创建和管理零信任安全框架

传统安全机制假定网络内的身份和设备可以被信任，而零信任安全模型则是基于：默认情况下任何内部或外部用户或设备都不可信任。

这种零信任概念由Forrester Research于2010年首次提出。在谷歌和思科部署零信任概念之后，这种身份验证和授权方法开始逐渐普及。

零信任是身份和访问管理(IAM)中的关键概念，其结构旨在限制黑客对企业网络的访问。

[[281780]]

爱尔兰厄尔斯特大学电气与电子工程师协会(IEEE)高级成员兼网络安全教授Kevin Curran说：“对零信任安全模型的需求之所以出现，部分原因在于企业不再倾向于在内部托管数据，而是通过各种平台和服务来托管数据，这些平台和服务驻留在企业内部和外部，并且大量员工和合作伙伴从不同地理位置通过各种设备来访问应用程序。”

Curran称，简而言之，“传统的安全模型已不再适用”。

在本文中，Curran解释了企业如何开始部署零信任模型，并探讨零信任安全框架相关的挑战。

企业应该如何创建和更新零信任安全框架?

Kevin Curran：为了使零信任安全有效，这里需要新的方法，例如基于用户和位置进行网络分段或微分段。零信任要求部署身份和访问管理、下一代防火墙、业务流程编排、多因素身份验证(MFA)和文件系统权限。

企业可通过以下方式部署零信任安全框架：

• 更新网络安全策略。应定期检查和审核安全策略中是否存在漏洞，并进行测试。
• 验证每个登陆到网络的设备。这通过强大的身份验证机制强制执行，对每个用户采用最小特权原则也很重要。
• 部署网络分段。各种网络、外围和微分段将帮助保护网络。
• 多因素身份验证。在身份验证中，每个用户都必须额外的身份验证步骤。
• 定期检查用户访问权限。这可防止受验证用户中出现授权过期的情况。

零信任安全模型有哪些挑战?

Curran：这种零信任安全框架依赖于强大的管理流程，以保护企业IT环境的安全-这里存在很多挑战，因为在很多情况下，这迫使企业在整个企业中强制部署新流程，而这绝非易事。

另一个挑战是，员工可能不会好心地承担访问计算机的额外负担，以及最低特权原则所强制的降低的访问级别。

这里需要企业改变员工思维定势，特别是对于经验丰富的员工。这里还需要在安全方面进行体制改革，同时需要在技​​术领域付出很多努力，例如推出微分段，这要求重新配置IP数据以确保在日常环境中不会出现中断。这就是从一开始就应该让CISO、CIO和高级管理层参与进来以确保成功的原因。