零信任是一种网络安全模式，而不是一种技术或控制。零信任将最小特权原则提升到新的水平，它增加新限制，以控制用户访问资源的方式。

零信任一词本身不是很恰当。信任是持续行为。因此，零信任意味着从“相信一切”转向“什么都不相信”，根据风险和信任验证措施的可用性，以限制访问权限。

简而言之，零信任安全模型假设网络边界内外都存在主动威胁，现场和远程用户都需要满足严格的身份验证和授权要求，才能访问数据和资源。

零信任措施必须在安全性和可用性之间取得合理的平衡。在零信任的情况下，攻击不太可能发生，即使发生，攻击者也将花费更多的时间和精力。安全团队还可更快地发现攻击，减少其影响。

下面让我们来看看如何在你的企业中部署零信任。

零信任部署的分步指南

按照以下这些步骤来部署有效的零信任策略。

1. 组建专门的零信任团队

组建专门的小团队部署零信任迁移。确定关键人员来规划和设计零信任战略。让该团队了解零信任原则，以及如何通过架构更改、网络安全技术和政策来实现部署。

考虑招聘的团队成员应该具有多个安全领域专业知识，包括应用程序、数据、网络、基础设施和设备安全。

2. 资产清单

这一步有助于定义企业的攻击面及其潜在风险。这可列出企业需要保护的每项资产，并帮助根据风险级别确定更新或更改的优先级。

首先，盘点所有网络安全资产，包括数据、设备、服务、应用程序、系统和网络。尽可能全面和保持最新。资产清单应包括每项资产的以下详细信息：

• 资产重要性排名。
• 确定其地理位置和所有者。
• 指定谁和/或什么应该能够访问它。
• 确定访问的重要性或敏感性，例如，发起大额银行转账与提交费用报告。

此外，开始识别任何潜在的零信任部件。检查现有的网络安全技术采购计划，看看未来几个月或几年将要部署的技术是否可以成为零信任战略的一部分。

3. 执行差距分析

针对零信任，确定你的业务目标。执行差距分析，以确定公司今天所处的位置及其想要实现的目标。关键是根据风险水平来限制访问权限，同时保持技术可用。对每个企业来说，零信任都是不同的。差距分析应包括威胁建模等技术，这些技术可以识别零信任可缓解的问题。

4. 选择零信任部署方法

对于部署零信任，没有万能的方法。零信任是基于每家企业独有的技术、流程和控制。

NIST定义了四种常见的零信任架构方法：

1. 增强身份治理。这种方法以用户和实体身份为中心。它允许基于身份和所分配的属性来设置访问权限，并利用身份和访问管理、凭据管理、MFA、生物识别、联合身份、身份治理、端点安全、SIEM和安全分析等技术。
2. 软件定义外围。这种方法使用网络基础设施来实现零信任。它涉及叠加网络，并使用代理和网关在客户端和资源之间建立安全的通信通道。
3. 微分段。这种方法会分隔单个资产或资产组，在受网关安全组件保护的网络段上。它使用智能交换机、路由器、下一代防火墙（NGFW）或网关等基础设施。它还可能涉及基于主机的微分段，利用端点资产的软件代理或防火墙。它还需要一个身份治理计划。
4. 安全访问服务边缘。SASE方法使用SD-WAN、安全网络网关、云访问安全代理、NGFW和零信任网络访问，为分支机构、远程工作者和本地网络创建零信任架构。

5. 规划零信任部署

预计全面部署至少需要几年时间。你的企业可能已经部署某些组件，并且可以重新配置其他组件以支持零信任，但几乎每个企业都需要获取新的企业级网络安全技术。

这涉及产品评估、采购和部署，所有这些都可能需要一年或更长时间。在这种情况下，企业可以重新利用已部署的组件和流程，以支持零信任。

零信任部署规划应包括以下内容：

• 零信任的基础要素。包括用户身份证明、设备身份、凭据、身份验证方法、访问控制和访问管理技术以及网络架构，例如，增加分段、远程访问。
• 扩展支持技术。确保事件记录、监控和分析等技术能够支持该部署。零信任可能会增加这些技术的负担。
• 制定零信任策略。默认拒绝一切，只允许明确允许的。部署动态风险评估措施，例如在高风险情况下要求更严格和/或更频繁的身份验证。
• 适应传统技术。企业某些部门可能会使用无法完全支持零信任的传统技术。确定这些系统可以提供哪方面的零信任，并决定零信任是否可部署在传统技术之外以保护它。例如，使用网络分段来尽量减少对传统设备的访问。

