如何打造一个“零信任”网络

零信任网络能提供更好的数据泄露防护，但通往零信任网络的道路却困难曲折。零信任模型的核心思想，是网络边界内外的任何东西，在没经过验证之前都不予信任。用传统安全方法挡不住数据泄露的公司企业目前越来越关注零信任网络模型了。

但是，想要实现该模型的公司企业，首先就需要抛弃长期以来深植于内部人可信和公司网络可信思维基础上的那些操作。

零信任模型

2010年，佛瑞斯特研究所构造了“零信任”这个术语，用以描述尝试连接网络资产的任何用户和任何设备都被当成不可信对象处理的一种安全模型。该模型突出设备凭证和用户凭证的使用，而不以网络位置来作为允许或拒绝网络资产访问的基础。

佛瑞斯特和其他业内人士宣称，零信任方法可防止攻击者在突破网络边界后藏身网络内部继续摸查高价值目标。因为传统安全控制和数据泄露预防工具无法发现，使用被盗凭证的外部攻击者所做的恶意活动。因为，他可以自由来去。最近几年数据泄露事件大量爆发，问题的根源，在于公司企业长期以来所持有的隐式信任用户和内网流量的做法。只将外部用户当做不可信对象加以验证，怎么能防住日益严重的内部人威胁呢？

黑客攻击者还不是唯一的问题。移动办公和云服务托管的增长，也令很多公司企业难以确立起网络边界。传统筑起边界长城守护内部资源的安全方法，随着企业数据的分散化和数据访问方式的多样化而不再有效。

信任是个危险的漏洞，容易被攻击者利用。用户和网络分为可信及不可信的观念，是公司企业首先需要抛弃的。

零信任概念中，任何人、任何设备、任何网络都不可信。必须要摒弃“人以网分”的想法，将注意力集中在网络中四处流通的数据包上。要监视所有流量，而不仅仅是外部流量。

漫漫零信任路

实现零信任网络可能会很困难。作为零信任网络的先行者，谷歌花了6年时间才从其VPN和特权网络访问模式迁移到BeyondCorp零信任环境。期间谷歌不得不重新定义和调整其职位角色及分类，建立起全新的主控库存服务以跟踪设备，提升App可见性，并翻新用户身份验证及访问控制策略。从董事会层面自顶向下地支持并推进零信任网络建设。

迈向零信任之路时应遵循的一条关键原则是，在被验证可信之前，任何人任何设备都不能访问内部资源。网络本身不可以确定用户可以访问哪些服务。

赋予用户的信任，不能基于用户尝试访问公司应用的位置——公司网络边界内部或外部，而应基于用户信息、设备信息和所访问的资源。

重点应放在安全验证用户、知晓用户角色及访问权限，以及能够识别出异常用户/设备行为上。这也意味着要能够安全验证设备，识别设备使用上下文，并确保对设备应用了全部该有的安全控制措施。在这样的环境中，多因子身份验证(MFA)和用户及实体行为分析(UEBA)之类的功能，是确立用户信任的关键。零信任的目标，就是转换到“从不信任，总是验证”的模式。

从内而外设计安全

规划零信任时，切记不能像当前大多数企业所做的那样由外而内地设计安全，而应由内而外地规划。应少考虑攻击界面，而更多地关注“防护界面”——公司实际需要保护的数字资产。

应以将安全及访问控制措施尽可能地贴近防护界面为目标，而不应将这些防护措施远远安置在网络边界。人们常将网络分隔与零信任搞混，但如果我们不知道防护界面，那还做网络分隔干什么呢？

为实现零信任环境，内容分发网络公司阿卡迈已清除了其企业边界。这是因为用户位置已不再能够赋予用户信任度了。

今年晚些时候，阿卡迈还将下架远程员工的所有VPN访问，彻底弃用口令也就在不远的将来。想要访问该公司应用和系统的任何人——包括该公司员工，都会被当成来宾先进行验证。只有通过了用户验证、访问权限验证和设备验证，才会被赋予信任。

安全边界仍然围绕个人设备展开，但企业边界背后的特权网络概念就已落伍。零信任模型比以边界为中心的方法更能提供统一又安全的企业资产访问。

在零信任之路上，没什么东西比可见性更重要的了。可见性是关键第一步，是创建整个策略的基石。阿卡迈启动零信任迁移时所做的第一步工作，就是为其所有应用和设备建立其全面的库存清单。

想要保护敏感数据，首先得知道这些数据都在哪儿，知道数据在企业网络中的流动方式，知晓都有哪些用户在用哪些设备访问这些数据。正如谷歌指出的，当你无法信任网络来提供对企业资产的安全访问时，你就得有可靠的实时数据来告诉你有哪些人和系统正在访问公司资产。

实现零信任的另一关键，是要有强大的方法来安全识别并验证用户及设备。举个例子，谷歌的网络上就仅容许经该公司采购并管理的设备。所有设备都具有基于设备证书的唯一ID，且需满足严格的安全控制才可以访问网络。该公司使用与HR过程耦合的数据库来识别用户并确保职位和访问权限信息实时更新。

谷歌在BeyondCorp相关白皮书中曾写道：“对公司资源的所有访问都经过全面验证和授权，并基于设备状态和用户凭证予以全面加密。”