虚假情报增多，企业安全运营疲态；远程办公常态化，残留的安全边界彻底消失；数字化转型导致攻击面不断扩大；改进;年轻黑客不谈武功，传统安全方案叫“大E，不闪”。毫无疑问，所有这些因素都在推动零信任成为最受欢迎的企业网络细分市场之一。随着公共云服务的广泛采用和移动工作者的增长，基于边界的安全模型正在变得过时。组织的应用程序和数据可能存在于传统防火墙的内部和外部，而边界控制几乎无法阻止攻击者获得初始访问权限并在网络中横向移动。这是零信任。随着企业园区网络向分布式远程办公模式转变，并面临物联网、5G等新的、不断扩大的威胁向量，企业必须迅速采用“从不信任，始终验证”的零信任安全思维来限制攻击并防止其横向移动。然而，尽管企业正在关注将零信任作为其网络安全战略的必要组成部分，但仍缺乏广泛采用，实施零信任模型可能需要企业各方面多年的努力和协作。实现零信任安全的十个技巧千里之行，始于足下。如果您确定要部署零信任模型，或者正在考虑，可以参考以下十点建议。即使“条条大路通零信任”，这些普适性的建议依然可以帮助你聚焦重点，少走弯路、少走邪路。建议1：围绕身份重新关注身份是零信任的最佳起点。用户可以拥有多个设备并从各种网络和应用程序访问企业资源，而身份是所有访问请求的共同点。无论该请求是来自公共Wi-Fi网络上的个人设备还是来自网络周边的公司设备，使用身份作为控制平面都允许公司在全面审查用户、设备和其他因素之前将每个访问请求视为不适当的.可信请求。许多组织目前正在使用微分段作为实现零信任的一种方式，可用于减少攻击面并防止本地和传统应用程序环境中的漏洞。然而，在企业资产之间的网络通常不由IT拥有或管理的云环境中，这种方法将受到很大影响。跨专业孤岛的团队应围绕基于身份的保护进行协调，在资产及其潜在威胁之间创建强大的访问网关，为零信任模型奠定基础。建议2：实施条件访问控制黑客经常使用凭据来访问系统并在泄露身份凭据后在网络中横向移动。因此，凭据的可信度不能仅从特定用户或其设备是在公司网络内部还是外部来推断。这要求我们采用“假设存在错误”的理念，并且在我们进行彻底审查之前不要相信任何请求。对于零信任，访问控制决策应该是动态的，并且基于对相关风险的评估和跨多个维度对每个资源请求的上下文理解来有条件地授予，这确定了适合用户和设备的访问权限的条件访问方法，采取考虑到用户身份和访问权限、设备运行状况、应用程序和网络安全以及所访问数据的敏感性，防止黑客使用窃取的凭据在网络中横向移动。建议3：增加凭证强度弱密码会削弱您身份系统的安全性，使黑客很容易通过密码喷洒或撞库攻击等方式破坏您的网络。虽然多因素身份验证可以为访问关键应用程序和数据提供额外的用户验证层，但将其包含在条件访问限制中可以帮助实现更强大的用户验证并限制黑客滥用被盗凭据的能力。建议4：规划双重边界策略为防止业务中断和旧风险的重新引入，在维护现有的基于网络的保护的同时，向环境添加新的基于身份的控制。在零信任环境中，应用程序必须被视为云应用程序或传统程序。其中，云原生应用程序可以支持基于身份的控制，并允许相对轻松地堆叠条件访问规则。另一类包括旨在位于传统环境中的网络防火墙后面的应用程序。这些应用程序需要进行现代化改造以支持基于身份的条件访问。大规模现代化通过允许通过安全身份验证网关或应用程序代理进行访问来降低风险，从而消除了连接到虚拟专用网络的步骤。建议5：集成智能和行为分析以支持云应用程序中基于身份的访问控制并不是加速云迁移的唯一原因。云还能够生成更丰富的遥测数据，以做出更明智的访问控制决策。例如，此遥测数据可以更轻松地推断异常用户或实体行为以识别威胁，从而增强条件访问控制。您做出明智的访问控制决策的能力取决于您整合到这些决策中的信号的质量、数量和种类。例如，集成威胁情报源，例如机器人或恶意软件的IP地址，将迫使攻击者不断获取新的来源；集成有关登录的详细信息（时间、位置等）将使攻击者更难模仿用户行为，同时最大限度地减少用户的不便。建议6：减少攻击面为了增强身份基础设施的安全性，必须确保攻击面最小化，并且组织可以实施特权身份管理，以最大限度地减少管理员或其他特权角色使用受损帐户的可能性；还可以使用不支持条件访问或多因素身份验证的旧身份验证协议来阻止应用程序。此外，您可以限制身份验证访问入口点，控制用户访问应用程序和资源的方式。建议7：提高安全意识您的身份和端点基础设施可以生成大量安全事件和警报，甚至一些活动和模式。这些可疑活动和模式可能表明存在潜在的网络入侵和事件，例如凭据泄露、IP地址错误以及来自受损设备的访问。组织可以使用安全信息和事件管理(SIEM)系统来聚合和关联数据，以更好地检测可疑活动和模式。SIEM系统可用于审计用户活动、记录对法规要求的遵守情况，并帮助取证分析。它还改进了对最低权限访问的监控，并确保用户只能访问他们真正需要的资源。建议8：实施最终用户自助服务功能与许多其他安全计划相比，用户对零信任的抵制程度可能要低得多。零信任使安全组织能够拥抱和保护现代生产力场景，例如移动设备、BYOD和SaaS应用程序，同时在不影响安全性的情况下保持用户满意度。IT团队可以通过授权用户执行某些安全任务（例如自助式密码重置）来减少摩擦，允许用户在管理员不参与的情况下重置或解锁帐户密码，同时监控滥用或误用，既可以确保安全，又可以提高工作效率。同样，也可以实现自助群组管理，让业主创建和管理群组。建议9：不要过度使用零信任并不是像实施多因素身份验证这样的单一“大爆炸”计划。事实上，这是构建与传统的基于网络的访问模型截然不同的新一代安全控制的长期战略的最后阶段。这一愿景需要通过一系列长期实施的小项目来实现。在此过程中，正确设定和管理期望非常重要。在项目生命周期中，寻求支持并制定与关键利益相关者进行有效沟通的计划。准备采取措施克服习惯于以截然不同的方式行事的群体带来的文化阻力和其他挑战。建议10：在整个旅程中展示价值为零信任倡议建立长期支持的最有效方法之一是展示每项投资的附加值。在IDG的安全调查中，超过一半的受访者(51%)表示零信任访问模型将有助于提高保护客户数据的能力，而46%的受访者表示这将有助于实现更好、更安全的最终用户体验。集成到决策中的信号的质量、数量和种类决定了您做出明智的访问控制决策的能力。例如，集成威胁情报源，例如机器人或恶意软件的IP地址，将迫使攻击者不断获取新的来源；集成有关登录的详细信息（时间、位置等）将使攻击者更难模仿用户行为，同时最大限度地减少用户的不便。拥抱零信任理念，重构安全架构零信任模型虽然实现起来并不容易，但却是数字化企业长期现代化目标的关键要素。无法预测特定日期会出现哪些新漏洞，或者攻击者将如何访问其环境。所以你永远不应该假设你正在使用的任何特定用户或设备、应用程序或网络是绝对安全的，确保安全的唯一合理方法是不信任任何人并验证一切。
