对于CIO来说，网络犯罪分子似乎可以随意攻击，而且非常容易。为了应对日益增长的威胁，网络安全专业人士就“零信任”达成了新的共识——一种基于对网络威胁可能来自传统网络边界之外或之内的任何地方的理解的防御方法。地方，从恶意的内部人员到犯罪团伙和民族国家。因此，不应信任任何用户、设备或流量，并应定期检查和审计安全性。通过围绕最小权限访问、网络微分段、快速事件检测和响应以及全面安全集成的原则重新设计网络防御，组织可以阻止大多数攻击并最大限度地减少那些通过的攻击的影响。那么：问题解决了吗？不完全的。虽然零信任无疑代表了一项值得广泛采用的重要进步，但它不是魔法，也不是万无一失的。事实上，在大多数模型定义中都存在一个固有的盲点：假设网络流量完全可见以确保它不会构成风险。事实上，互联网上的绝大多数流量都使用SSL或TLS加密，使其对传统安全设备不可见，并且不受零信任策略的影响。零信任可能遗漏的内容作为在线通信的基础，加密一直是数据保护和隐私的福音，但它对安全性的影响却更值得怀疑。一方面，加密对于欺骗、中间人攻击和其他常见攻击非常有效。另一方面，您无法监控、过滤或分析您看不到的内容——因此您的安全堆栈不会检测到任何隐藏在加密网络流量中的勒索软件或恶意软件。一旦恶意软件进入环境，近一半的恶意软件现在使用TLS建立连接并与命令和控制服务器通信，使受害者无法跟踪或阻止正在进行的攻击。当然，安全厂商和很多CIO都非常清楚SSL和TLS加密对网络安全带来的挑战。因此，SSL和TLS解密已成为许多安全设备的共同特征。不幸的是，这个过程通常像机场安检线一样快速移动，特别是如果有问题的设备没有将加密作为主要功能设计并且缺乏必要的硬件。还需要对安全堆栈中的每个元素重复此过程，从而增加每个额外跃点的延迟。这会显着降低安全设备性能，同时增加网络延迟、瓶颈、成本和复杂性。而且，随着每个后续安全组件（DLP、防病毒、防火墙、IPS和IDS等）为自己的目的依次解密和重新加密流量，影响会成倍增加。除了危害业务用户和客户的服务质量外，跨安全堆栈的分布式循环解密、检查和重新加密破坏了零信任模型核心的简单性。通过在多供应商、多设备安全基础架构中的多个位置部署私有加密密钥，组织不可避免地扩大了攻击面，在尝试减轻风险的同时增加了风险。实现零信任的完全可见性零信任的前提是合理的。SSL和TLS加密的价值也是如此。我们需要的是让它们在同一个架构上共存，同时满足现代企业的性能需求。零信任盲点的解决方案很简单——事实上，简单是关键。组织不应在逐个设备或逐跳的基础上执行解密、检查和重新加密，而应集中此功能并使用单个专用的高性能SSL和TLS检查元素来支持一次整个安全堆栈。通过这种方式，流量可以被解密一次，由任意数量的单独安全设备一前一后地检查，然后在继续进入或离开环境之前重新加密。虽然可能仍然存在较小的性能影响，但它只是循环方法复合效应的一小部分，并且为有效零信任所需的完全可见性付出的代价很小。当前的网络犯罪浪潮要求CIO和CISO做出紧急反应。在当今高度分布式的环境、漏洞百出的企业网络和随处工作的员工队伍中，零信任提供了一种增强安全性的方法，但前提是其模型能够在不牺牲服务质量的情况下得到充分实现。全面交通检查的需要常常迫使组织在安全和性能之间做出不可能的权衡。但通过采用集中式方法进行SSL和TLS检查，CIO和CISO可以实现业务所需的保护以及客户期望的性能。
