保护远程访问安全的传统方法是使用VPN。然而，随着企业开始了解零信任理念，即用户未经身份验证不得访问任何数据源，VPN逐渐被证明是远远不够的。

多年来，对安全远程访问本地资源的需求一直在稳步上升。然而众所周知，在疫情期间向远程工作方式的转移加速了这种需求。尽管企业在寻求接受各种数字化转型计划并实现远程工作时已将更多数据移至云端，但对本地资源的需求一直存在，员工仍然需要安全地远程访问这些数据。

当公司在寻求实施零信任网络访问（ZTNA）解决方案时，需要考虑一些重要的因素以避免性能、数据丢失保护（DLP）、高级威胁保护（ATP）、可见性和报告等领域常出现的一些陷阱。

如何避免零信任安全陷阱

在比较ZTNA选项时，组织应询问以下四个关键问题，以确保其方法能够满足其安全需求：

1.它能否适应当今的混合工作环境？

在选择正确的ZTNA解决方案时，性能至关重要。自疫情初期以来，工作场所已经发生了较大的变化，当时许多组织投入巨资扩展其VPN容量以适应远程工作。由于许多工作场所已过渡到混合环境，因此可能不再需要扩展这项技术的程度。

基于本地设备的VPN将配置和扩展的负担交给了消费组织。为了限制导致的风险，公司应该寻求一种ZTNA解决方案，该解决方案允许解决方案提供商在公共云中托管运行所需的基础设施。

寻找一个公共的、云托管的解决方案是一个开始，但它不是唯一需要考虑的性能组件。安全团队还必须仔细审查解决方案，以确保其响应能力和可靠性符合业务需求。为此，组织应根据其典型用户群（应包括全球不同地点的用户）对其进行评估，并检查是否存在任何潜在的附加延迟。无论每个用户位于何处，一个良好的解决方案都能够适应使用高峰，并拥有一致高可用性的可认证记录。

2.它会实时识别和防止不必要的暴露吗？

组织需要的解决方案不仅仅是在事件发生后向他们发出警报。相反，它必须提供实时强制执行以避免数据丢失。在向远程工作环境转变以及由此导致的非托管个人设备使用激增的过程中，防止敏感信息泄露一直是安全团队面临的众多挑战之一。

这就是为什么在选择ZTNA解决方案时，必须考虑该技术成功实施本地资产下载和上传（如有必要）DLP策略能力的原因。

为了在整个组织的IT基础架构中促进零信任规则的实施，安全团队必须确保解决方案变得精细，并且可以根据位置、用户类型和其他身份要素等因素进行配置。

3.ATP：它能实时阻止恶意软件吗？

ATP是ZTNA解决方案的另一个重要组成部分。恶意软件很容易在员工不知情的情况下上传到文档中；它还可以通过下载传播到其他设备和用户。一旦发生这种情况，如果没有合适的技术，威胁行为者就可以在整个组织中横向移动。这就是为什么ZTNA解决方案必须拥有实时阻止恶意软件的上传、下载和传播能力的原因。

ATP现在特别重要，因为它能够保护使用个人、非管理设备的远程员工，而在这些设备上公司无法安装安全软件。对于这些人来说，ZTNA解决方案能够阻止恶意软件的上传和下载而无需在用户设备上安装软件。

4.是否有助于监管合规？

最后，组织应寻求一种提供实时可见性和控制的ZTNA解决方案，以帮助他们证明合规性。报告功能应包括完整详细的日志，用于指定托管和非托管设备的所有文件、用户和应用程序活动（包括设备类型、IP地址、位置和访问时间）。

选择能够实现简单SIEM集成和可导出日志的解决方案还可将可视性扩展到公司内部网络的其他部分。

综合平台的一个方面

ZTNA的战略性投资意味着确保所选技术是综合平台的一部分，例如安全访问服务边缘（SASE）。SASE是Gartner在2019年首次提出的网络安全概念，它整合了传统上不同的网络和云服务。该平台可以在一个统一的、基于云的平台中使用各种安全技术来保护设备、应用程序、Web目标、本地资源和基础设施之间的每一次交互。

参考及来源：https://threatpost.com/key-questions-zero-trust-success/175392/