译者|布加迪评论|孙淑娟零信任网络访问（TNA）是JohnKindervag首创的零信任模型的演变。零信任是著名研究公司Forrester的Kindervag在2010年创造的一个术语。2017年左右，Gartner分析师正在研究一个相关但不同的概念：持续自适应风险和信任评估(CARTA)。CARTA的目的与Kindervag的零信任相同：用隐含的信任接受换取明确的信任证明。SteveRiley是研究这一概念的Gartner分析师之一。还有云安全联盟(CSA)的“软件定义边界”和谷歌的BeyondCorp（最初于2009年初为响应极光行动而创建）。这些类似于Gartner的“持续自适应信任”研究，“零”只是一个起点。到2019年，Riley准备撰写一份关于CARTA的Gartner市场报告，但他说服了同事零信任网络访问(ZTNA)是一个更容易识别的主题名称。他的2019年市场报告可谓是Kindervag首创的零信任概念的鼻祖，该概念已成为当今网络安全行业应用最广泛的概念之一。1.什么是零信任？“如今‘零信任’一词被过度使用，以至于它几乎失去了意义，”Riley告诉SecurityWeek。2017年，Gartner谈到了一个概念，叫做“持续自适应风险和信任评估”。Riley将这一概念应用于零信任，并在2019年创造了零信任网络访问(ZTNA)一词。回想起来，Riley希望他曾使用过零信任应用程序访问(ZTAA)这一术语，但现在认为更改名称为时已晚。底层网络几乎次于零信任要求：需要满足它才能访问网络上运行的各个应用程序——这是ZTNA的真正目的。零信任一词现在是一个集体形容词。如果没有伴随的名词或名词短语，它本身没有任何意义。世界已经从Kindervag革命性的和有价值的什么都不信任的概念（也许本身源自最小特权的安全原则）：它现在是“在没有完全、持续的授权的情况下什么都不信任”。虽然零信任可以以其他方式应用，例如零信任电子邮件访问(ZTEA)或零信任数据访问(ZTDA)，但这可能是未来的事情。在这里，我们关注ZTNA/ZTAA。正如Riley所定义的，它包括持续的自适应风险和信任评估，作为一种务实的妥协，可在不影响可用性的情况下提供最大的安全性。2.信任经纪人的角色ZTNA的一个关键概念是信任经纪人的角色。信任代理位于网络外部，为经过身份验证的用户提供适当级别的信任以访问特定应用程序。这种方法有很多用途。首先，它阻止来自经过身份验证的受信任用户以外的任何人的所有入站通信。应用程序告诉代理谁可以向哪些应用程序进行身份验证。如果没有这个外部代理，Riley说，“攻击者可以连接而不必费心提交身份验证序列。他们可以向服务发送他们想要的任何请求，看看他们是否可以使其以不可预测但对攻击者有利的方式运行。“异常。”代理将模式从“连接（到网络），然后进行身份验证”更改为“进行身份验证，然后连接（到指定的应用程序）”。代理可以检查设备的健康状况、地理位置和其他行为生物特征。用户。它生成一个信任分数。如果指定应用程序的信任分数足够高，则通过代理向用户授予权限。这很关键-用户只能访问指定的应用程序。任何想要访问不同应用程序的用户应用程序将需要重新验证才能访问该应用程序，并且身份验证要求可能会有所不同。这可以防止网络内的横向移动，无论肇事者是员工还是攻击者。3.你能拥有真正的零信任吗？其中之一理解零信任概念的困难在于，每个人都知道零信任和可用性是不相容的。保证零信任的唯一方法是拔掉一台电脑的插头，把它包在六个f铅衬混凝土，然后将其投入深海。但这阻碍了可用性。零信任是关于应用最小信任并仍然确保实际可用性。一方面是加强了，另一方面也必然是削弱了。在当前的方法中，访问是基于信任分数授予的。从理论上讲，可以操纵分数-只需进行适当的操纵即可将结果分数从“允许”以下提高到“拒绝”以上。第二个潜在的漏洞是代理。如果代理遭到破坏，攻击者可以获得对所选应用程序的访问权限。这就是Riley在Gartner开始研究ZTNA概念时所担心的。他得出结论，代理仍然是外部访问的最佳选择。替代方案是依靠公司网络和互联网之间的防火墙（我们知道这行不通），或者使用VPN。“VPN的一端在Internet上，另一端在公司网络中，”Riley说。“大多数VPN集中器都潜伏在地下室的角落里，从不更新。没有办法更新它，因为每个人都在不断地使用它。“信托代理方式的优势在于，它由全职专业安全公司运营，其网络安全技能远超普通商业客户。”能够证明它可以被信任是至关重要的。4.零信任从何而来？请记住，零信任只是一个形容词。没有它的名词是没有意义的。我们在本文中分析了应用程序访问的零信任。这可能是零信任概念中最重要和最重要的方面。最紧迫的方面。但这不是唯一的潜在方面。零信任应该可以应用于当前遭受访问滥用的任何方面。现在，网络安全的当前方向之一是增加粒度。一个很好的例子是当前走向“以数据为中心的安全”趋势的方向。所有安全性的主要目的是保护公司数据——所以问题是我们是否应该期望未来朝着零信任数据访问(ZTDA)方向发展？基本框架已经有了。Riley说，“以云中的数据库表为例。无需在MicrosoftAzure中设置虚拟机并在那里运行数据库服务器，您只需使用SQLAzure并将云中的数据库表配置为URL。有一些机制允许您控制对单个字段或整个表行或列的访问。“无论需要多么细粒度，访问控制都可以成为有意设计的策略的一部分，旨在消除无处不在的隐式信任，这种信任总是需要对任何实体的任何形式的访问进行身份验证和授权，”莱利说：“我喜欢抽象这些东西。我想删除每一层的隐式信任：网络、应用程序、虚拟机和数据对象。相反，我希望看到这样一种情况，即每次交互都受到调节，并且该交互的置信度由上下文和周围信号来衡量。简而言之，他补充道：“我认为，最终，零信任将包括零信任数据访问。”原文链接：https://www.securityweek.com/history-and-evolution-zero-trust
