零信任：众望所归

要想恰当部署零信任技术，企业需要制定明确清晰的战略，专注于采用整体方法保护自己的数据

迁移至云的企业纷纷将目光投向零信任，这一点不足为奇。零信任模型能够设计出完美应对现代威胁态势的网络和系统。该模型基于最小特权的概念，要求将用户的访问权限限制为完成特定任务所需的最低限度。

简而言之，零信任的目标是限制因用户权限和访问权限过多所带来的风险，增强企业的数据安全性，并使用一系列控制措施确保威胁无法在企业基础架构中横向移动。因此，企业零信任架构中必须具备基于用户环境、数据敏感性、应用程序安全性和设备状况的粒度访问策略实施。

正如我之前在其他相关博文中所提及的，零信任这一概念是 Forrester Research 十年前提出的，挑战了现有的基于边界的网络安全模式。零信任认为，除了边界之外，网络内的所有内容也需要被“封闭起来”进行妥善保护，同时强调了边界被入侵后威胁在网络内横向移动的风险。当时，这一概念虽然在理论上很棒，但鉴于可用的安全技术有限，因此很难实现。

然而，在过去的 24 个月里，零信任技术已众望所归。零信任不再是纯理论模式或传统的基于网络的模式，而是充分利用安全领域的创新进展打造了一款实用框架，用于重塑安全架构，可以处理甚至 10 年前尚不存在的用例、IT 架构、合规需求和高级威胁。

全新安全框架

这一全新框架在原始零信任架构的基础上进行了大幅扩展，称为零信任扩展 (ZTX) 生态系统模型。由 Forrester Research 提出的这一模型仍然基于保护数据安全的理念，但应用范围十分广泛，可以覆盖数据流动的任何位置：内部网络、云基础架构（例如 Azure 和 AWS）、SaaS 应用程序（例如 Slack）、广泛的互联网/Web 以及所有传统设备和物联网设备。该模型不仅全面，而且十分实用。ZTX 模型提供了一系列架构蓝图和安全功能映射工具，CIO 和 CISO 可使用这些工具为零信任安全战略的投资和实施提供指导。

Forrester 的零信任扩展生态系统模型涵盖了七大相互关联的关键领域，当数据在传统网络和新兴云端中传输时，需要综合考虑这些领域，以确保数据的安全。该模型从数据本身开始，跟随数据的流动轨迹，包括在传统网络中传输、流入公有和私有云中部署的工作负载、在多台设备间共享、以及由不同人员进行处理等。该模型还强调了对企业整体 IT 基础架构中的数据交互情况进行监控的重要性，以及协调和自动化在成功运营零信任安全基础架构中的重要角色。

不过，理解概念是一回事，正确实施可能更具挑战性。越来越多的企业表示疑惑：“我该如何开始？”

制定专属零信任战略

要回答这一问题，最佳方式是采用整体方法，将明确清晰的战略与实用的设计和实施蓝图有机结合，以取得理想的零信任成果。由于零信任的关键在于控制数据的访问权限，与数据所在的位置无关，因此，企业可以首先从战略角度思考哪些数据最为敏感，处理这一数据的哪些系统和设备最为关键，从而制定周密计划，在这些优先领域实施零信任。一旦确定了战略重点，您就可以轻松专注于实现目标所需的关键能力、技术和功能。

目前，企业在开启零信任之旅时一般采用以下两条路径之一：一条覆盖面广，一条更受限或者说覆盖面更窄。覆盖面广的这条路径颇受 CISO 和 CIO 的青睐，他们意识到所在企业需要重构多个领域的安全基础架构，并将 ZTX 视为构建足以保护企业的新安全架构的实用框架。 

覆盖面更窄的第二条路径则是针对企业中最容易受到攻击和/或对业务至关重要的部分系统和数据来改进其访问控制。部分企业倾向于严格限制，仅允许授权用户在经过身份验证的设备上进行数据访问。另一部分企业则只是对存储在公有云中的敏感数据进行加密，在某些情况下，还需要确保某类信息（例如医疗保健数据）绝不能存储在公有云中。

