给IT与安全管理者安利的零信任安全指南

云和SaaS的蔓延

根据中国信息通信研究院的云计算发展调查报告，2019年我国已经应用云计算的企业占比达到66.1%，较2018年上升了7.5%。其中，采用公有云的企业占比41.6%，同比提高了5.2%;私有云占比为14.7%，同比小幅提升;有9.8%的企业采用了混合云，同比提高了1.7%。2019年，公有云SaaS市场规模达194.8亿元，同比增长34.2%。云计算和SaaS的兴起，使企业获得了前所未有的大量IT资源，这是前所未有的。这可以极大地提高企业的生产力，但它也在企业防火墙之外引入了新的IT安全挑战。企业机构平均可使用超过1,000个云应用程序，而且这个数字还在增长。

影子（隐形）IT

企业IT部门不再能控制他们的IT环境。业务职能部门正在选择采购和使用许多SaaS应用程序，而不需要IT部门的知识或许可。这种现象，也被称为影子（或隐形）IT，正在大大增加数据泄露和安全事件的风险。企业IT部门别无选择，只能通过成为业务的推动者，而不是抑制者来适应业务发展。

基于网络的安全架构的迅速过时

由于移动办公的兴起和云端应用的快速增长，目前基于网络的安全架构已不再足够。一旦安全边界通过各种形式的网络攻击（如网络钓鱼、恶意软件或泄露的密码）被攻破，威胁者就可以在其他安全层和系统中自由移动，数据就会被破坏。

网络犯罪呈上升趋势

到2021年，网络犯罪的损害成本将达到每年6万亿美元，预计这将是有史以来最大的经济财富转移。网络犯罪分子也在针对更多的人。估计到2022年将有60亿人成为互联网用户，比2017年的38亿人有所增加。黑客们继续利用一切可能的手段入侵系统和数据，包括关键的SaaS应用程序，如人力资源信息系统、ERP、CRM、生产力套件和数据库。

微服务的普及

在过去的几年里，微服务已经获得了巨大的普及。随着Netflix和AWS的成功，越来越多的公司开始将其核心业务作为微服务提供，以扩大其客户和收入基础。这意味着新老公司都必须找到一种安全和无缝的方式，将这些服务暴露给他们的客户和合作伙伴。这些微服务中有许多是通过公开支持的API作为SaaS产品提供的。公司可以简单地订阅这些服务，而不是从头开始构建它们。(例如，Uber使用Twilio的通信服务来发送和接收信息，或者米高梅使用Okta（国内对标产品有 OneAuth）的身份和访问管理（IAM）服务来管理各种米高梅资产的无缝客户访问和体验）。

那么，企业IT/安全部门如何应对呢？
你可能会问，公司是如何解决这些所带来的挑战和机遇的混合体的。虽然我们处于创新的早期阶段，但有一些行之有效的方法来实现更高的成熟度，以管理云中蔓延的应用程序。
主动的网络防御建设是必须的。公司必须积极主动地制定战略、计划和执行网络防护战略。他们必须继续投资于网络安全工具和技术，了解更多网络安全专业知识，并从人力资源层面增加网络安全人才。往往这意味着重新审视你的网络防御战略并建立新的安全架构。
公司需要投资于一个新的安全架构。新的安全架构必须是灵活的，以适应移动员工在任何地方、任何时间使用多种类型的设备访问云端或内部的越来越多的应用程序。用户、设备、数据、应用和网络等各种因素都包括在新安全架构的范围内。
该解决方案必须是安全和无缝的。尽管存在安全威胁，公司必须找到一个安全和无缝的解决方案，以提高他们的客户体验，提高员工的生产力和易用性，并简化与合作伙伴的合作过程。

