统计数据也不是“会还是不会”：根据最近的一份报告，在过去三年中，近60％的组织经历了数据泄露。

信息就是力量，恶意行为者和网络犯罪分子会对您的数据感兴趣。而且，如果我们要遵循提到的统计数据以及网络安全的当前状态，则组织需要承担更多保护数据的责任。局外人不仅有危险，而且局内人威胁也可以自由支配。组织不应该信任任何人。

“信任但验证”，外围安全方法在现代安全环境中已不再存在。现在是更好，更有效的概念和策略的时候了。

与“ 零信任。”

近年来，许多组织已转向零信任安全方法，而旧的城堡和护城河概念被推到一边，以 为零信任模型在“ 永不信任，始终验证 ”的心态上腾出空间。其核心。

什么是零信任安全？

零信任是由约翰·金德瓦格（John Kindervag）在Forrester Research工作时创建的，一旦传统的安全模型表明它们已经不足以应对不断发展的网络威胁形势时，零信任便诞生了。在传统的城堡和护城河模型中，定义了边界，并且内部的所有内容都受信任，而外部人员则很难进入。

但是，既然我们都知道没有绝对的安全性，那么如果攻击者进入网络会发生什么？如果默认情况下信任内部所有人，则无法预测攻击者能够访问网络任何部分时可能造成的损失。

使传统方法显得更加过时的是，今天，不再严格定义“边界”。组织不会将数据存储在具有包含网络的一个数据中心中。现在，他们将数据存储在本地和云中，并且可以通过许多不同的设备和位置访问数据。

数据驱动的保护和以数据为中心的安全体系结构是“零信任”安全模型的基础，该模型告诉我们，我们不能信任网络外部或内部的任何内容，并且任何尝试访问您的网络的人都必须进行验证。提前。

零信任的重点是什么？

零信任网络有一些主要的信任组件：

• 数据：如上所述，零信任始于数据，是一种数据驱动的安全模型。为了保护其数据，组织需要对其及其资产以及谁可以访问它们具有可见性，必须对其进行分类以指定哪些数据被视为敏感数据，并分配尽可能少的特权。监视数据和数据访问将使组织能够更好地了解网络 威胁并更有效地应对它们，而不必完全依赖于风险管理。

• 用户：不幸的是，人类仍然是网络安全中最薄弱的环节。即使没有恶意，任何人都可以随时犯错误。这就是为什么严格监控，限制和验证每个试图访问网络内部和外部组织资源的用户很重要的原因。部署将有助于保护和验证每个用户的解决方案，并努力通过强大的密码策略，2FA和MFA等来消除人为错误的任何可能性。

• 网络：微分段和访问以及网络限制将帮助阻止攻击者访问网络，如果他们在网络内部，则可以阻止其横向移动，并破坏其窃取数据的能力。确保用户即使在网络内部也不受信任，并且采用实时威胁检测，防火墙和强大的访问策略是“零信任”网络的基础。

• 设备：在过去几年中，用于访问公司网络的设备数量呈指数增长。笔记本电脑，智能手机，平板电脑和智能电视，再加上BYOD趋势，仅增加了攻击面，并为恶意攻击者提供了比以往更多的攻击媒介和入口点。组织需要对尝试访问其网络的设备具有可见性，并在授予访问权限之前建立信任。

• 工作负载：工作负载是攻击者感兴趣的目标，并且通过识别和控制对应用程序和工作负载的访问来保护它们，可以提供更好的控制和保护。

• 可见性和分析性：您无法保护看不到的东西。网络中的每个活动都必须可见，监视，记录和分析，以便识别异常行为并检测和缓解威胁。

• 自动化和编排：由于“零信任”模型不是单一的技术或流程，因此它采用了多种不同的技术，方法以及工具。安全自动化工具可自动执行安全任务，并允许策略遵循，改进的事件响应，实时检测威胁等等。编排可以确保将所有不同的解决方案都集成到现有组织的IT环境中。

零信任背后有哪些技术？

在“ 零信任”安全模型中，组织可以利用微细分，访问控制环境，并依赖于不同的技术和流程。“微分段”是指一种安全技术，允许安全团队在数据中心中创建精细的安全区域并为每个单独的区域定义安全控制。它可以防止网络中的横向探测和移动，并可以更好地控制整个网络。

除微细分外，还有最小特权访问权限。“最低特权”是基于只允许用户访问其在组织中扮演其角色所需的访问量的原则。这可以帮助组织降低低级用户，应用程序或设备的风险，从而降低攻击者对内部网络造成严重破坏的风险。

