應對網(wǎng)絡安全復雜性的零信任策略

隨著數(shù)字化進程的不斷加速,企業(yè)的網(wǎng)絡安全面臨著越來越復雜的挑戰(zhàn)?，F(xiàn)代企業(yè)通常使用多種網(wǎng)絡拓撲、應用程序和服務、設備和終端等,這些多樣性增加了網(wǎng)絡安全環(huán)境的復雜性。同時,攻擊者不斷開發(fā)新的攻擊技術和工具,利用復雜的網(wǎng)絡安全環(huán)境來隱藏其攻擊行為。我們從最近爆發(fā)的一些網(wǎng)絡安全事件中不難看出,企業(yè)需要采取多種措施來保護其網(wǎng)絡安全,以應對不斷變化的網(wǎng)絡安全環(huán)境。

例如,Clop勒索軟件利用GoAnywhere的一個零日漏洞滲入了130家企業(yè)。攻擊者通過該漏洞規(guī)避GoAnywhere的認證和安全協(xié)議,進而完全控制目標企業(yè)。Clop聲稱已從這些實體中獲取了敏感數(shù)據(jù),并要求支付贖金,否則就將公開這些數(shù)據(jù)。在過去幾個月中,Clop勒索軟件已對包括醫(yī)療、金融、制造和能源在內(nèi)的多個領域虎視眈眈。

勒索軟件攻擊對制造業(yè)的影響更難應對,也更具破壞性。

AlphaV勒索軟件滲入銅山礦業(yè)公司(CMMC),導致該公司ICS/OT網(wǎng)絡被隔離并轉(zhuǎn)為手動操作;都樂食品公司在其IT系統(tǒng)受到勒索軟件攻擊后,被迫暫停了北美工廠的生產(chǎn)。

Akamai“全球網(wǎng)絡安全分析”表明,2022年,全球最受影響的垂直行業(yè),即企業(yè)內(nèi)部設備最常受到網(wǎng)絡攻擊的垂直行業(yè)就是制造行業(yè)。制造行業(yè)所受的攻擊數(shù)量占到總體受到影響企業(yè)的三分之一左右,并且遠遠領先于排名第二的商業(yè)服務行業(yè)。由于亞太地區(qū)已經(jīng)占到了全球制造行業(yè)產(chǎn)出的50%以上,這也反映出亞太地區(qū)已經(jīng)成為深受網(wǎng)絡安全困擾的地區(qū)。如果再進一步觀察,中國占到了全球制造產(chǎn)出的30%,這就使得中國也變相成為了黑客攻擊的最大目標之一。

要解決這樣的問題,Akamai推薦使用“無代理”方法,即便是非常老舊的系統(tǒng),在無代理的背景之下,依然可以用非?，F(xiàn)代的保護方式去保護它們。保護這些系統(tǒng)最優(yōu)的方式之一,就是選用并且賦能零信任Zero Trust模型。在Zero Trust當中,任何一類用戶或者應用不會自動受到信任,只有得到授權(quán)的用戶和應用才能夠?qū)崿F(xiàn)良好的溝通。這樣可以保證即便是授權(quán)的一些用戶和應用,也要持續(xù)地監(jiān)測,防止任何可疑的行為。

Gartner認為 ,零信任網(wǎng)絡訪問 (ZTNA) 是增長最快的網(wǎng)絡安全形式,到 2023 年將增長 31%,到 2025 年將完全取代 VPN。據(jù)Gartner 預測,到 2025 年,至少 70% 的新遠程訪問部署將主要由 ZTNA 而非 VPN 服務提供,高于 2021 年底的不到 10%。

同時,今天的首席信息安全官(CISO)發(fā)現(xiàn)自己的主要任務是降低保護多云基礎設施的復雜性和成本,并通過整合技術堆棧節(jié)省成本和提高可見性,這使得零信任成為了優(yōu)先事項。75%的安全領導者表示其網(wǎng)絡安全系統(tǒng)和技術堆棧過于復雜且運行成本高。所以CISO越來越依賴零信任規(guī)劃來簡化和加強其企業(yè)的網(wǎng)絡安全態(tài)勢以及確保每個身份和終端的安全。

實施零信任過程中的挑戰(zhàn)

