零信任:从内到外全面保护你的公司

使用者一旦进入防火墙,就会自动获得可信任的传统城堡与护城河安全模式早已过时。假使你不信任网路内部或外部任何人,又该怎么办呢?

文/Steven J.Vaughan-Nichols 译/曹乙帆


如果你不信任网路内部或外部的任何人该怎么办?你还能确保安全吗?透过零信任(Zero Trust)模型,你可以做到这点。

还记得你何时仍认为身处背后有防火墙保护的网路中是安全的?那些 IT纯真的美好时光早已一去不复返了。

使用者一旦进入防火墙便自动获得可信任的传统城堡与护城河安全模式早已过时了。例如,身分认证与存取管理公司OneLogin在一项关于密码以及新冠病毒所导致远距办公转变之举的新研究中发现,近五分之一的远距办公人员与家人分享了他们工作装置的密码。而且,该数字只代表那些承认这么做的人。

云端服务供应商 Infinitely Virtual 执行长兼创办人 Adam Stern 指出,像是勒索软体(Ransomware)之类的许多常见攻击多半皆属于「由内向外攻击的产物」,也就是单纯员工基于「护城河/城门/城墙」典範模式所採取的行动导致了这样产物的产生,该典範模式其中一个观点认为护城河内部一切都安全,而外部一切都危险。拜网路钓鱼之赐,特洛伊木马式攻击已然变得司空见惯。

[ 下载 2020-21 CIO大调查报告,掌握最新企业IT导入趋势 ]

十年前,Forrester Research 前首席分析师,现为 Palo Alto Networks 现场技术长 (Field CTO)的 John Kindervag 看到了一种新安全模型的需求:零信任。他指出,在当今的IT世界里,真的早已没有防火墙内部或外部的区别了。事实上,信任和可信任系统的概念本身就有缺陷。或者,正如Kindervag所说的:「信任是一个弱点。它对组织没有任何价值,因此我们需要减少信任,就像其他任何漏洞一样,并在需要了解的基础上控制存取。」

即使是现在,这似乎仍是一个激进的想法。但这是一个在IT界里蓄势待发的想法。零信任甚至正在成为美国国家标準暨技术研究院(National Institute of Standards and Technology, NIST)的标準。而且,随着新冠病毒大流行将员工从办公室移转到他们的家中作业,致使这种想法蔚为主流的时代已然到来。

正如云端资产管理公司Axonius资讯安全长 Lenny Zeltser 所说:「COVID-19迫使企业几乎在一夜之间过渡到分散式远距劳动力型态。当急于支持这类劳动力型态时,安全领导者必须当下做出与许多风险相关的决策,这些风险即使不需数年但通常也要数月之才能解决,其涉及的相关领域包括网路信任、网路边界、外部应用程式和基础架构,乃至IT营运主要方面的可视性等。」

因此,Zeltser进一步表示,公司应考虑「对于危机所触发之网路安全计画的当前状况,可以透过零信任原则作为评估该计画状况的施行準则。它将信任範围从受边界保护的大型网路缩小到诸如端点和使用者等元件」。他总结指出:「该架构实际上是为了回应像是远端使用者和云端资产等企业趋势而开发的,因此,即使你不确定如何开启你的零信任之旅,COVID-19 也可能会迫使你沿着这条路前进。」

那么什么是零信任?

让我们从零信任的基本宗旨开始:不要信任任何人。在你的网路内部或外部都有攻击者。不应该自动信任何使用者或系统。这样一来,你就消除了恶意攻击者每日用来撷取密码、窃取数据及安装勒索软体的许多攻击向量,以及所有那些让IT生活变得痛苦的其他攻击手法。

那么,如果你不能信任任何人或任何事物,你会使用什么来代替呢?我的意思是这一切听起来很戏剧性,但你有时仍必须信任某人对吧?好吧,不见得会这样。在零信任模型中,你绝不信任,但总是会进行验证。

你要验证的是,任何使用者、程式或系统都有权存取「保护面」(Protect Surface)。这是你网路中最关键和最有价值的资料、资产、应用程式和服务(Data, Assets, Applications and Services, DAAS),每间公司的DAAS状况都不尽相同,但是都可以加以识别。如果你无法办到,那么你确实需要坐下来认真研究一下你IT系统中哪些是真正重要的,哪些又是不重要的。

[CIO都在读: AI最常见的应用有哪些? ]
[CIO都在读: 10个数位转型成功案例 ]
[CIO都在读: 所有企业都想要的12种CIO技能 ]

一旦搞定了你的保护面,就可以确认你的网路流量是如何与之互动的。这包括:使用者是谁;他们正在使用什么应用程式;以及他们如何与之连接。然后,有了这些资讯,你可以判定它们之间的互动状况。如此一来,你就可以创建一个政策,以确保对资料的安全存取。

你可以透过以下几种技术来做到这一点:

