零信任架构:更安全网络的最佳实践
2020年10月27日

零信任体系结构使组织能够对访问和限制进行优先级排序. 目标是跨所有流量实现零信任策略, 确保没有用户, 设备, 或者系统会把网络置于危险之中.

零信任体系结构通常执行三个主要原则——不存在可信任的用户, 多因素身份验证(MFA)是必须的, 而微分割对于执行限制是至关重要的.

要实现零信任安全,组织需要采用 信息安全 扩展其端点可见性并支持对访问和特权的控制的实践和工具.

在本文中,你将学到:

  • 什么是零信任架构
  • 零信任架构的三个关键要素
  • 如何实现零信任架构

什么是零信任架构?

零信任架构是建立在没有安全边界的基础上的. 相反,每个事件和连接都被认为是不可信的和潜在的恶意的.

零信任体系结构的目标是保持网络受保护,尽管日益复杂的威胁和复杂的边界. 这就是为什么零信任体系结构也被称为零信任网络, 或者一般来说——零信任安全.

什么是零信任?
零信任模型实现了优先访问和限制的数据安全. 在当今的商业环境中,这一点尤为重要, 随着组织越来越需要确保远程工作人员的安全.

在零信任架构中, 用户, 设备, 在被证明是可靠的之前,服务将获得尽可能少的特权. 有时, 实现零信任网络访问时, 特权限制甚至在身份验证和授权之后也会扩展.

特别是, 零威胁架构旨在减少与云资源相关的漏洞, 短暂的端点, 动态攻击和物联网设备. 这些体系结构通常被具有高度敏感数据和系统的组织所采用.

零信任架构的3个关键要素

在评估零信任体系结构时,应该考虑三个元素. 这些元素对于零信任体系结构的成功部署和构建至关重要.

1. 没有虚假的安全感
在传统的架构, 在网络边界内发生的任何事情都被认为是可信的. 假设网络中的任何用户或活动都已经通过了身份验证并被授权存在那里. 这种模式假设外围安全是完美无缺的,内部人员从不怀有恶意.

对于任何熟悉安全的人来说,这个模型的缺陷应该是显而易见的. 在许多情况下,您的范围内的用户和事件都不值得信任. 例如, 带着被破坏的凭据或内部威胁进入的攻击者, 哪些可能滥用特权或通过网络横向移动. 零信任体系结构明确了这一点, 并优先保护免受内部威胁.

2. 多因素身份验证

多因素身份验证(MFA)是将凭证与额外的身份验证器结合使用. 例如,要求用户扫描指纹或确认发送到移动设备的PIN. MFA极大地降低了攻击者使用受威胁的凭证访问您的系统和数据的机会.

零信任体系结构将MFA实现为对其自身安全措施的双重检查. 它使用MFA来确保用户是他们声称的那个人,并确保正确地允许访问和事务. 外交部也在其中发挥了重要作用 PCI安全,它帮助组织按照PCI标准保护信用卡数据.

3. Microsegmentation
微分割是使用访问控制来隔离系统中的各种组件和服务. 它允许您对安全措施进行分层, 例如防火墙或授权措施, 为更安全. 它还允许您在粒度级别上限制对资产的访问, 减少攻击者利用侧面弱点的机会.

零信任体系结构利用微分割来确保即使是网络中的用户或应用程序也受到适当的限制. 它确保即使攻击者进入网络, 它们能造成的破坏程度是非常有限的.

微分割和云本地开发通常是齐头并进的. 然而,微分割本身并不能覆盖您的所有云安全需求. 重要的是要区分作为安全措施的微分割和 云安全 作为一个整体.

零信任:成功实施的原则

在构建零信任体系结构时,可以采用几种最佳实践. 下面是四个方法来帮助你优先考虑你的努力, 安全验证设备, 确保系统的可见性, 消除虚假信任.

