Zero Trust 安全 | 什么是 Zero Trust 网络？
Zero Trust 是一种安全模型，其基础是维护严格的访问控制并且默认不信任任何人，即便是已在网络边界内的人。
学习目标
阅读本文后，您将能够：
- 定义 Zero Trust 安全
- 概述 Zero Trust 背后的技术和原理
- 了解如何实施 Zero Trust 安全架构
复制文章链接
文章摘要：
- Zero Trust 是一种安全模型，其核心架构假定默认情况下，网络内外的任何实体均不可信，因此需要严格验证。
- 基本的 Zero Trust 原则包括最小权限访问、持续验证和微隔离，以最大限度地减少攻击面并防止横向移动。
- SASE 集成将 Zero Trust 安全模型作为核心组件整合，统一安全和网络服务，旨在保护远程办公及使用云资源的用户。
什么是 Zero Trust 安全？
Zero Trust 安全是一种 IT 安全模型，要求对试图访问专用网络资源的每个用户和每台设备进行严格的身份验证，无论其位于网络边界之内还是之外。ZTNA 是与 Zero Trust 架构相关的主要技术；但 Zero Trust 是一种全面的网络安全方法，它融合了几种不同的原理和技术。
更简单地说：传统的 IT 网络安全信任网络内的所有人和设备。 Zero Trust 架构不信任任何人和物。
传统 IT 网络安全是基于城堡加护城河的概念。在城堡加护城河式安全中，很难从网络外部获得访问权限，但默认情况下，网络内部的每个人都受到信任。这种方法的问题在于，一旦攻击者获得了网络的访问权限，便可自由支配网络内的所有内容。
公司的数据不再存放于一处，城堡与护城河式安全系统中的这个漏洞因此而加剧。如今，信息通常分散于多家云供应商处，使得对整个网络进行单一安全控制变得更加困难。
Zero Trust 安全意味着默认情况下，网络内外都不信任任何人，并且试图访问网络资源的每一个人都需要进行验证。已有证据表明这种附加的安全层可以防止数据泄露。研究表明，单个数据泄露事故的平均成本超过 300 万美元。考虑到这个数字，许多组织现在渴望采用 Zero Trust 安全策略就不足为奇了。
| 标准 | VPN | 零信任架构 |
| 访问范围 | 授予对整个连接网络的访问权限 | 仅授予对特定授权资源的访问权限 |
| 特权管理 | 广泛的网络访问 | 用户获得所需的最小访问权限 |
| 性能 | 通过数据中心回传流量 | 直接连接；无流量回传 |
| 支持远程办公 | 第三方/BYOD 访问复杂 | 随时随地无缝接入 |
| 可扩展性 | 需要升级容量 | 高度可扩展，快速接入 |
Zero Trust 以哪些原则为支撑？
持续监控和验证
Zero Trust 网络背后的理念是假设网络内部和外部都有攻击者，所以没有用户或机器应该被自动信任。 Zero Trust 验证用户身份和权限，以及设备身份和安全。在登录和建立连接后，经过一段时间就会超时，迫使用户和设备不断重新验证。
最低权限
Zero Trust 安全的另一原则是最低权限访问。也就是说，仅向用户授予必要的访问权限，就像军队中的将领仅在必要之时将信息告知士兵一样。这样能最大程度减少各个用户接触网络敏感部分的机会。
实施最低权限涉及谨慎管理用户权限。VPN 不太适合用于最低权限的授权方式，因为登录 VPN 后，用户可以访问连接的整个网络。
设备访问控制
除了用户访问控制之外，Zero Trust 还要求对设备访问进行严格控制。Zero Trust 系统需要监测有多少不同的设备在尝试访问其网络，确保每个设备都得到授权并评估所有设备，以确保它们没有遭到入侵。这将进一步最大限度地减少网络的攻击面。
微分段
Zero Trust 网络也利用微分段。微分段是一种将安全边界划分为小区域的做法，以分别维护对网络各个部分的访问。例如，将文件存放在利用微分段的单个数据中心的网络可能包含数十个单独的安全区域。未经单独授权，有权访问其中一个区域的个人或程序将无法访问任何其他区域。
防止横向移动
