零信任的困境 理想VS現實
發布時間 2021-07-19前言：
零信任的出現將網絡防御范圍從廣泛的網絡邊界轉移到單個或小組資源，同時它也代表新一代的網絡安全防護理念，打破默認的“信任”，秉持“持續驗證，永不信任”原則，即默認不信任網絡內外的任何人、設備和系統，基于身份認證和授權，重新構建訪問控制的信任基礎，確保身份可信、設備可信、應用可信和鏈路可信。本文旨在通過介紹啟明星辰零信任架構如何妙手回春解決困擾傳統安全用戶的諸多“心病”，幫助您對零信任這一安全理念有更為全面地了解。
零信任是一種安全體系架構，它打破了傳統的認證即信任、邊界防護、靜態訪問控制、以網絡為中心等防護思路，建立起一套以身份為中心，以識別、持續認證、動態訪問控制、授權、審計以及監測為鏈條，以最小化實時授權為核心，以多維信任算法為基礎，認證達末端的動態安全架構。
零信任安全體系建設的遠大愿景：
1、依托IAM技術、終端環境感知技術，重構企業身份體系和身份策略，推動網絡人員身份的可信任；
2、改變傳統的認證方式，構建先認證后連接和持續認證機制，提升網絡的防護能力；
3、結合終端、EDR、業務行為、網絡態勢等因素，建立持續信任評估機制和模型，支撐動態自適應訪問控制權限管理，保護業務和數據的安全性；
4、支撐遠程辦公、大數據中心、云安全平臺等多種場景的安全防護。
然而，零信任安全體系的落地之旅，不僅僅是簡單的產品部署，它是一項復雜的工程，涉及組織管理、技術、成本等多項因素，在實際落地過程中存在著技術層面、管理層面、投入與落地周期等困境。
技術層面困境
身份管理
零信任的基礎是以身份為中心，需要以IAM為基礎建立用戶業務系統身份管理機制。部分用戶的身份管理基礎薄弱，各業務系統獨立的身份系統，分散在系統中的身份數據異構體難以形成統一管理，使得零信任在企業身份管理部署期間，需要優先考慮IAM建設，逐步形成多因素的身份管理策略。
權限管理
基于角色的授權RBAC是當前企業業務系統主要的授權模型，權限管理分散，零信任采用ABAC授權模型，需要對當前用戶權限進行整合改造，改造調整涉及眾多的業務系統，難度比較大。
動態授權和持續信任是零信任的核心之一，需要在權限統一管理基礎上建立持續信任評估機制，而參與信任評估的因素的多少決定信任評估結果的準確率，信任評估模型作為零信任的核心，需要根據不同網絡構建不同的評估模型，準確精準度要求高，當前持續信任缺乏統一的落地。目前缺乏統一的信任評估機制標準體系指標，動態授權落地難。
產品、體系融合
零信任是一個安全體系，涉及終端環境感知、IAM、EDR、UEBA等多種安全產品，在用戶實際環境中可能用戶已經具備態勢感知、終端環境感知等相關的安全產品，零信任系統需要同這些系統進行對接融合，融合難度大。
等保2.0中明確系統安全保護環境是區分安全區域邊界的，與零信任的不再以一個清晰的邊界來劃分信任的觀點是存在矛盾點的。但零信任的本質概念上，除了不再區分清晰的邊界，其實還有另一個層面，就是信任網絡或是信任訪問的概念，所以零信任在我國企業網絡環境中的落地，存在基于等保防護思路和零信任技術體系的融合。
管理層面困境
零信任致力于打造一個安全可信任的網絡環境，會很大程度上改變用戶現在已有的網絡訪問方式，從推廣力度上存在一定的難度。作為一種新的技術體系，傳統的管理要求、管理制度已經不適用于新的技術配套要求，需要對現有的管理要求、管理制度、管理組織進行調整，驅動零信任體系建設、維護工作。
投入和落地周期困境
零信任在Google Beyond Corp實施落地用了7年時間，落地周期長，成本消耗高。零信任本身屬于一個安全建設體系，不是一個產品或是一個平臺，涉及IAM、終端管理、EDR、態勢感知、行為分析等多種技術手段，投資高，建設周期長。所以，零信任建設需要根據不同企業梳理現有的網絡環境以及零信任建設程度，分步融合現有環境逐步實施。
完整的零信任是一個理想的愿景，用戶在構建零信任網絡之前，首先需要確定實現范圍，成熟度較高的零信任網絡包含許多交互的子系統。
最開始構建零信任網絡時，不需要滿足全部需求，而應當在實現過程中逐步完善，部分用戶應避免陷入到“最初構建零信任體系對現有安全體系的改變很小，而誤認為只需用極小的成本，極少的調整便可一勞永逸地實現零信任安全架構，從而摒棄對零信任架構持續建設和完善”的誤區。
京公網安備11010802024551號