不要让勒索软件溜过零信任盲点

高枫

对于首席信息官来说，网络罪犯似乎可以随意攻击，而且太容易得逞。为了应对日益增长的威胁，网络安全专业人士对零信任（Zero Trust）达成了新的共识———这种防御方法基于这样一种理解：网络威胁可以起源于传统网络边界以外或内部的任何地方。因此，不应信任任何用户、设备和流量，并应定期对其进行安全检查和审查。

按照最低权限访问、网络微分段、快速事件检测和响应以及全面安全集成的原则重新设计网络防御，组织可以阻止大多数攻击，并将那些确实通过攻击的影响降到最低。

所以，问题解决了吗？不完全是。虽然零信任毫无疑问代表了一个重要的进步，值得广泛采用，但它不是魔法，也不是万无一失的。事实上，在模型的大多数定义中，都存在一个固有的盲点：假设网络流量完全可见，以确保它不会带来风险。

实际上，Internet上的绝大多数流量都是用SSL或TLS加密的，使得传统安全设备看不到它，也不受零信任策略的影响。

零信任可能会错过什么

作为在线通信的基础，加密一直是数据保护和隐私的福音，但它对安全的影响一直存在。

一方面，加密可以非常有效地防止欺骗、中间人攻击和其他常见的exploit；另一方面，不能监视、过滤或分析看不到的东西，所以任何隐藏在加密网络流量中的勒索软件或恶意软件都不会被安全堆栈检测到。

现在，近一半的恶意软件使用TLS建立連接并与命令和控制服务器通信，一旦恶意软件进入环境，受害者无法跟踪或阻止正在进行的攻击。

当然，安全厂商和许多首席信息官都很清楚SSL和TLS加密对网络安全构成的挑战，因此，SSL和TLS解密已成为许多安全设备的共同特性。

不幸的是，这一过程的移动速度往往和机场安检线一样快，尤其是当有问题的设备没有将加密作为主要功能设计出来，而且缺乏必要的硬件时。对于安全堆栈中的每个元素，这个过程也需要不断重复，每增加一跳就会增加延迟。

这可能会显著降低安全设备的性能，同时增加网络延迟、瓶颈、成本和复杂性。而且，随着每个后续安全组件（DLP、防病毒、防火墙、IPS和IDS等）为自己的目的依次对流量进行解密和重新加密，这种影响会成倍增加。

除了危及业务用户和客户的服务质量之外，跨安全堆栈的分布式、循环解密、检查和重新加密破坏了零信任模型核心的简单性。

通过在多供应商、多设备安全基础设施的多个位置部署私有加密密钥，组织不可避免地扩大了攻击面，在试图降低风险的同时增加了风险。

实现零信任的完全可见性

零信任的前提是合理的。SSL和TLS加密的价值也是如此，我们需要在满足现代业务性能需求的同时，让它们在相同的体系结构中共存。

解决零信任盲点的方法很简单———关键在于简单。与其在逐设备或逐跳的基础上执行解密、检查和重新加密，组织应该集中此功能，并使用单一、专用、高性能的SSL和TLS检查元素来一次性支持整个安全堆栈。

通过这种方式，流量可以被解密一次，由任意数量的单独安全设备串联进行检查，然后在继续进入或离开环境之前重新加密。虽然对性能可能仍有很小的影响，但它只是循环方法复合效果的一小部分，而且为零信任所需的全面可见性付出的代价很小。

当前的网络犯罪浪潮需要CIO和CISO紧急应对。在当今高度分布式的环境、多孔的企业网络和在任何地方工作的劳动力中，零信任提供了一种加强安全性的方法，但前提是它的模型能够在不牺牲服务质量的情况下完全实现。

对全面通信检查的需要，常常迫使组织在安全与性能之间做出不可能的权衡。但是通过采用一种集中的方法来进行SSL和TLS检查，CIO和CISO可以实现对业务需求的保护，以及他们的客户所期望的性能。