5min. read

「零信任」的真正意涵為何?

零信任一詞是 Forrester Research 於 2010 年所發明, 意即企業可利用這個網路安全模式來消除使用者、電腦和 數據之間,隱含著信任的高風險互動。無論威脅是來自世界各地或者近在咫尺,也不管是透過哪種途徑入侵,零信 任模式都能為企業提供自我防禦的模式。只要遵循以下三個主要原則,就能實現此模式提供的優勢:

  • 確保所有的資源無論在任何位置都能安全地進行存取。
  • 採用最低權限策略,嚴格執行存取控制。
  • 檢查和記錄所有流量。

在歷經 11 年的漫長歲月之後,期間面對不斷成長的數位轉型、遠端工作和自攜設備等趨勢,這些理念和原則已發 展的更加成熟。此外,美國聯邦政府制定NIST 800-207 以正式將零信任納入法律條文中,並且透過NCCoE 的 零信任架構加以詳述,以進一步發展出新的原則。這些原則包括:

  • 從網路區隔轉變為資產、服務、工作流程和網路帳戶等資源的保護。
  • 使用強式驗證,在每個工作階段執行個別的驗證和授權 (主體/使用者和裝置) 功能。
  • 確保持續不中斷的監控。

為何它對於網路安全性來說如此重要?

對於維護企業安全性的方法來說,朝向零信任方向發展可說是其中一項最為重大的轉變。在採用零信任概念之前, 大部分的公司都已嘗試將安全性視為受管制的功能加以管理。任何在受管制區域中經驗證的交易一概視為可信任。

不過這個方法顯然很有問題,因為威脅並非永遠來自於外界。此外,正當整個世界都持續採用數位轉型和混合工作 模式時,資源只存在於管制範圍內的概念似乎也不再適用。零信任需要不斷驗證每一次互動的每個元素 (無論其位 於何處),包括所有的使用者、電腦、應用程式和數據。也就是說,沒有任何隱含信任的空間。

關於此一流行術語的各種詮釋

現在有許多的廠商都想要把零信任的概念產品化,也就是將他們的產品一律統稱為「零信任解決方案」,卻不明白 零信任實際上是一種模式和策略架構,而不是一種產品解決方案。在檢視整個網路安全市場時,我們可以看到許多 廠商都會設想自己是扮演「零信任行動者」的角色。

但在進一步審視後,我們發現這些廠商通常只符合零信任的其中一項原則。例如,建立使用者與應用程式之間的通 道服務。這的確符合第二項原始原則:採用最低權限策略,嚴格執行存取控制。不過,同一個廠商可能就不符合第 一項原則:確保所有的資源無論在任何位置都能安全地進行存取。當他們隱含地信任使用者並非威脅途徑時,就不 會掃描通道內部的惡意軟體或入侵。

其他廠商可能也只涵蓋第一項原始原則的某些層面,像是宣稱身分和授權檢查就是進行零信任的方式。這些廠商也 可能認為只有網路流量才需要進行掃描。不過,一旦只實施該模式的部分範圍,這些公司可能會面臨隱含信任所造 成的風險,因而開啟了原本應涵蓋在剩餘原則範圍內的弱點。

我們的建議:高階主管在採用零信任時應考量哪些情況?

第一步就是重新思考應如何保護企業的安全,也就是一改過去區域管制的方式,取而代之的是持續不斷地驗證所有 的互動。若要促成這樣的改變:

  • 第一步就是重新思考應如何保護企業的安全,也就是一改過去區域管制的方式,取而代之的是持續不斷地驗證所有 的互動。若要促成這樣的改變:
  • 請記住每個您所建立的互動都必須包含使用者、應用程式和基礎結構/裝置。
  • 了解為何這些互動應包含所有的身分、存取權限、裝置/工作負載和交易。

接下來就是透過計劃來進行改變,首先您可以從企業最重要的使用者、資產和互動開始執行。這些將會成為您的 「珍貴資產」,且可能會與財務或智慧財產有所關聯。然後您就可以隨著時間演進擴展您的範圍以納入所有的互 動。該計劃應明確指出使用者、應用程式和基礎結構如何完成這四個互動步驟來取得資源。

轉型的最後一步實際上就是週期性的活動:維護和監控。

  • 利用持續監控來因應所有發生的事件以取代間歇性的檢查。
  • 隨著標準持續演進,我們也必須不斷地改善目前的模式,同時涵蓋越來越多的互動方式。

為了順利採用零信任而必須向團隊成員詢問的問題

  • 我們具備哪些系統關鍵數據集、應用程式和功能?
  • 無論索取資源的身分或裝置為何,我們應如何在每一次互動當中確保這四個部分安全無虞?
  • 我們應制定什麼樣的計劃以持續監控如日誌等重要事件,進而促成基準的建立並偵測異常行為?
  • 我們會採取哪些策略來選擇廠商以協助我們達到零信任的目標,對於產品所無法涵蓋的範圍,我們又有哪些因應 措施?
  • 若要從只涵蓋單一資源轉移到完整涵蓋所有資源,我們應制定什麼樣的策略?產品和人員應具備哪種可擴充性來 達成此目標?