盡管如此,很多企業(yè)對于零信任的實施情況實際上卻不太樂觀。

首先,許多企業(yè)誤認為零信任是一個產(chǎn)品,認為只要擁有某個產(chǎn)品或另一個產(chǎn)品就能實現(xiàn)零信任。實際上,零信任是一種策略,滲透在組織的各個方面,僅僅通過改革某項技術很難實現(xiàn)全局零信任。同時,現(xiàn)代網(wǎng)絡安全極其復雜,公司不斷添加新產(chǎn)品以應對新威脅。這造成了大多數(shù)安全產(chǎn)品在孤島中運行的環(huán)境,組織內(nèi)的不同團隊或部門負責各自的安全,并且他們可能無法共享信息或與其他團隊協(xié)作。這可能會造成安全盲點和漏洞,并導致政策和程序不一致,從而為實施零信任安全造成障礙。為了使框架有效,它需要一個整體的安全視圖,組織的所有部分共同創(chuàng)建一個統(tǒng)一的安全架構(gòu)。

其次,大多數(shù)企業(yè)在實踐零信任時遇到的最大挑戰(zhàn)之一是不理解如何正確實施零信任,對于一些底層原則沒有充分理解,如最小權(quán)限訪問和持續(xù)監(jiān)測可疑行為?，F(xiàn)代社會,隨著工作模式的改變,零信任的原則在落地上也面臨著挑戰(zhàn)。零信任安全遵循“從不信任,始終驗證”的原則,這意味著每個用戶和設備在訪問資源或數(shù)據(jù)之前都必須經(jīng)過身份驗證。該原則依賴于公司控制用戶嘗試訪問的端點、網(wǎng)絡連接或資源的關鍵假設。然而,現(xiàn)實情況是越來越多的員工在遠程工作并使用 SaaS 服務,公司的數(shù)據(jù)和關鍵應用程序越來越多地超出了企業(yè)的范圍。結(jié)果是,在很多情況下,傳統(tǒng)的控制點不再有效。

最后,零信任在部署方面的挑戰(zhàn)并非源于技術本身,而是源于整個組織架構(gòu)。換句話說,企業(yè)可能因為架構(gòu)太過臃腫而造成一系列問題,在自身的網(wǎng)絡或云端運行著過多的服務和技術。因此,要實現(xiàn)零信任,企業(yè)必須實現(xiàn)跨部門或者跨團隊的溝通,這就造成了很多挑戰(zhàn)。

企業(yè)部署零信任的最佳做法

為此,我們建議企業(yè)可以采取以下三點措施來實現(xiàn)更有效的部署策略:

首先,在整個零信任項目團隊中,最好由企業(yè)高管擔任負責人,而不是IT團隊或安全團隊的負責人,這樣才能實現(xiàn)全局的零信任部署。因為零信任部署需要在整個企業(yè)范圍內(nèi)實施,需要跨部門協(xié)調(diào)和執(zhí)行。企業(yè)高管通常有更廣泛的視野和更深入的了解企業(yè)戰(zhàn)略,可以更好地協(xié)調(diào)不同部門之間的工作,確保零信任部署能夠在整個企業(yè)中得到有效實施。此外,企業(yè)高管通常具有更高的權(quán)力和決策權(quán),可以更好地推動零信任部署的實施和執(zhí)行。

第二,企業(yè)在部署零信任之前,最好能夠借鑒行業(yè)指南,從用戶、數(shù)據(jù)、設備、云端等各個方面來衡量整體零信任成熟度。

第三,微分段可以將網(wǎng)絡劃分為隔離段的安全策略,其作為零信任的重要組成部分可以減少網(wǎng)絡的攻擊面并提高數(shù)據(jù)和資源的安全性。微分段使組織能夠快速識別和隔離其網(wǎng)絡上的可疑活動。

最后, 企業(yè)在部署零信任時最好能夠與專業(yè)的技術解決方案提供商合作,借助其技術和手段,在組織內(nèi)部實現(xiàn)跨部門、跨團隊的協(xié)作。在同一平臺上共同解決大方向?qū)用娴膯栴},以實現(xiàn)成功的零信任。

在越來越復雜的網(wǎng)絡安全環(huán)境下,建議企業(yè)可以結(jié)合多種策略在2023年成功實施其零信任安全計劃。這些策略包括實施身份訪問管理 (IAM) 系統(tǒng)、特權(quán)訪問管理 (PAM) 解決方案、微分段、多因素身份驗證等。采用這些策略的“組合拳”,企業(yè)可以確保其數(shù)據(jù)和系統(tǒng)的安全,并快速檢測和響應威脅。

( 作者： Akamai大中華區(qū)高級售前技術經(jīng)理 馬俊 )

（免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內(nèi)容或斷開相關鏈接。 ）