6. 逐步实施零信任计划

部署零信任可能看起来很难，但好消息是，企业可以在一段时间内逐步完成部署，逐步部署小变更，而不是一次进行很多变化。优先考虑为用户提供快速胜利的变更，例如提高可用性的单点登录（SSO）技术。应专注于变更，尤其是后台的变更，这是进行其他修改的先决条件。

在部署更改之前评估对可用性的影响。在广泛部署与零信任相关的调整之前，先进行可用性测试，并考虑用户的反馈。如果正式的可用性测试不可行，请考虑让部分技术人员作为早期部署者。然后，在更广泛的部署之前，收集并解决他们的意见。

在部署期间的关键点审查零信任计划，以确定该计划是否需要任何更新。也许现有的安全控制最近增加了零信任支持，从而不需要添加具有相同功能的单独产品或服务。

7. 维护零信任部署

请记住，部署零信任策略不是一次性活动。作为一个框架，随着时间的推移维持零信任至关重要。

在学习如何部署零信任模型时，请记住，随着网络资产和使用情况的变化，其政策将需要更新。监控和维护现有资产，以确保它们继续支持零信任计划，并确保任何新资产都包含在战略中。

零信任部署示例

云服务提供商Akamai Technologies在2009年极光行动网络攻击中遭受数据泄露后，他们开始探索零信任。

前Akamai公司首席安全官Andy Ellis说：“当时并没有路线图可以遵循。我们只是说，’我们需要弄清楚如何更好地保护我们的企业网络和用户。’”

Akamai公司最初旨在使用微分段限制企业网络内的横向移动。然而，这带来了挑战，因为允许相互通信的应用程序之间经常发生横向移动。

Ellis称：“当你的备份服务器可以与所有内容对话时，微分段真的很困难。这就是容易遭受攻击的地方。”

首先，Akamai团队专注于保护域管理员的帐户，开发身份验证协议，并要求为每个额外的访问级别设置单独的密码。他们还探索了使用X.509证书来逐个设备启用硬件身份验证。

Ellis指出：“但我们仍然在考虑网络方面。”然后，其团队取得了突破。“我们意识到这不是关于网络；而是关于应用程序。”

他们希望找到一种方法，让员工从该公司的内容交付网络（CDN）上的登录点安全地访问内部应用程序，从而将最终用户设备完全放在企业网络之外。Ellis的团队在防火墙上开了一个洞，并开始一次手动集成一个应用程序，这是一个缓慢而乏味的过程。Ellis指出：“我们的系统管理员变得非常暴躁。”

但是，在该项目进行到一半时，该公司发现了一家名为Soha Systems的小公司，这家公司启用了一种替代访问模式：在Akamai的防火墙和应用程序服务器之间丢下虚拟机，将一边的应用程序与另一端基于CDN的SSO服务连接起来。Ellis和他的团队发现，Soha连接器通过不需要VPN的浏览器，在逐个用户和逐个应用程序的基础上，为员工和第三方承包商支持基于角色的精细访问。如果黑客设法利用员工的凭据，理论上他们只会看到特定工人有权使用的有限应用程序和服务。

Akamai部署了Soha的技术，最终收购了该公司，并将该技术纳入其企业应用程序访问服务，使客户能够在构建自己的零信任环境时逐步卸载VPN流量。

Ellis表示：“你不必一次性完成这一切，”他指出，这些年来，Akamai的零信任之旅一直在开展。“这是一步一步的过程。当你完成时，你将改变你的整个企业。”