如何克服实现零信任架构面临的挑战？

伴随数字化转型与互联网的发展，数据的流存节点和区域变得繁杂，网络边界加速模糊，网络攻击的数量和复杂性持续加剧，数据安全风险不断攀升。迫切需要改变原有防御理念和架构，搭建更可靠、更高效、更便捷的安全体系，零信任安全架构应运而生。
 
2010年，“零信任模型”首次被提出，零信任网络模型打破了旧式边界防护思维，通过多因素身份认证、身份与访问管理、加密、安全评级等技术手段，微隔离、细粒度访问控制规则，以及终端安全状态评估等其他数据条件，实施其“无法证明可被信任即无法获得权限”的安全理念。



它重新定义了组织的 IT 安全边界，零信任架构的首要原则是什么都不信任，什么都验证。组织的所有组成部分：用户、设备、应用程序、数据和软件，无论是在本地还是在云端，都必须得到验证、跟踪和保护。 通过反复的验证，组织可以极大的减轻恶意行为者用来窃取数据、泄露密码或执行可能在企业环境中带来灾难性影响的其他任务的攻击媒介。
 
因此，转向零信任架构越来越受到各类企业和政府组织机构的欢迎，美国政府官方还发布了采用零信任以改善国家网络安全的行政命令。但事实上，组织通往零信任的道路仍然存在一些不可避免的挑战。
 
实施零信任架构在当前安全环境中面临多项挑战
 
在过去几年中，疫情的蔓延让混合办公和远程办公的模式深入人心，但这种远程工作文化也成为了实施零信任安全模型的重大障碍。远程访问的员工越多，传统基于边界的安全防护方式就越发不安全。此外，随着远程工作文化越来越普遍，越来越多的员工使用未知设备、应用程序、公共 Wi-Fi、路由器和 VPN 服务，陌生来源的访问量远超以往的任何时候。并且，使用许多在可以访问敏感业务数据的设备上运行的不受信任的应用程序同样是一个重大的安全风险。
 
此外，新兴技术与传统技术之间的拉锯战对组织采用零信任架构的计划也构成了另一个重大障碍。许多陈旧的设备和系统无法通过管理动态规则来实现零信任安全模型。此外，一些传统设备也不能很好地与在验证授权访问时限制未授权访问所需的现代方法或技术一起使用。
 
一项基本的零信任原则是映射组织的关键数据、应用程序、设备以及用户如何访问敏感信息并与之交互。然而，组织普遍面临的挑战是满足零信任架构的以数据为中心的需求，并将其部署到传统的数据孤岛中。
 
设计适合自身业务模型零信任安全架构之路
 
因此，显而易见实现零信任安全架构不是一蹴而就的，随着越来越多的组织支持混合或远程工作文化，执行零信任模型将需要做大量过渡性工作。最好的零信任安全解决方案可以显著帮助提高网络弹性和安全远程访问。这些解决方案不仅限于威胁检测和响应。相反，它还包括端点安全、多因素身份验证 (MFA)、 云安全、身份访问管理等在内的多种方法。 
 
访问管理和分段是至关重要的元素。组织可以考虑将零信任模型应用于应用程序访问。高级零信任网络访问 (ZTNA) 提供对应用程序的轻松访问，无论应用程序位于何处或从何处访问。由于每个网络的结构都不同，因此当应用程序位于不同位置（如 SaaS 或本地）时，应用程序控制具有挑战性。
 
ZTNA 中集成基于防火墙的客户端是克服混合工作文化障碍的另一种方法。ZTNA 模型是从云端自托管、自管理或完全托管的服务，因此应用程序或用户在哪里都无关紧要；它将提供安全的远程访问。因此，有效的零信任安全解决方案必须成为任何综合网络安全战略的一部分。 为了克服陈旧系统问题，组织可以简单地向它们部署 MFA，由于 MFA 是网络安全的主要组成部分，它将改善实施零信任所需的安全态势和威胁响应。
 
为防止遗留数据孤岛问题，组织可以考虑引入微分段设计。这取决于要分割什么、需要什么访问控制以及谁拥有特权访问权和所需保护措施的概念。通过分段，还可以轻松阻止攻击在内部传播，并确保将影响限制在有限的段内。
 
总之，作为一种以身份为中心的业务和架构安全解决方案，虽然零信任架构能够帮助组织免受大部分网络攻击，但组织必须对其环境和现有能力进行零信任评估，并制定实现该目标的路线图，最终选择适合组织当前业务模型的零信任安全解决方案。