网络如何获得终极安全？ 零信任要践行下

　　你的网络安全吗？在回答这个问题时，无论企业还是个人，无论是否装备了防火墙或是部署了杀软，恐怕都不敢直言安全。正所谓，未知的才是最可怕的。网络威胁似乎随时能够将人们构建的安全防线给吞噬掉。而对于企业网络来说，要想获得“终极”安全，零信任理念必须要建立起来了。

　　传统的安全模型过时了

　　当前，不少企业的网络防护依旧沿用过时的传统安全模型，在此种模型下，企业常常只会围绕数据中心在周围构建“护城河”来保护其数据资产。可是伴随办公移动化迁移，企业分支、远程办公、云端办公的需求越来越多，涉及安全的资产变得比以前更为分散，而防护边界也日益模糊。

　　而且对于传统安全模型来说，往往会假设企业内部的所有行为都是可以信任的，即便部署有防火墙、入侵检测、DDoS防护等设备，也是针对网络边界进行的防护。这就导致一旦攻击来自企业内部，网络防护就变得形同虚设。

　　此外，当下的网络攻击不仅从外向内展开，而且很可能发起横向攻击，如内部某个网络节点遭受破坏，攻击者便可在系统之间随意跳跃攻击。因此，鉴于网络攻击的日益复杂以及内部威胁的大量增加，现在非常有必要采取一些可有效阻断攻击在内部传播路径的安全措施了。

　　零信任成验证关键

　　对于上述情况，相信只有基于零信任的安全理念才能进一步为企业网络防护加固。那么，零信任的安全理念是什么样子的？可以说，零信任是根植于“永不信任，始终验证”原则上，通过基于用户、数据和位置的微细分与颗粒度进行划分，并联合周边安全设备共同执行防护检测与过滤，达到解决网络内横向威胁的移动。

　　为何要强调防止攻击的横向移动？这是由于攻击的渗透点通常不是目标位置，而阻止横向移动在内网中的作用就相当关键了。比如，当攻击者渗透端点设备成功后，还需要在整个环境中横向移动，才能到达目标资产所在的数据中心；或者，利用网络钓鱼获得了准入凭证后，仍需要在对应数据库通过身份验证，才能以达到攻击者想寻求并提取数据的位置一样。

　　其中还涉及到如何确定用户身份，以及能否设置适当的访问权限等问题。例如，在大多数企业里，市场营销人员可以访问包含营销内容、客户信息和相关数据库，但无法访问财务文件或数据；财务人员则可以访问与财务相关的数据库，但不能访问人力资源信息等等。因此，确定用户是谁，以及他们可以访问哪些应用程序，做哪些操作，可是判定相应会话是否合规的重要一步。如果这些交互点或检查点不到位，又怎能有效识别验证并阻止入侵行为呢？

　　为了构建企业网络的零信任架构，较为现实的方法是将现有的基础设施统统考虑在内，并围绕敏感数据资产创建最小的防护边界。无论是服务器、终端笔记本电脑，还是应用程序，将网络扁平化、不受信任系统最小化。

　　最初可以使用VLAN（虚拟局域网）等传统设置来创建小边界，即便它们维护起来很麻烦。然后，再实施高级网络分段，并采用最低权限的访问策略并严格执行访问控制。这样做，企业就可以显着减少恶意软件的传播路径。

　　而要做到“始终验证”，则意味着要检查并记录所有流量。为了有效地做到这一点，可以确定适当的交互节点来方便检查。例如，基于业务策略的安全规则应该用于识别、允许或拒绝通过防护边界“检查点”的流量和活动，包括对敏感资源进行分段，建立信任边界，以防止敏感数据泄漏等操作。

　　此外，添加更多身份验证方法来防止基于凭证的攻击，升级安全设备，培训人员安全意识等等都是打造零信任架构中的重要环节。

　　可以预见，

　　在抵御现代网络威胁，防止敏感数据泄露的攻防博弈面前，敌我双方此消彼长的态势在所难免。不过以零信任为目标的防护策略显然是永不会过时的，即便短期内多数企业还并不容易将其实现，但毋庸置疑的是，安全零信任时代已然到来。