白皮书

揭开零信任的神秘外衣

企业网络和单一安全外围即将退出历史舞台。越来越多的用户远程办公，在公共互联网上进行自己的工作。软件即服务 (SaaS) 应用程序、云平台和其他云服务的发展，使得网络作为主要措施保护资源安全的效果大幅下降。我们再也无法依赖单个隔离的企业网络，给予网络内的所有系统信任。

进入零信任时代；这是一种关于如何看待安全和如何实现安全的网络安全理念。零信任给予“不信任一切，检验一切”的原则，着眼于物理和数字方式保护资源，默认不信任任何内容。

任何一个供应商、产品或技术都无法带给您零信任。这需要观念的转变，以及大量改变资源安全保证定式的不同解决方案。本文探讨零信任概念，实施零信任模型的好处，并指导企业向零信任过渡需要采取的措施。

什么是零信任？

零信任是与安全思维和执行方式有关的模型和理念。
不应自动信任任何人或任何事，无论是企业网络内外，甚至是企业网络本身。必须限制静态防御（如传统防火墙）基于网络位置的暗含信任。

虽然最终需要信任某些内容，但在零信任时代，这种信任是临时的，根据多个数据来源（超过过去我们用过的数量）动态建立的，不断重新评估的。

我们在每天使用互联网的过程中，对于不受信任的网络有着丰富的经验。面对公共互联网的计算机与传统外围内的计算机采用差异巨大的方式保护安全，需要额外审查和防御层以保护不受外部威胁影响。

零信任模型指导您将所有设备作为面对互联网的设备对待，不能仅仅设置一个外围，而是必须建立微分段，对于所有内容以及内容之间的联系进行检查和控制。

采用零信任的核心好处

采用零信任模型带来许多好处，因此，为了让您的生活更轻松，我们选取了一些核心好处。

控制整个 IT 资产
从办公室内一直到您使用的云平台。不再缺乏对企业外围以外的控制，也不再出现远程用户的窘迫。
采用相同方式管理和保护所有用户的安全
再也不用查看企业外围内外的信息，您可以采用相同方式处理所有用户。这样简化 IT 安全，同时确保公平对待所有设备和用户。
即使您不拥有/完全控制使用的基础设置，也能保持安全
利用身份、位置、设备运行状况、MFA 和覆盖监测与分析，您仍可以在任何类型环境、平台或服务上实现强大的安全。
显著减少恶意软件或攻击者的活动
攻击者在进入网络后再也不能在整个网络内肆意妄为，只能访问受威胁用户可以访问的最少数量系统。不继续信任已验证身份的用户，在系统之间进行检查，进一步限制传播扩散。

零信任总结

零信任是一个宏观概念，人们对此开展了大量讨论。基本上我们可以将零信任的主要概念提炼为几句简单的话。

网络没有“内部”

假设您正从不受信任的位置，如咖啡店的公共 Wi-Fi，运转整个企业，您的所有设备直接连接所有网络中最危险的一种：公共互联网。想象这是您的现实情况，您无法采用依靠躲在传统企业外围背后的方法实现安全。

不信任一切，检验一切

假设您的网络内部和外部都有攻击者，他们一直在不断进行攻击。不应信任任何用户或设备，应该先验证身份，然后才可以考虑连接。

安全应该能够实时调整

用于实现零信任的安全策略应该是动态的，根据尽可能多的数据来源，尽可能多的不同技术带来的信息自动变化。如果用户使用时设备被攻破，静态策略无法保护您。如果您的策略还考虑设备运行状况，如恶意行为标识，那么可以将其用于动态适应。

零信任原则

不信任一切。绝不。不信任一切，意味着只要存在风险，就必须寻找相关安全对策。

检验一切。不要假定通过检查就能带来信任。拥有凭据并不意味着您值得信任，仅仅说明您有凭据，然后凭据可能被盗。

我们划分了四个需要记住的简单原则。

始终确定身份

您需要单一权威的身份来源，用于所有单点登录 (SSO) 的场合。应该采用多重形式身份验证 (MFA) 验证一切内容的身份。无论用户在哪里，尝试访问什么内容，验证他们的凭据，验证他们的第二（或第三）重形式，定期要求重新身份验证。

始终控制

在需要时应用控制和检查，采用并实施最低权限原则 – 用户应只能访问其工作需要的最低程度资源。如果只能由德国员工使用人力资源系统，则只有德国员工可以具有访问权。任何其他人都不得具有访问权，即使具有该访问权的风险低。

始终分析

仅仅因为身份验证成功，或者授予该用户或设备访问权，不意味着可以信任。内部人员威胁和恶意行为者可以获取有效凭据。记录所有网络和系统活动，定期分析并检查，以检验身份验证后发生的情况。SIEM（安全信息与事件管理）、EDR（端点检测与响应）以及 MDR（托管检测与响应）因这个需求而问世。

始终保护安全

采用“由内到外”的网络安全方法。您应重点关注重要数据，将方法由内到外推广，从数据生成到销毁，找出数据在网络中的流动路径中的漏洞点。

彻底掌握零信任的原则后，您可以开始向零信任过渡。您可以阅读本文的扩展 PDF 版本。

零信任技术组合

保护网络上所有资源和资产的安全需要用到大量技术。任何一个供应商、产品或技术都无法解决所有问题。

零信任技术组合需要解决两个主要方面 – 零信任的管理，各种资源和资产的安全与控制。

管理分为三个子方面：

自动化与协作 – 用于定义动态策略，协调所有不同技术，有序安排一切
可见性与分析 – 用于维持对网络的监督，确保一切工作正常，发现是否或何时发生威胁和攻破
API – 用于整合各种技术，将数据从一个系统导入另一个系统

资源和资产分为五个子方面：

人员 – 为您的企业工作或或与您的企业合作的用户、管理员等
数据 – 所有企业的生命线，可能是需要保护的最重要资产
设备 – 用于开展业务的服务器、笔记本电脑、虚拟机等
工作负荷 – 用于处理数据、执行计算、生成报告等的服务和应用程序
网络 – 数据流动的通信渠道，Web、电子邮件、Wi-Fi、互联网等

Sophos 可以帮助做什么

由于一个供应商无法将您的企业改造为零信任模式，Sophos 提供了大量技术帮助您实现这一目标。

管理零信任

Sophos Central 是我们的云原生网络安全平台，支持您管理零信任环境，可以在一个控制台协同我们的所有技术，为您从一个位置提供对所有技术的监督，以及连接您使用的任何其他第三方技术的 API。

您还可以考虑 SIEM，聚合非 Sophos 和 Sophos 产品的日志，更加方便您全面了解发生的任何情况。我们的 API 能够轻松获取 Sophos Central 平台以及您使用的任何 SIEM 的信息。

通过 Sophos Central 控制的 Sophos Synchronized Security 在这里也起到重要作用。启用 Synchronized Security 后，Sophos 解决方案彼此共享信息，自动响应事件。在零信任环境中，解决方案能够通过动态策略适应场景，自动执行复杂任务，如隔离计算机等。