前情提要

　　零信任架构提供了一种越来越流行的方法，可以在混合云、灵活工作和持续威胁行为者的世界中最大限度地减少网络风险。

　　未来，使用数字技术来支持更灵活的工作实践将越来越流行。尽管Twitter 和Facebook等科技巨头通过向一些员工承诺他们可以永远在家工作而成为头条新闻，但对于大多数雇主来说，现实可能更加平淡。超过 60% 的企业 计划支持混合工作场所，这将涉及员工一周的部分时间在家和几天在办公室。然而，这也将带来新的网络风险。

具体内容

　　好消息是，零信任模型就是为此而构建的。一项新的总统行政命令 已授权美国联邦政府机构使用它，因而作为一种日益流行的方法，以最大限度地减少混合云、远程工作和持续威胁行为者世界中的网络风险 。

　　保护混合工作场所的挑战

　　当今的 CISO 承受着巨大的压力，需要保护敏感的 IP 和客户数据免遭盗窃，保护关键业务系统免遭服务中断。尽管安全支出不断增加，但漏洞仍在继续升级。如今，数据泄露的成本平均为每起事件近 390 万美元，组织通常需要数百天的时间才能发现并遏制这些攻击。

　　大规模远程工作的出现，以及现在的混合工作场所，为威胁参与者提供了更多优势。单位组织面临来自多个方面的风险，包括：

　　分心的家庭工作者更有可能点击网络钓鱼链接

　　远程工作人员使用可能不安全的个人笔记本电脑和移动设备、网络和智能家居设备

　　在家庭系统上运行的易受攻击的 VPN 和其他未打补丁的软件

　　配置不当的 RDP 端点，很容易被先前泄露或易于破解的密码劫持。ESET 报告称 ，2020 年第三季度 RDP 攻击增加了 140%

　　访问控制较弱的云服务（密码不好且没有多因素身份验证）

　　为什么是零信任

　　2009 年，Forrester 开发了一种新的信息安全模型，称为零信任模型，已获得广泛接受和采用。它是为这样一个世界而设计的，在这个世界中，将所有安全资源放置在外围，信任其中的所有内容的旧确定性不再相关。由于分布式工作和云无处不在，这就是我们今天生活的世界。

　　相反，零信任建立在“永不信任，始终验证”的口号之上，以帮助减少违规的影响。在实践中，存在三个基本原则：

　　这应该包括家庭网络、公共 Wi-Fi 网络（例如，在机场和咖啡店中）甚至内部部署的公司网络。威胁行为者太坚定了，我们无法假设还有任何安全空间。

　　如果所有网络都不受信任，那么用户也必须如此。毕竟，您不能保证帐户没有被劫持，或者用户不是恶意的内部人员。这意味着授予员工足够的权限来完成工作，然后定期审核访问权限并删除任何不再合适的权限。

　　每天我们都会听到有关新安全漏洞的消息。通过保持警惕的心态，组织将保持警惕，并以灵活的零信任心态继续改善防御。违规是不可避免的——这是为了减少它们的影响。

　　零信任是如何演变的

　　当零信任于 2009 年首次创建时，它是一个非常以网络为中心的模型。多年来，它已经发展成为一个完整的生态系统。其核心是必须保护的关键数据或业务流程。围绕这四个关键要素：可以访问数据的人员、存储数据的设备、数据流经的网络以及处理数据的工作负载。

　　现在 Forrester 添加了另一个关键层：自动化和编排以及可见性和分析。这些集成了支持零信任所需的所有纵深防御控制。

　　在这个新的迭代中，零信任是帮助降低混合工作场所风险的完美方式——在这种环境中，边界是流动的，必须不断验证分布式工作人员的身份，并且网络被分割以减少威胁传播的可能性。在大流行的过程中也很明显，在许多情况下，VPN 无法支持大量远程工作人员——无论是在入站流量还是在补丁的出站部署方面。如果没有修补和保护不足，它们本身也越来越成为目标。零信任是更好的长期选择。

　　如何开始使用零信任 ？

　　最新数据表明，近四分之三 （72%） 的组织正在计划 （42%） 或已经推出 （30%） 零信任。

　　事实上，您可能已经在使用许多入门所需的工具和技术。这些包括以下内容：

　　人员： 基于角色的访问控制、多因素身份验证、帐户隔离。

　　工作负载： 大多数云提供商都在此处内置控件。组织应该使用这些来减少对不同工作负载的访问。并执行良好的政策。

　　设备： 资产管理将帮助您了解您拥有什么。然后使用端点检测和响应 （EDR）、基于主机的防火墙等来保护这些资产并防止横向移动。

　　网络： 微分段是这里的关键。将路由器和交换机等网络设备与访问控制列表 （ACL） 结合使用，以限制可以与网络不同部分进行通信的人员和内容。漏洞管理也很重要。

　　数据：对您的数据进行分类，然后对静态和传输中最敏感的类型应用加密。文件完整性监控和数据丢失预防也有助于保护数据。

　　最后，它是关于在顶部添加安全编排和自动化以及数据分析功能。这带来了安全运营团队有效完成工作所需的态势感知能力。