在网络安全领域，“横向移动”是指攻击者进入网络后在该网络内移动。即使攻击者的进入点被发现，横向移动也难以检测到，因为攻击者会继续入侵网络的其他部分。
Zero Trust 旨在遏制攻击者，使他们无法横向移动。由于 Zero Trust 访问是分段的且必须定期重新建立，因此攻击者无法移动到网络中的其他微分段。一旦检测到攻击者的存在，就可以隔离遭入侵的设备或用户帐户，切断进一步的访问。（在城堡和护城河模型中，如果攻击者可以横向移动，则隔离原始遭入侵设备或用户几乎没有效果，因为攻击者已经到达了网络的其他部分。）
多因素身份验证 (MFA)
多因素身份验证 (MFA) 也是 Zero Trust 安全的核心价值观。MFA 意味着需要多个证据来对用户进行身份验证；仅输入密码不足以获得访问权限。MFA 的一种常见应用是 Facebook 和 Google 等在线平台上使用的双因素授权 (2FA)。除了输入密码之外，对这些服务启用 2FA 的用户还必须输入发送到其他设备（例如手机）的代码，从而提供两个证据来证明自己是声称的身份。
Zero Trust 有什么好处？
与更传统的安全方法相比，Zero Trust 理念更适合现代 IT 环境。由于访问内部数据的用户和设备种类繁多，并且数据同时存储在网络内部和外部（云中），假设没有用户或设备值得信赖，比假设预防性安全措施已经堵上所有漏洞要安全得多。
应用 Zero Trust 原则的主要好处是有助于缩小组织的攻击面。此外，Zero Trust 通过微分段将入侵限制在一个小区域，从而在攻击发生时将损害降至最低，这也降低了恢复成本。Zero Trust 通过要求多个身份验证因素来减少用户凭据盗窃和网络钓鱼攻击的影响。它有助于消除绕过传统边界式保护措施的威胁。
而且，通过验证每个请求，Zero Trust 安全性降低了易受攻击的设备带来的风险，包括通常难以保护和更新的 IoT 设备（请参阅 IoT 安全）。
Zero Trust 安全的发展历史是怎样的？
“ Zero Trust ”一词是 2010 年 Forrester Research Inc. 的一位分析师首次提出这一概念的模型时创造的。几年之后，Google 宣布他们已在其网络中实施了 Zero Trust 安全，这让技术社区中越来越多人对其采用产生兴趣。2019 年，全球研究和咨询公司 Gartner 将 Zero Trust 安全访问列为安全访问服务边缘 (SASE) 解决方案的核心组成部分。
什么是 Zero Trust 网络访问 (ZTNA)？
Zero Trust 网络访问 (ZTNA) 是让企业能够实施 Zero Trust 安全的主要技术。与软件定义边界 (SDP) 类似，ZTNA 可以隐藏大多数基础设施和服务，并在设备与其所需资源之间建立一对一的加密连接。进一步了解关于 ZTNA 工作原理 的信息。
有哪些 Zero Trust 的用例？
任何依赖网络并存储数字数据的组织都可能会考虑使用 Zero Trust 架构。不过，Zero Trust 的一些最常见用例包括：
替换或扩充 VPN：许多组织依靠 VPN 来保护他们的数据，但如上所述，VPN 通常不是防御当今风险的理想选择。
安全地支持远程工作：VPN 会造成瓶颈并会降低远程工作人员的工作效率，而 Zero Trust 可以将安全访问控制扩展到来自任何地方的连接。
适用于云和多云的访问控制：Zero Trust 网络会验证任何请求，无论其来源或目的地。它还可以通过控制或阻止使用未经批准的应用程序，来帮助减少使用未经授权的云端服务（一种称为“影子 IT”的情况）。
第三方和承包商加入：Zero Trust 可以快速将受限的最低权限访问扩展到外部各方，这些外部各方通常使用不受内部 IT 团队管理的计算机。
新员工快速加入：Zero Trust 网络还可以促进新内部用户的快速加入，这一点非常适合快速发展的组织。相反，VPN 可能需要增加更多容量才能容纳大量新用户。
有哪些主要的 Zero Trust 最佳实践？
- 监测网络流量和连网设备：监测对于验证用户和计算机至关重要。
