站得住脚的信任和路径为零

简单zero-trust概念掩盖了在大多数大型组织实现它的复杂性。这里有四个因素考虑在你开始旅行之前。

零信任,一个网络安全的概念于2010年首次引入Forrester,是新兴的回答的对于今天的数字企业面临各种挑战。它适应perimeter-busting COVID-19在家工作的趋势需要的大流行。它解决了提出的基本问题SolarWinds违反。它补充了基于云计算的基础设施、平台和应用程序数字转换的基础。

COVID-19之前,你可能会说世界正在慢慢走向zero-trust未来大约10英里每小时的速度。在post-COVID时代,我们发现自己滚光朝着零信任速度更像是90英里。

零信任的前提是相对简单的。据美国国家标准与技术研究院(NIST),零信任是“网络安全战略,专注于移动网络防御宽,静态网络周边更狭隘关注动态访问控制和基于风险的企业资源,不管他们在哪里。”

当我们在站得住脚的同意,今天的工作环境的现实呈现周长的概念过时,我们也相信zero-trust的简单概念掩盖了在大多数大型组织实现它的复杂性。的零信任进展报告2020年2月发布网络安全业内人士和Ivanti(原脉冲安全),调查了400名网络安全专业人士和发现,47%缺乏信心zero-trust模型应用到他们的组织的安全体系结构。

2020年8月在其报告中,实现零信任体系结构,NIST的揭露了“误解零信任体系结构是一个框架和一组解决方案,与现有的网络安全是不相容的。”Instead, the agency advises that zero trust should be viewed as "an evolution of current cybersecurity strategies." The report further articulates three key challenges:

1. 没有单一的解决方案存在零信任,而是需要集成许多不同成熟度的不同技术。的确,Forrester波™:零信任扩展生态系统平台提供商,2020年第三季度评估供应商的前15名。NIST的状态:“频谱内的组件更广泛的企业是巨大的,许多产品集中在一个利基在零信任和依赖其他产品提供数据或一些服务到另一个组件(例如,集成的多因素身份验证资源访问)。”

2. 迁移现有的生态系统,特别是与遗留应用程序和系统,需要投资时间、资源和技术能力重组他们坚持zero-trust原则。我们认为所需的资源投资使得zero-trust模型跨整个企业秉承完全不可能。此外,NIST指出,缺乏标准的组织很难评估各种产品的兼容性,很难建立一个五年的路线图。

3. 安全问题,比如妥协zero-trust架构的控制飞机,必须彻底评估和漏洞识别和减轻。在我们看来,任何组织应该首先开始zero-trust旅程没有钉网络卫生的基本知识。根据NIST,“企业应该达到一个基线的能力之前就可以部署一个重要(零trust-focused)环境。这个基线包含在资产、主题、业务流程、流量和依赖映射为企业识别和分类。企业需要这些信息才能开发一组候选业务流程和受试者/资产参与这个过程。”We believe this baseline requires full visibility into the entire attack surface, continuous dynamic monitoring of assets and user permissions and the means to prioritize remediation based on risk.


开始在zero-trust旅程:考虑这四个因素

描述的实现zero-trust架构为“旅程”,而不是一个批发更换基础设施或过程,NIST的预测“大多数企业将继续在混合zero-trust无限期/基于模式,同时继续投资于正在进行的现代化计划。”

无论你在哪里你zero-trust旅程,我们相信四个功能组件NIST的zero-trust模型也作为一个良好的网络安全策略的构建块:

1. 数据安全,包括所有数据访问策略和规则用于安全信息,并在休息和在运输过程中保护数据。

2. 端点安全战略、技术和治理保护服务器、台式电脑、手机、物联网和操作技术(OT)设备的威胁和攻击,以及保护企业免受威胁从托管和非托管设备。

3. 身份和访问管理,包括战略、技术和管理创建、存储和管理企业用户账号和身份记录及其对企业资源的访问。

4. 安全分析,包括所有的威胁情报源和交通/活动监视IT企业和积极应对威胁的持续监控这些资产或恶意活动。


上述每个组件需要:

• 可见性的各种连接资产网络;

• 这些资产的连续、动态评估;

• 活动目录等动态监测的用户数据库配置错误和横向运动;和

• 优先级为基础的努力修补的检测活动和业务风险的威胁。


我们在成立相信零信任是一个模型,每一个企业都应该努力的方向。这就是为什么我们一直提倡每一个端点和设备环境中应评估安全、配置错误和丢失更新。同时,我们认识到实现这些原则所涉及的非常现实的挑战和建议组织投资之前网络安全基础zero-trust旅程。