有趣的是，我注意到，无论企业采用的是全面零信任方法还是“头痛医头脚痛医脚”的针对性方法，大部分企业的第一步都是改进访问控制和身份管理领域。这一点很好理解，毕竟，零信任模型就是为了保护数据及其所在的系统，因此，限制各个系统中的数据访问权限是非常重要的第一步。

对所需能力进行优先级排序

下一步是对实施企业零信任战略所需的各项能力进行优先级排序。例如，如果您专注于工作负载领域，最为关键的两项能力可能是实现对应用程序的粒度访问控制并确保持续扫描所有工作负载和存储，以检测恶意软件和信息安全违规行为。如果您最初的重点是改善对用户/员工的保护，那么首先应确保您有能力实施可接受的使用策略，并保护他们免受来自云和 Web 的威胁。

确定具体技术

合乎逻辑的下一步是确定企业获取所需能力而需要采用的技术。例如，要培养上述工作负载访问控制能力，企业可部署软件定义边界 (SDP) 和多重身份验证 (MFA) 等技术。为保护员工免受来自 Web 的威胁，那么 Web 隔离、加密通信检查和基于云的沙盒等技术则可以发挥重要作用。

突出具体功能

要想选择合适的供应商，您必须确定零信任技术解决方案中每项技术所代表的具体功能，并对其进行优先级排序。在工作负载示例中，您可能将制定通信“数据路径”SDP 解决方案作为优先事项，便于扫描通信以进行报告和预防威胁，并要求在检测到用户风险行为的情况下，通过 MFA 工具加强身份验证。或者，如果希望使用隔离功能保护用户浏览器在进行 Web 交互时的安全，则可能需要优先考虑 Secure Web Gateway 集成的能力，以确保仅隔离某些类型的风险 Web 通信。

不过，即使重点突出，当您为了根据制定的战略培养零信任能力，并获得所需的功能和技术时，您会发现其中的映射过程相当复杂。例如，在下图的能力、技术和功能映射中，为了对上传至 SaaS 应用程序的内容实施零信任安全战略，企业可能需要多达 11 个步骤才能实现对企业基础架构的全面控制。

如图所示，实施零信任原则看似简单，其实可能十分复杂，因为在向 SaaS 应用程序上传数据的流程中涉及众多不同技术、多次集成以及大量供应商。

ZTX 平台方法的优势

这一现实使得许多企业在着手实施零信任计划时优先考虑平台方法的重要性。如果企业只需选择少数几个供应商即可满足大部分/所有零信任要求，那么就能大幅简化相关计划。单个零信任平台（例如本公司的赛门铁克集成式网络防御平台）能够通过在平台中预先集成企业所需的能力、技术和功能，让众多复杂性问题迎刃而解。如此一来，企业可以降低运营复杂程度，更好地进行监控，简化自动化和协调流程，精简采购甚至供应商管理，从而增强安全性。

赛门铁克平台为企业提供了精简式安全模型，以交付对其而言最为重要的零信任安全成果。我们将其能力直接映射至 ZTX 模型。我们的平台最近在 Forrester Research 的《Forrester Wave™：2018 年第四季度零信任扩展 (ZTX) 生态系统供应商》报告中荣列领导者。

最后，我想邀请您联系赛门铁克，了解有关零信任技术和零信任扩展生态系统模型的更多信息。迁移至云的进程为企业提供了重构安全基础架构的绝佳机遇，而 ZTX 模型为企业绘制了践行这一流程的详实蓝图。最近诺贝尔奖得主 Bob Dylan 曾表示，愿“变革之风刮起时，我们都能站稳脚步”。对于当今和未来几年的技术变革之风，零信任能让我们站稳脚步。