- 保持设备更新：需要尽快修补漏洞。Zero Trust 网络应当能够限制对易受攻击设备的访问（监控和验证是关键的另一个原因）。
- 为组织中的每个人应用最低权限原则：从高管到 IT 团队，每个人都只应拥有他们所需的最少访问权限。如果最终用户帐户遭到入侵，这可以最大限度地减少损失。
- 对网络进行分区：将网络分成更小的块有助于确保在漏洞传播之前及早进行遏制。微分段是实现此目的的有效方法。
- 就像网络边界不存在一样行事：除非网络是完全实体隔离的（很少见），否则它接触互联网或云的点可能过多而无法消除。
- 使用安全密钥来实现 MFA ：基于硬件的安全令牌显然比通过短信或电子邮件发送的一次性密码 (OTP) 等软令牌更安全。
- 合并威胁情报：由于攻击者不断更新和改进他们的策略，订阅最新的威胁情报数据源对于在威胁传播之前识别威胁至关重要。
- 避免促使最终用户规避安全措施：正如过于严格的密码要求会促使用户一遍又一遍地重复使用相同的密码一样，强制用户每小时通过多种身份因素重新进行一次身份验证可能会过于频繁，甚至会降低安全性。始终将最终用户的需求牢记在心。
如何实施 Zero Trust 安全？
Zero Trust 听起来可能很复杂，但如果与适当的技术合作伙伴合作，采用这种安全模型可能相对简单。例如，Cloudflare One 是一个 SASE 平台，它将网络服务与内置的 Zero Trust 方法相结合，保护用户和设备访问。通过 Cloudflare One，客户可以自动为其所有资产和数据实施 Zero Trust 保护。
常见问题解答
Zero Trust 安全背后的核心理念是什么？
Zero Trust 基于“永不信任，始终验证”的原则。与信任网络内部任何人的传统安全措施不同，Zero Trust 假设网络边界内部和外部都存在威胁。因此，每个人和设备无论身在何处或连接状态如何，都必须经过严格的身份验证才能访问资源。
Zero Trust 与“城堡与护城河”安全模型有何不同？
在“城堡与护城河”模式中，组织专注于防御网络边界。一旦某人处于“城堡”（网络或 VPN）内，就默认受到信任，并且通常可以自由行动。Zero Trust 消除了这种默认的信任，要求持续验证每个请求，并确保获得网络访问权不会自动授予对网络中所有内容的访问权限。
什么是最低权限访问？
最低权限访问是指仅授予用户执行其特定工作所需的最低访问级别。通过遵循最小必要权限原则来限制权限，若在某个用户帐户遭入侵时，企业可最大限度减少敏感数据的暴露范围。
微分段如何帮助遏制安全入侵？
微分段是指将网络划分成小的、孤立的安全区域的做法。由于每个区域都需要单独授权，因此，设法闯入一个区域的攻击者将无法横向移动到其他区域。这样可以隔离威胁，限制违规行为的潜在损害。
为什么多因素身份验证 (MFA) 对 Zero Trust 至关重要？
多重身份验证 (MFA) 要求用户提供至少两个不同的证据来证明自己的身份，例如密码加上发送到移动设备或物理安全密钥的代码。这增加了关键的保护层，因为仅仅知道用户的密码已不再足以让攻击者获得访问权限。
与 VPN 相比，Zero Trust 能否改善远程员工的体验？
VPN 经常造成性能瓶颈并授予广泛的网络访问权限而可能存在风险，而 Zero Trust 则提供对特定应用的安全、直接连接。这种方法支持从任何位置远程工作，而不会影响安全性或降低生产力。
Zero Trust 如何应对 IoT 设备相关风险？
众所周知，物联网 (IoT) 设备很难保护和修补。Zero Trust 通过持续监控和验证网络上的每一台设备来缓解这种风险。如果发现一个 IoT 设备有漏洞或遭到破坏，Zero Trust 模型可以自动限制其访问，防止其被用作攻击的入口点。
什么是 Zero Trust 网络访问 (ZTNA)？
ZTNA 是用于实施 Zero Trust 架构的主要技术。其运作原理是隐藏内部基础设施，在用户的设备和他们有权使用的特定资源之间建立安全的、一对一的加密连接，而不是连接到整个专用网络。