「最佳拍档」企业对零信任的一见钟情

传统网络安全侧重于边界防御并在用户通过验证后提供全面的访问权限，而零信任是对传统网络安全的转变。仍依赖VPN，防火墙等网络解决方案的安全团队发现，四个关键趋势将会导致组织变得非常脆弱。

这四个关键趋势是：分布式办公普及、勒索软件攻击增加、云上迁移、安全审计需求增加。这些趋势催生出一种全新的安全方法——无论位置在哪里都能基于身份进行验证，并且在处理违规时能够采取主动措施。

30年前远程访问VPN问世之初，互联网还处于起步阶段，应用运行在数据中心，需要远程连接的用户数远低于当下。现如今，随着远程分散式办公模式的普及，使用VPN对用户进行认证并授予访问整个网络的权限会增加攻击面，还可能会引入0day漏洞。任何拥有必要凭据的用户都可以登录企业 VPN，一旦进入内网，就可以在整个网络中横向移动访问VPN所保护的资源。

零信任网络访问 (ZTNA) 采用完全有别于VPN的方法来保护远程员工访问。用户直接连接到必需的应用和数据，从而防止恶意用户横向移动，以过高权限访问敏感数据和资源。即使发生了入侵事件，有效的零信任方案可以对内网进行分段以防漏洞扩散和破坏。根据Gartner的预测，到2025年至少有70%的新增远程访问将主要由 ZTNA 而非VPN提供服务，而2021年底这一比例尚不足10%。

过去几年，勒索软件攻击席卷了全球各地的企事业单位，从医院、银行到石油管道等关键基础设施。根据美国咨询机构Cybersecurity Ventures发布的2022年勒索软件市场报告，“预计到2031年，勒索软件每两秒就会攻击一次企业、消费者或设备”。

勒索软件组织可以利用的典型弱点包括：

● 对用户、应用和网络的隐含信任关系允许成功突破防线的攻击者横向移动并传播恶意软件。

● 过于宽松的访问策略可能导致感染并用于注入勒索软件。

● 系统仅信任密码导致的凭证窃取问题。

实施零信任架构和访问控制策略可以最大限度地减少此类攻击可能造成的破坏，因为攻击者从开始阶段就难以入侵系统，而即使入侵成功，在内网中攻击者的扩展能力也会受到限制。

出于灵活性、敏捷性考虑，一些企事业单位正在将应用迁移到云上实现基础设施的现代化改造，但与此同时云环境也在扩大攻击面，引入了一些新的安全需求，例如：

● 不同云环境和本地环境之间的集成可能会破坏应用，导致安全风险。

● 使用传统网络结构将应用迁移上云时，可能会面临横向威胁、可扩展性差、成本高等问题。即使已完成迁移，仍需要考虑安全因素，并必须基于角色权限对用户进行认证。

● 与本地环境相比，云基础设施用户通常对资源、服务和管理授权拥有更多权限，这会带来额外的风险，并增加服务中断概率。

越来越多的企事业单位采用零信任策略来降低复杂度，促进向云上迁移。零信任消除了云应用尤其是第三方云应用固有的隐含信任，确保组织可以更轻松地部署具有更强防护能力的云应用。

为云应用部署零信任带来的收益包括：资产和风险的可视化，通过隔离和最小权限访问减少攻击面，改造后的网络基础设施更快、更敏捷，降低运营成本和复杂度等。

合规性评估是安全团队最耗时、耗力的工作之一，而无边界环境和远程办公普及进一步增加了这项工作的难度。组织通常需要隔离办公环境和资产，以满足行业监管合规的相关标准。

企事业单位需要同时接入远程用户、本地用户、合作伙伴、供应商等，因此组织环境的边界几乎无法定义。安全团队进行审计时，必须要解决以下问题：

➢ 如何限制只有授权用户才能访问敏感信息？

➢ 如何确定审计环境的范围？

➢ 如何确保审计过程简单、顺利？

零信任的两个关键能力：明确验证和最小权限访问，极大地简化了合规流程。组织可以将其管理的资产与数据中心或云上的其他流量进行隔离，并仅允许基于身份而非位置进行访问。受控环境中的出站、入站流量可视化可以降低审计的复杂性和成本，同时也简化了审计人员的工作。