1. 了解您的架构,包括用户、设备和服务
为了保护你的网络和资产,创建一个完整的用户、设备和服务目录. 这包括需要访问哪些数据和资产, 这种访问可能会造成多大的负担, 以及如何管理访问.

尤其要关注那些连接到您的网络的资产和组件. 例如, 优先关注具有内部或外部端点的服务器,而不是磁带备份.

注意预先存在的配置和权限也很重要. 如果您正在从传统的网络模型过渡到零信任,您可能需要更新服务和资产以确保持续的功能.

2. 创建一个强大的设备标识
确保只允许可信的设备在您的网络上, 从建立一个独特的开始, 每个都有可追踪的身份. 这些标识允许您验证资产是否得到有效管理,并公开不受信任的设备. 另外, 您为设备创建的身份对于根据您定义的策略验证权限和访问是必要的.

根据设备的硬件、平台和类型,有几种方法可以识别设备. 最可靠的方法是将身份信息存储在安全的硬件协同处理器上. 这种方法很难伪造,是一种高度信任的方法.

当不可能使用硬件存储时,可以使用基于软件的密钥存储. 这种方法为管理良好的设备提供了合理的置信度. 但是,它只能为管理不善或未管理的设备提供较低的置信度.

3. 将监视重点放在设备和服务上
全面和持续的监视有助于确保即使您的安全措施失败, 你能够检测和阻止攻击. 尤其要关注监控设备和服务是如何交互的. 例如,请求什么、执行什么流程以及访问什么数据.

监控时,请记住每个设备都需要单独评估. 这并不意味着您不应该跨设备关联数据. 然而,这确实意味着您不能依靠交通阻塞点来捕获可疑事件. 而, 根据网络中发生的事件来评估设备数据,以确保流量符合您定义的安全策略.

4. 不要相信网络,包括本地网络
记住,零信任意味着零信任. 这包括您的本地网络. 你不应该依赖网络本身来保护通信.

相反,要对网络中运行的设备和服务建立信任. 例如,通过执行诸如TLS之类的加密协议. 如果你依赖本地网络来保证安全, 您可能会将您的连接开放给DNS欺骗等攻击, 中间的人(MitM)进攻, 或未经请求的入站连接.

使用Exabeam的零信任架构

了解跨网络的单个设备, 您可以利用用户和实体行为分析(UEBA)工具. 为了有效,UEBA工具必须将单个行为与单个用户联系起来. 这些工具不仅可以将设备数据放在您定义的安全策略的上下文中, 同时也为正常活动建立一个行为基准.

零信任体系结构和UEBA共同强调异常行为可能表明存在威胁, 即使权限和凭证看起来是合法的.

Exabeam是一个易于实现和使用的智能SIEM平台. Exabeam具有内置的零信任功能. 特别是, Exabeam的用户和事件行为分析(UEBA)特性可以帮助实现以下目标:

  • 不依赖于规则或签名的事件检测-Exabeam识别异常和危险活动,无需预先定义关联规则或威胁模式,并提供有意义的警报,假阳性率较低.
  • 安全事件时间表-Exabeam将会议缝合在一起,创建一个安全事件的完整时间线, 生成用户, IP地址和IT系统.
  • 对等组-Exabeam动态分组相似的实体, 例如具有相同组织角色的用户, 分析群体中的正常行为并发现异常行为.
  • 横向运动-侵入系统的攻击者通过网络移动, 使用不同的IP地址和凭证访问越来越多的系统. Exabeam结合来自多个来源的数据,以发现攻击者在网络中的行程.

原文: Exabeam

职位:siteadmin
淘汰了中间的人

淘汰了中间的人

时间是下午12:53. 你刚刚来到你最喜欢的咖啡馆,与一位令人兴奋的潜在客户敲定了交易. 突然,你想起公司服务器上有一份文件,你需要在你的潜在客户之前快速浏览一遍...

阅读更多
友情链接: 1 2 3 4 5 6 7 8 9 10