实现零信任安全模型的4种方法

张格

根据漏洞情报，漏洞数据和风险评级的全球领先者Risk Based Security的数据显示，2019年有望成为网络犯罪“有史以来很糟糕的一年”。在勒索软件、病毒、特洛伊木马和网络钓鱼事件几乎持续不断的头条新闻中，我们已经看到了这种情况，这对各种规模的企业造成了严重破坏。这些攻击不仅在频率上增加了，而且在收入影响和复杂性上也有所增加。

2019年春天，名为罗宾汉（RobbinHood）的全新勒索软件开创的针对Baltimore数据网络的勒索软件攻击，导致网络宕机造成至少1 820万美元的收入损失。这并没有引起人们的注意。瞻博网络研究发现，网络犯罪已经造成了2万亿美元的损失。该公司估计，到2021年这一数字将达到6万亿美元。

所有这些负面报道已经转化为客户和IT专业人士之间的艰难对话———无论您是自己完成所有工作，还是寻求云服务提供商（CSP）的帮助。事实上，如果您是一名IT开发人员、买方或可能受到网络犯罪影响的人员（基本上是我们所有人），对数据安全性有一个粗略的了解是这项工作必不可少的一部分。否则，就会把自己或公司置于危险之中。

为2020年做准备

解决此问题的第一步就是承认它的存在，这就是许多组织在2020年为应对网络犯罪正在做的事情。我们防范网络犯罪的能力正在提高，因为各组织在安全方面投入了更多的资金，并将其战略重点放在了安全方面。其中一种策略称为“零信任”，它将技术、服务、人员和流程合并到一个包含多层防御的内聚方法中。

由Forrester Research在10年前开发的零信任安全模型可以总结为“从不信任，总是验证”。换句话说，不管是否尝试从组织的网络内部或外部连接到系统或数据，未经验证都不允许访问。零信任是必要的，因为传统的网络安全已经无法保证数据安全不受当今先进威胁的影响。

实现零信任的4种方法

举个例子：如果你从正门进入房子，希望能够进入里面的所有房间，在一个零信任的世界中，就不一定能够实现，事实上，没有进一步的许可，你可能都无法通过入口。

为了达到零信任所需的安全级别，建议依赖4个核心：物理安全、逻辑安全、流程和第三方认证。

物理安全

物理安全仍然是第一层防御。物理数据中心（无论是在本地还是在云中），都是客户数据的中心。因此，它也应该是防范网络盗窃的主要防御手段。应该对您或您CSP管理的所有数据中心给予同等的优先级和关注，并在所有物理资产上应用一致的安全标准。包括主动监控，通过批准的访问列表控制对所有设施的访问，以及安全的环境因素，如电力、冷却和灭火。

逻辑安全

逻辑安全是指技术配置和软件的许多不同层，它们创建了安全稳定的基础。在层方面，逻辑安全应用于网络、存储和程序管理层。您或者您的CSP的位置，应该在每一层中提供尽可能多的安全性。一定要提前咨询您的CSP，以确保逻辑安全性得到了正确的处理。

流程

没有经过培训和有经验的人员，任何安全解决方案（无论是物理的还是逻辑的）都是无效的。如果管理系统的人员不了解如何在为保护各种系统而建立的控制中工作，那么解决方案将失败。简单地说，你不会在一个家庭安全系统上花费过多资金，然后把房子的钥匙从門锁上伸出来。员工背景检查、安全性和遵从性培训、定期访问审查、针对基础设施的年度渗透测试，以及所有系统的定期补丁计划，这些都是实施正确流程的关键。

第三方认证

来自第三方验证的信心不能被夸大。即使是最安全的组织也可以从附加的审查中受益。您或您的CSP应该考虑遵守以下一些框架和标准：HIPAA，HITRUST，SSAE16，ITIL，GDPR，CSA STAR，CJIS等。

未来

仅在2019年，就有无数的“内鬼”利用有效凭证，对公司内部造成巨大损害的例子。与外部安全威胁（勒索软件、恶意软件等）相关的安全风险似乎每天都在增长，您会明白为什么客户在他们的IT组织中追求零信任策略。

进入2020年重要的是要认识到网络犯罪会在数量、影响和复杂性上增加。这并不意味着我们无能为力，却意味着我们需要改变，零信任策略可以帮助解决这个问题。