零信任

世界正在迅速变化。应用程序逐渐转移到云端，用户可以在任何地方、任何时间通过多种设备访问它们。尽管如此，企业确保应用程序访问安全的方式在很大程度上仍然没有改变——仍然依赖于企业传统网络安全设施的支持。
公司必须确保在他们踏上云计算转型之路时应用程序保持安全。要做到这一点，他们应该重新处理安全问题，并积极考虑采用零信任的安全模式。
构建和实施一个新的安全框架的最佳方式是以 "无信任但核实 "的模式开始。换句话说，任何用户或机器提出的每一个服务请求都要经过适当的验证、授权，并进行端到端的加密。这个模式早在2010年就被Forrester公司推广为 “零信任”，也被谷歌公司采用为 “BeyondCorp”。受此启发，各公司已经开始探索这一模式，许多大型公司已经在实施这一模式的路上。采用该模式是一个自己的旅程，需要仔细的战略、战术和运营规划。
实施零信任安全模式。换句话说，任何用户或机器提出的每一个服务请求都要经过适当的认证、授权，并进行端到端的加密。这里有一些需要牢记的注意事项。

推广 "零信任"时要考虑的关键因素

核心目标："零信任 "安全模式的主要目标是防止内部数据外泄。
零信任重新定义了身份。为了防止数据泄露，每一个服务请求都必须经过适当的认证、授权，并进行端到端的加密。该模型必须考虑到用户的企业身份，它是用户加上在某个时间点用于请求服务的设备的组合。
认证和授权作为一种服务必须基于动态因素。例如，你应该根据行为模式创建你的访问策略框架，而这些行为模式在不同的公司会有所不同。不同的公司与职位会有不同的行为模式。在提供认证和授权即服务时需要考虑的因素有：组成员、角色、设备状态、地理位置和基于时间的控制、规则粒度、授予/拒绝访问的时间，以及实现灵活控制的可配置政策。敏捷架构要求将认证和授权服务逻辑（包括身份治理）与核心应用脱钩，这样就可以支持动态和不断变化的安全要求。这一趋势将持续下去。
使用集中的访问控制模型，以获得对用户活动的更多可见性。有了统一网关，你可以用它来监测、跟踪和解决任何安全问题，提供更好的账户安全控制。
从你的网络中消除信任。这种方法要消除静态凭证，而静态凭证是最常见的漏洞来源。想象一下一个没有密码的世界。
强制执行最小权限访问。每个模块，无论是进程、用户还是程序，都必须能够只访问其合法目的所需的信息和资源。
使用自动化系统和精简流程。避免人工处理引入安全事故。如同DevOps理念，软件必须更快和最有效地交付，使得业务降本增效。
盘点所有用户的设备和凭证。验证设备与验证用户同样重要。准备并了解企业当前的安全架构。寻找差距和漏洞的来源。
进行数据分析。你必须能够对收集到的所有数据（例如，设备、凭证和你的安全架构的当前状态）进行理解以洞察出风险态势与敞口。
理解并记录行为模式。每个公司的运作方式不同，因此，内部的流程可能不同，他们的用户行为（包括内部和外部的）也会不同。解决方案的一个重要部分是理解和实施考虑到这些行为模式的安全和访问策略。
为你的安全策略体系打下基础。思考哪些因素将构成你的策略体系的基础，以及你的策略规则需要的颗粒度。你的用户可以和不可以做什么？构成你的策略规则应该容易理解，策略必须是可配置的，以实现自定义控制。

实施有效的零信任模式关键步骤
使用集中的访问控制模式。这依赖于基于角色的访问控制的核心原则，使用身份和访问管理（IAM）和权限访问管理（PAM）产品进行角色定义和治理。
对敏感数据、系统和应用程序实施严格的访问控制。只允许访问用户完成其工作所必需的资产。
使用基于上下文的认证。也被称为自适应访问，利用因素可以是设备、证书、密钥、登录时间、地理位置等的组合。
文档化并理解当前的安全架构。发现漏洞和风险敞口，并制定你未来的安全架构，以封堵这些漏洞和风险敞口。
利用用户和实体行为分析（UEBA）来寻找和警告特定用户、系统或设备的异常行为，并要求加强认证措施。
监控网络。检查和记录流量，并及时更新UEBA规则。
实时补救和执行。获取用户活动的可见性，应用基于规则的动态访问控制，实时补救问题，并通过一次性或批量行动执行这些政策。