶段和执行阶段。在学习阶段，您正在监视网络中的所有流并分析它们的意图，这使您可以在编写策略规则之前查看哪些流是必需的。但是，在某个时刻，您必须停止学习并确定您看不到的任何流量都是异常的，并将默认策略设置为阻止。在这里，您可以将默认的“允许”策略更改为默认的“拒绝”策略或您组织的“D-DAY”策略。在此阶段，您可以切换到监控以执行目的。之后，任何开发人员请求允许另一数据流通过数据中心必须提交更改请求并在通过之前获得许可。5.自动化和编排最后，要到达“D-DAY”的唯一途径是通过策略引擎，它是整个网络策略背后的中央“大脑”。否则，每次需要进行更改时，您都必须在基础架构中手动执行所有操作。由自动化流程启用的策略引擎能够将任何更改请求与您定义为合法业务连接的要求进行比较。如果其他连接请求符合可接受使用的定义，则应以全自动方式进行零接触，这需要几分钟才能为更新部署实施过滤器过滤。仅当超出可接受使用指南的要求时才需要个人审查和批准。一旦获得批准（自动或审查后），就需要部署更改。如果您必须使用各种不同的技术（具有各自的复杂性和配置要求）将更改部署到可能有数百个不同的执行点，如果没有智能自动化系统，这个更改请求过程几乎是不可能的。关注业务成果，而不是安全成果消除安全部署的复杂性可以带来真正的业务成果，因为流程变得更快、更灵活，而且不会影响安全性或合规性。目前，在许多组织中，即使细分有限，“D-DAY”变更后的进展也非常缓慢，通常需要数周甚至更长时间才能完成安全审批阶段。大量的人力物力。微分段会使过程复杂化。但是，使用我在此处概述的步骤实施“零信任”自动化实践意味着从变更请求到部署和实施的端到端时间可以减少到一天甚至几个小时而没有风险。简而言之，自动化意味着组织花费更少的时间和预算来管理他们的安全基础设施，并将更多的精力用于业务实施，这是一个真正的双赢局面。
