零信任的困境 理想VS现实

宣布时间 2021-07-19

前言：


零信任的泛起将网络防御范围从广泛的网络界限转移到单个或小组资源，同时它也代表新一代的网络宁静防护理念，打破默认的“信任”，秉持“连续验证，永不信任”原则，即默认不信任网络内外的任何人、设备和系统，基于身份认证和授权，重新构建访问控制的信任基础，确保身份可信、设备可信、应用可信和链路可信。本文旨在通过介绍东森平台零信任架构如何妙手回春解决困扰传统宁静用户的诸多“心病”，资助您对零信任这一宁静理念有更为全面地了解。


理想很丰满现实很骨感零信任的落地之旅会遭遇哪些困境呢 ？


零信任是一种宁静体系架构，它打破了传统的认证即信任、界限防护、静态访问控制、以网络为中心等防护思路，建立起一套以身份为中心，以识别、连续认证、动态访问控制、授权、审计以及监测为链条，以最小化实时授权为核心，以多维信任算法为基础，认证达末端的动态宁静架构。


零信任宁静体系建设的远大愿景：


1、依托IAM技术、终端环境感知技术，重构企业身份体系和身份计谋，推动网络人员身份的可信任；

2、改变传统的认证方式，构建先认证后连接和连续认证机制，提升网络的防护能力；

3、结合终端、EDR、业务行为、网络态势等因素，建立连续信任评估机制和模型，支撑动态自适应访问控制权限管理，�；ひ滴窈褪莸哪残�；

4、支撑远程办公、大数据中心、云宁静平台等多种场景的宁静防护。


然而，零信任宁静体系的落地之旅，不仅仅是简单的产物部署，它是一项庞大的工程，涉及组织管理、技术、成本等多项因素，在实际落地过程中存在着技术层面、管理层面、投入与落地周期等困境。


技术层面困境


身份管理


零信任的基础是以身份为中心，需要以IAM为基础建立用户业务系统身份管理机制。部门用户的身份管理基础单薄，各业务系统独立的身份系统，疏散在系统中的身份数据异构体难以形成统一管理，使得零信任在企业身份管理部署期间，需要优先考虑IAM建设，逐步形成多因素的身份管理计谋。


权限管理


基于角色的授权RBAC是当前企业业务系统主要的授权模型，权限管理疏散，零信任接纳ABAC授权模型，需要对当前用户权限进行整合革新，革新调整涉及众多的业务系统，难度比力大。


动态授权和连续信任是零信任的核心之一，需要在权限统一管理基础上建立连续信任评估机制，而加入信任评估的因素的几多决定信任评估结果的准确率，信任评估模型作为零信任的核心，需要凭据差异网络构建差异的评估模型，准确精准度要求高，当前连续信任缺乏统一的落地。目前缺乏统一的信任评估机制尺度体系指标，动态授权落地难。


产物、体系融合


零信任是一个宁静体系，涉及终端环境感知、IAM、EDR、UEBA等多种宁静产物，在用户实际环境中可能用户已经具备态势感知、终端环境感知等相关的宁静产物，零信任系统需要同这些系统进行对接融合，融合难度大。


等保2.0中明确系统宁静�；せ肪呈乔帜睬蚪缦薜�，与零信任的不再以一个清晰的界限来划分信任的看法是存在矛盾点的。但零信任的本质看法上，除了不再区分清晰的界限，其实还有另一个层面，就是信任网络或是信任访问的看法，所以零信任在我国企业网络环境中的落地，存在基于等保防护思路和零信任技术体系的融合。


管理层面困境


零信任致力于打造一个宁静可信任的网络环境，会很洪流平上改变用户现在已有的网络访问方式，从推广力度上存在一定的难度。作为一种新的技术体系，传统的管理要求、管理制度已经不适用于新的技术配套要求，需要对现有的管理要求、管理制度、管理组织进行调整，驱动零信任体系建设、维护事情。


投入和落地周期困境


零信任在Google Beyond Corp实施落地用了7年时间，落地周期长，成本消耗高。零信任自己属于一个宁静建设体系，不是一个产物或是一个平台，涉及IAM、终端管理、EDR、态势感知、行为分析等多种技术手段，投资高，建设周期长。所以，零信任建设需要凭据差异企业梳理现有的网络环境以及零信任建设水平，分步融合现有环境逐步实施。


完整的零信任是一个理想的愿景，用户在构建零信任网络之前，首先需要确定实现范围，成熟度较高的零信任网络包罗许多交互的子系统。


最开始构建零信任网络时，不需要满足全部需求，而应当在实现过程中逐步完善，部门用户应制止陷入到“最初构建零信任体系对现有宁静体系的改变很小，而误认为只需用极小的成本，极少的调整便可一劳永逸地实现零信任宁静架构，从而摒弃对零信任架构连续建设和完善”的误区。