如何实施零信任的云安全

2020-12-29 18:53山东赵长林郭晓昆

■ 山东赵长林郭晓昆

编者按：云环境和工作任务的性质正在发生改变，因而安全团队的方法也必须与时俱进。本文将介绍如何实施零信任的云安全。

安全专家们必须重新思考实现网络安全和对应用及其它工作任务进行访问控制的方法，尤其是在涉及到云时，这个问题尤其重要。

自从零信任近年来被人们所重视，许多安全专业人员已经开始在安全项目中利用了零信任的原则。零信任的目标是改变当前的网络安全方法，它主要引入了如下三方面：

首先，将整个环境看作是潜在不受信任的，或是遭到损害的，并与所谓的外部攻击手段带来的破坏形成对比。破坏力最强的攻击场景几乎越来越多地都来自内部，并且往往是由高级恶意软件和损坏终端用户的钓鱼攻击造成的。

其次，更好地理解端点上的应用程序行为。这要准确理解哪些得到许可的应用程序的网络通信可以被传输。

第三，环境中的所有部分，都要从总体上专注信任关系和系统到系统的关系。安全团队今天在企业网络中所看到的大量通信可能完全没有必要，或者与系统不相关，或者与业务所需要的应用无关。

保持云安全的新障碍

很多传统的控制并不能够完成安全目标。高度虚拟化和聚合的工作任务，以及拥有动态属性的公有云等，都使问题变得更复杂。云端的工作任务经常要在本地和外部的云服务环境之间迁移，或者在一家云服务供应商环境的不同部分之间迁移。

工作任务的性质也正在发生改变。例如，将工作任务上传到公有云而不对其进行修改，几乎是不可能的。有些企业已经要求实施新的访问控制的零信任，从而更好地适应动态的云部署模式。

到底什么是零信任？零信任是一种模式，它将IT运营环境中的所有资产都默认看作是不被信任的，除非网络通信和应用或服务行为被验证和得到许可。零信任的概念在早期主要是对网络访问的位置和主机进行分段，并保障其安全。

如今，它已经更多地集成到独立服务器和工作任务中，用以检查应用程序组件、二进制文件和应用架构中通信系统的行为。零信任的方法并不涉及到清除边界。相反，在云的应用和部署中，这种模式使用网络和应用层的微分段，从而尽可能地将边界迁移到内部，尽最大可能靠近特权应用（包括移动应用）和受保护的范围。

为实施零信任的云安全，信息安全和运营团队需要关注两个关键概念。

首先，安全需要集成到工作任务中，既要在实例中存在，又要在不断变化的云环境进行更新时保持访问控制。

通过创建一个策略强化层，不管工作任务运行到何地，企业都可以更好地保护数据而不管数据实例在何处运行。在某些方面，这就将安全策略和访问交还给个别实例，这与将其置于网络内部相反。然而，公有云和混合云的架构设计并不能轻易地适应传统的网络分段模式。

其次，企业需要更好地理解运行在每个系统上的应用和服务的真实行为。

与以往相比，系统和应用之间的关系要求企业进行更为严格的审查，目的是为了有助于一种高度受到限制的零信任的运营模式，从而不至于影响网络连接。在固定的网络强化点的背后，虚拟实例和容器等动态资产都难以进行定位。

企业可以采用一种零信任的微分段策略，允许通信在许可的系统和连接之间流动，而不管其所处的环境如何。这几乎就是要求一种网络策略和身份策略相结合，从而定义允许通信和行为的方法。

不管环境如何，零信任的微分段可以防止攻击者使用未经许可的连接从受攻击的应用进入系统。

从本质上说，零信任有助于构建密切关系策略，其中的系统拥有密切的相互关系、经许可的应用和通信。任何通信企图都要被评估，并且与这些策略进行比对，从而决定是否允许这些行为。

上述动作是持续发生的。有效的零信任控制技术还要包括一些机器学习功能，对企图发生的行为执行分析和处理。这种技术随着时间的推移，能够动态地适应工作任务和应用环境的变化。

在部署零信任的工具和控制时，企业不妨关注如下最佳方法：

首先，可以从被动的应用程序发现开始，这往往与网络通信的监视一起实施。可以考虑用几周的时间发现已有的要素关系，并与那些理解正常流量模式和正常的系统通信的利益关系人进行协作。在确认了应当部署的正确关系后，应当实施强化策略，此措施要与应用程序的行为分析一起进行。

其次，不妨根据数据如何在网络之间进行移动、用户和应用如何访问敏感信息等方面设计零信任架构。此步骤有助于决定如何网络分段，还有助于安全团队确定应当将保护和访问控制安置在不同网络分段边界的什么地方。

第三，更高级的零信任工具往往与资产身份集成在一起，后者有可能是一个应用架构的一部分，并与某个业务部门、组或是一个具体系统类型的代表保持一致。因而，安全团队不妨花点时间对系统和应用进行分类，这将有助于构建应用通信的基准和行为。

信息安全专家们拥有很多本地云工具，如云应用安全工具。此外，一些第三方的厂商现在也提供可以通过网络、基于代理或是通过身份控制而隔离网络和云应用的产品和服务。