●微边界(Microperimeter):

每个保护面,例如资料库,都有自己的小安全边界。每个资料库或档案系统都有自己的小边界。这些是由隔离闸道器(Segmentation Gateway, SG ),亦即次世代防火墙(Next-Generation Firewall, NGFW)创建和维护的。只有合法应用程式的已知允许流量才可以进入保护面。这是在网路第7层的应用层上完成的。

这些微型防火墙规则是由「Kipling方法」决定的。也就是说,零信任政策基于每个网路互动的对象、内容、时间、地点、原因和方式。因此,Joe可能透过某特定应用程式有权存取某一特定资料库,但却被同一伺服器上的另一个资料库封锁,即使他使用同一个程式也是一样。简而言之,零信任包含了针对使用者、应用程式和资源之每个独特组合的超精细规则。

●最小存取权限:

因此,零信任依赖于一个必知的最小存取权限模型就不足为奇了。其会为每个使用者和应用程式提供完成工作所需的最小存取量。既不会少,也绝不会多。

●多因素身分认证(Multi-factor authentication, MFA):

MFA对零信任安全性也至关重要。这与你在脸书(Facebook)上使用的MFA不同,脸书MFA需要输入你的密码和个人身分识别码(PIN)才能查看Tootsie姨妈在做什么,至于在零信任中,每个使用者和装置都必须经由MFA的授权才能存取资源的保护面。

想将这些技术放在一起并不容易。云端身分识别和存取管理公司Okta网路安全执行董事 Marc Rogers 表示:「零信任之旅就像乘坐云霄飞车一样。这一概念花了好一段时间才被广泛接受,而各式各样的想法才逐渐趋于一致。」

Rogers补充指出,在此一过程中,「部分实作中要么出现便宜行事的状况,要么在信任链中出现导致不幸事件发生的薄弱环节,并因而发生了几起知名的资料外洩事件。另一方面,那些已经实施强大云端零信任架构的公司,在面对因当前大流行所衍生而出的新工作型态与方式时,反而能更容易适应。」

Stern指出:「零信任是一种心态与思维模式,而不是核取方块中的选项或产品。它是一种持续不断的方法论,用于从内部稽核到技术选择的任意数量IT决策与情境,日复一日直到永远。它是总体安全模型中不可分割的要素,因此它与流程的关係要比与产品的关係大得多。」

黑莓(BlackBerry)技术长 Charles Eagan 持同意的态度表示:「零信任不是一个单一的产品,而是一个动态的解决方案,会随着它从使用者行为中所学之物,并随着新使用者、新装置、新应用程式和新技术所促成之环境变化而持续进化。」黑莓在其安全通讯平台 BlackBerry Spark 中使用零信任模型。

实战中的零信任

许多公司正在成功地部署零信任。Lexmark资讯安全长 Bryan Willett 表示:「Lexmark于2016年开始在自家基础架构中整合零信任架构,现在已在我们从本地端到云端、从开发到製造,从居家办公到现场作业的整个环境中全面实施。」

如今,每一台装置在登入Lexmark网路之前都必须注册并遵从安全政策要求;所有档案请求、资料库查询和列印指令都将被彻底检查,以确保请求者拥有适当的权限;我们并且会透过多因素认证机制来为所有使用者进行身分验证。我们的安全底线:对于这些零信任规则,我们不做任何假设或例外。」

[ 加入 CIO Taiwan 官方LINE,与全球CIO同步获取精华见解 ]

结果,「如同许多企业一样,我们的员工在COVID-19期间一直在家工作,我们并且观察到网路钓鱼攻击状况的增加。当我们员工沦为受害者时,在我们的VPN、云端应用程式和商务应用程式上,我们从零信任原则中获得像是使用者与工作站多因素身分认证等保护机制,已在挫败骇客的努力中发挥了不可估量的作用。」

我们与客户的经验表明,完整的零信任架构可以潜在地减少94%当前普遍使用的攻击向量,进而最大程度地降低遭到入侵劫持的可能性,」英国电信(BT,过去以 British Telecom 全名面世)美洲安全副总裁 Mike Wolkowicz 指出:「因此,很自然地,我们建议客户移转到零信任模型。这已然成为安全标準,而我们在全球BT员工网路中也採用了这一策略。」

迁移到零信任很容易吗?不,不尽然都很容易。虽然如今有很多公司準备好助你一臂之力,但这是你如何实现安全性上的根本转变。它不会轻易实现,而需要一定的时间才行。

真正的问题是:值得这么做吗?答案绝对是肯定的。面对来自网路内外的各种安全威胁,您需要一个全新、更强大的安全模型,那就是零信任。

(本文授权非营利转载,请注明出处:CIO Taiwan

The post 零信任:从内到外全面保护你的公司 first appeared on CIO Taiwan.
Previous Post关于 MakerDAO 的十个冷知识,你知道多少?
Next Post没有了