分類
CISSP

什麼是零信任(What is Zero Trust)?

零信任是一種網絡安全範式,用於支持可見性的細粒度,動態和以數據為中心的訪問控制。
(訪問控制基於需要了解和最小特權的原則,通過身份驗證,授權和計費來中介資源的使用。)
零信任網絡安全範例
下圖總結了我對“零信任”的研究,該研究綜合了各種來源,例如Jericho論壇,DoD GIG / Black Core,Forrester的零信任網絡,Google的BeyondCorp,CSA的SDP和NIST SP 800-207。
https://ithelp.ithome.com.tw/upload/images/20210326/20132160tXcIEIl6p4.jpg

零信任概念(Zero Trust Concepts)
. 以數據為中心的訪問控制
. 沒有固有的信任(信任是特權;它是獲得和給予的)
. 訪問前和連續驗證
. 細粒度的規則和動態策略
. 檢查,記錄,監視和可見性

零信任架構(Zero Trust Architecture)
. 主題和數據,服務,設備和基礎架構
. 控制平面和數據平面
. 政策執行點
. 策略決策點(策略管理員和策略引擎)
. 信任算法及其輸入(基於屬性和風險)
https://ithelp.ithome.com.tw/upload/images/20210326/20132160ODksWoUILN.jpg

約翰·金德瓦格(John Kindervag)和零信任(Zero Trust)
約翰·金德瓦格(John Kindervag)在2010年創造了零信任(Zero Trust),以消除依賴周邊安全性的“信任”概念。他主張邊界安全性已被破壞並且不再足夠,並且將對網絡位置的盲目信任稱為“破壞性信任”。我相信“固有授權”是他的“零信任”網絡模型中“信任”的核心思想,並總結出他的“零信任”的主要思想如下:
不要依賴網絡位置(粗粒度的邊界),而要使用集成的分段網關(NGFW,下一代防火牆)將數據和相關資源(他稱為MCAP或微核和邊界)分組為較小的部分。

零信任神話(Zero Trust Myths)
他現在是Palo Alto Networks的現場CTO。該公司介紹了“零信任神話”:

  1. 零信任的目標是使系統可信。
  2. 這是複雜,昂貴且費時的。
  3. 零信任與身份有關。
  4. 您可以在第3層進行零信任。
    除第一個神話外,我都同意,第一個神話將“信任”視為“固有授權”的同義詞。我們不會構建依賴於固有授權(即上面所謂的“信任”)的系統,但我寧願將信任定義為對安全性或信任度的信任。因此,我們確實希望消除固有的授權(盲目/破碎的信任),以使系統可信(安全和可信),即交付安全可靠的系統並提供保證。

參考
NIST SP 800-207
約翰·金德瓦格
零信任的真相(Palo Alto)
將安全性構建到網絡的DNA中:零信任網絡架構(Forrester)
國防部全球信息網格(GIG)建築願景
BeyondCorp –企業安全性的新方法(Google)
軟件定義的邊界(SDP)體系結構指南(CSA))
零信任架構和解決方案(Gartner)

資料來源:Wentz Wu 網站

作者: stevencho

從事資訊工作二十多年,對資安極具熱情,在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理,負責 資安產品之技術支援與大型企業導入專案。此外,他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品的專業證照。