什麼是零信任架構

零信任已成為網路安全的其中一個最新流行術語。必須瞭解什麼是零信任，什麼不是零信任。

零信任是有助於防止數據洩露得逞的策略計劃，能夠消除企業網路架構中的信任概念。零信任採取「永不信任，持續檢驗」的原則，能夠運用網路區隔、防止橫向移動、提供第七層威脅防禦，並簡化精細的使用者存取控制，藉以保護現代數位環境。

零信任是由 John Kindervag 擔任 Forrester Research 副總裁兼首席分析師時提出的構想，當時的傳統安全模型基於企業網路中的所有事物都應該受到信任的過時假設進行運作。在這種不完善的信任模型下，假設使用者的身分不會受到危害，而且所有使用者都以負責任的方式進行作業，而且可以受到信任。零信任模型認為信任是弱點。進入網路之後，使用者 (包括威脅行動者和惡意內部人員) 可以自由地橫向移動，並存取或洩露不侷限使用者的任何數據。請記住，攻擊的滲透點通常不是目標位置。

根據 2018 年第 4 季報告「Forrester Wave^™：授權的身分管理」，這個信任模型持續濫用憑證。¹ 零信任不是要使系統受到信任，而是要消除信任。

零信任架構

在零信任中，您必須確認「保護範圍」。保護範圍由網路最關鍵且最具價值的數據、資產、應用程式和服務 (簡稱 DAAS) 組成。對於每個企業，保護範圍是獨特的範圍。因為這只包含對企業營運最關鍵的內容，所以保護範圍的規模等級遠小於攻擊範圍，而且是可知的。

您確認保護範圍之後，即可確認流量如何在整個企業中相對於保護範圍移動。唯有瞭解使用者的身分、使用者正在使用的應用程式，以及使用者的連線方式，才能確定並實施確保安全存取數據的政策。瞭解 DAAS、基礎結構、服務和使用者之間的相依性之後，就應該將控制元件放置在盡可能靠近保護範圍的位置，並在周圍建立微型周邊。無論保護範圍在哪裡，這個微型周邊都會隨著保護範圍移動。您可以透過部署區隔閘道 (通常稱為新世代防火牆) 建立微型周邊，藉以確保只有允許的已知流量或合法應用程式才能存取保護範圍。

區隔閘道提供流量的精細可視性，並基於 Kipling 方法的精細第七層政策實施檢驗和存取控制的其他層，這個方法會根據對象、內容、時間、位置、原因和方式定義零信任政策。零信任政策可確定哪些人可以隨時通過微型周邊，藉此防止未經授權的使用者存取您的保護範圍，並防止敏感數據外洩。零信任僅適用於第七層。

對於保護範圍建立「零信任」政策之後，您將繼續進行即時監控和維護，找出保護範圍中應該包括的內容、尚未考慮的相依性，以及改善政策的方式。

零信任：保持與企業一樣的動態

零信任不依賴於位置。使用者、裝置和應用程式工作負載現在無處不在，因此您無法在一個位置實施零信任，而是必須在整個環境中擴大零信任。適當的使用者需要權限，才能存取適當的應用程式和數據。

使用者也可以隨處存取關鍵的應用程式和工作負載：家裡、咖啡店、辦公室和小型分公司。零信任需要可以直接在裝置上或透過雲端交付的一致可視性、執行和控制。軟體定義周邊可提供安全的使用者存取權限，並防止數據遺失，無論使用者身在何處、正在使用哪些裝置，或在何處託管工作負載和數據 (亦即數據中心、公有雲或 SaaS 應用程式)。  

工作負載極為動態，可以在多個數據中心以及公有雲、私有雲和混合雲之間移動。對於零信任，您必須深入瞭解使用者、裝置、網路、應用程式和數據之間的活動和相依性。區隔閘道可以監控流量、阻止威脅，並在內部部署數據中心和多雲端環境中對於南北向和東西向流量實施精細存取。  

部署零信任

採用零信任通常被認為需要高成本，而且相當複雜。不過，零信任建立在您現有的架構上，不需要您淘汰和取代現有技術。沒有零信任產品。一些產品在零信任環境中正常運作，另一些產品則無法正常運作。使用簡單的五大步驟方法也能夠輕鬆部署、實施和維護零信任。這個引導的程序有助於確認您的現況和未來的走向：

1. 確認保護範圍

2. 對應交易流量

3. 建立零信任架構

4. 建立零信任政策

5. 監控和維護

零信任環境由涵蓋單一 DAAS 元素的保護範圍組成，DAAS 元素透過區隔閘道採用 Kipling 方法政策在第七層實施的微型周邊進行保護。建立零信任環境是可以一次重複一個保護範圍/DAAS 元素的簡單疊代程序。

若要瞭解零信任以及如何在企業中實施零信任的詳細資訊，請閱讀白皮書五大步驟方法簡化零信任實作。