构成零信任体系结构核心的技术包括多因素身份验证，访问控制身份，访问管理，以及如上所述的安全自动化和编排。让我们来探索它们：

• 2FA和MFA：多因素身份验证（MFA）是身份验证因素和要求形式的附加IT安全层，在用户访问其帐户之前需要先满足这些条件，从而为破解者试图获得对这些帐户的未经授权的访问创造了障碍。这可能要求用户在输入密码后使用一次性SMS代码，指纹，视网膜扫描和/或用户位置来验证其身份。
                从所有这些方面，我们可以清楚地推断出MFA为何对零信任如此如此-它来自对尝试访问网络的用户的不信任，并为用户提供了其他步骤来验证其身份，获得信任并最终进行访问。

• 访问控制（AC）：访问控制是对数据访问的选择性限制。它由我们刚刚经过的身份验证和授权组成，授权决定了是否应授予用户访问数据的权限以及执行他们尝试的特定操作的能力。用简单的英语来说，AC是关于谁或什么可以访问组织的资源，并用于实施最低特权的访问策略。

• 身份和访问管理（IAM）：虽然AC和IAM经常互换使用，但它们是两种独立的做法，AC是IAM的子集。IAM得到四个关键领域的支持：身份管理，身份基础结构，访问管理和审核。
  
  IAM从根本上讲是定义和管理个人用户的角色和访问权限，并以“每个人一个数字身份”的理念为指导。每个用户都有一个已建立和维护的数字身份，但也可以对其进行监视和审核，因此可以通过给它更多的特权或限制某些特权来相应地对其进行修改。

• 安全自动化和编排：除了作为零信任安全的重点领域之一，安全自动化和编排是其背后的另一项驱动技术。就在上周，我们详细讨论了安全自动化，并讨论了安全流程。
  
  安全自动化是不涉及人为干预的安全任务的自动执行，从而使安全团队有更多时间花在主动的战略活动上。自动化可简化安全操作并减少检测和响应威胁所需的时间。没有自动化工具来减少人为错误的可能性，并消除这种重复性工作的繁琐工作，监视每个安全事件以确保零信任是不可能的。我们建议您查看有关该概念的文章，以获取一些最佳的安全自动化工具。
  
  安全编排可帮助组织连接众多工具和解决方案，从而使它们之间的数据共享更加轻松，并确保它们都无缝集成到组织的基础架构中。

实施零信任模型的最佳实践

尽管许多组织已经在他们的IT环境中完全采用了零信任模型，或者至少已经开始采用它了，嘿-开始永远不会太晚！

已经有提供MFA，IAM，AC或其组合的解决方案，但实际上不仅仅涉及采用这些技术和工具。零信任并不是一朝一夕的事。这是一个持续的策略，首先需要确定，然后再使用适当的技术。

除了我们研究过的技术外，还有一些采用零信任架构的战略方法：

1.验证，验证和重复

偏执狂不一定总是一件好事，但保持健康的谨慎态度总是很重要的。从一个每次尝试访问网络都被认为是恶意的地方开始，然后对它们进行多种身份验证方法；同样，每次尝试访问其他资产或资源时，都要重新认证用户。这可以通过一组访问控制，外围安全性，网络访问控制，良好的旧MFA和其他方法来完成。

2.数据可见性和分类

为了保护某些东西，您必须了解它，并且数据也没有什么不同。了解数据所处的位置以及数据的敏感性将有助于更好地进行访问控制和授权。另外，仅允许特定用户访问它，具有管理角色和类似角色的用户，保持最小特权方法。

3.监视所有与数据有关的活动

监视和记录与数据有关的所有活动以及网络中的任何用户活动。通过使用安全自动化工具，分析师将可以稍后使用此数据进行关联，检查，实时识别任何可疑行为，并在将内部和外部来源的威胁升级为数据之前对其进行捕获违反。

4.想到用户

验证用户所需的身份验证方法和安全访问控制的数量不断增加，既耗时又无聊。而且，即使对于某些用户而言，采取任何似乎极其不利的策略也根本不会做。

在实施零信任网络时，请考虑最终用户，并选择一种解决方案和策略，以使体验尽可能“无痛”，以确保合规性和有效性。

结论

继续安全基础知识，本周我们向零信任介绍或重新介绍了您。将其添加到安全必备列表中，组织需要开始实施此策略，以保护对他们最有价值的数据：其数据。数据本身并不是对组织而言最有价值的资产，网络罪犯也共享这种“激情”。

通过概述保护组织数据所需的适当步骤，我们介绍了零信任的一些关键原则和最佳实践，以指导您朝着正确的方向发展。与大多数安全领域一样，它的概念如此广泛，因此我们只涉及了零信任模型的表面。我们一定会在将来重新讨论这个主题，以更深入地研究一个没人值得我们信任的世界。