對(duì)于首席信息官們來(lái)說(shuō)，網(wǎng)絡(luò)罪犯似乎可以隨意攻擊，而且太容易得逞。為了應(yīng)對(duì)日益增長(zhǎng)的威脅，網(wǎng)絡(luò)安全專業(yè)人士對(duì)“零信任”(Zero trust)達(dá)成了新的共識(shí)——這種防御方法基于這樣一種理解:網(wǎng)絡(luò)威脅可以起源于傳統(tǒng)網(wǎng)絡(luò)邊界以外或內(nèi)部的任何地方，從惡意的內(nèi)部人員到犯罪團(tuán)伙和民族國(guó)家。因此，不應(yīng)信任任何用戶、設(shè)備和流量，并應(yīng)定期對(duì)其進(jìn)行安全檢查和審查。

[[420712]]

通過(guò)按照最低權(quán)限訪問、網(wǎng)絡(luò)微分段、快速事件檢測(cè)和響應(yīng)以及全面安全集成的原則重新設(shè)計(jì)網(wǎng)絡(luò)防御，組織可以阻止大多數(shù)攻擊，并將那些確實(shí)通過(guò)的攻擊的影響降到最低。

所以:問題解決了嗎?不完全是。雖然零信任毫無(wú)疑問代表了一個(gè)重要的進(jìn)步，值得廣泛采用，但它不是魔法，也不是萬(wàn)無(wú)一失的。事實(shí)上，在模型的大多數(shù)定義中，都存在一個(gè)固有的盲點(diǎn):假設(shè)網(wǎng)絡(luò)流量完全可見，以確保它不會(huì)帶來(lái)風(fēng)險(xiǎn)。

實(shí)際上，Internet上的絕大多數(shù)流量都是用SSL或TLS加密的，這使得傳統(tǒng)安全設(shè)備看不到它，也不受零信任策略的影響。

零信任可能會(huì)錯(cuò)過(guò)什么

作為在線通信的基礎(chǔ)，加密一直是數(shù)據(jù)保護(hù)和隱私的福音，但它對(duì)安全的影響一直存在更多問題。

一方面，加密可以非常有效地防止欺騙、中間人攻擊和其他常見的exploit。另一方面，你不能監(jiān)視、過(guò)濾或分析你看不到的東西——所以任何隱藏在加密網(wǎng)絡(luò)流量中的勒索軟件或惡意軟件都不會(huì)被你的安全堆棧檢測(cè)到。

一旦惡意軟件進(jìn)入環(huán)境，近一半的惡意軟件現(xiàn)在使用TLS建立連接并與命令和控制服務(wù)器通信，使受害者無(wú)法跟蹤或阻止正在進(jìn)行的攻擊。

當(dāng)然，安全廠商和許多首席信息官都很清楚SSL和TLS加密對(duì)網(wǎng)絡(luò)安全構(gòu)成的挑戰(zhàn)。因此，SSL和TLS解密已成為許多安全設(shè)備的共同特性。

不幸的是，這一過(guò)程的移動(dòng)速度往往和機(jī)場(chǎng)安檢線一樣快，尤其是當(dāng)有問題的設(shè)備沒有將加密作為主要功能設(shè)計(jì)出來(lái)，而且缺乏必要的硬件。對(duì)于安全堆棧中的每個(gè)元素，這個(gè)過(guò)程也需要不斷重復(fù)，每增加一跳就會(huì)增加延遲。

這可能會(huì)顯著降低安全設(shè)備的性能，同時(shí)增加網(wǎng)絡(luò)延遲、瓶頸、成本和復(fù)雜性。而且，隨著每個(gè)后續(xù)安全組件(DLP、防病毒、防火墻、IPS和IDS等)為自己的目的依次對(duì)流量進(jìn)行解密和重新加密，這種影響會(huì)成倍增加。

除了危及業(yè)務(wù)用戶和客戶的服務(wù)質(zhì)量之外，跨安全堆棧的分布式、循環(huán)解密、檢查和重新加密破壞了零信任模型核心的簡(jiǎn)單性。

通過(guò)在多供應(yīng)商、多設(shè)備安全基礎(chǔ)設(shè)施的多個(gè)位置部署私有加密密鑰，組織不可避免地?cái)U(kuò)大了攻擊面，在試圖降低風(fēng)險(xiǎn)的同時(shí)增加了風(fēng)險(xiǎn)。

實(shí)現(xiàn)零信任的完全可見性

零信任的前提是合理的。SSL和TLS加密的價(jià)值也是如此。我們需要的是在滿足現(xiàn)代業(yè)務(wù)的性能需求的同時(shí)，讓它們?cè)谙嗤捏w系結(jié)構(gòu)中共存。

解決“零信任”盲點(diǎn)的方法很簡(jiǎn)單——事實(shí)上，關(guān)鍵在于簡(jiǎn)單。與其在逐設(shè)備或逐跳的基礎(chǔ)上執(zhí)行解密、檢查和重新加密，組織應(yīng)該集中此功能，并使用單一、專用、高性能的SSL和TLS檢查元素來(lái)一次性支持整個(gè)安全堆棧。

通過(guò)這種方式，流量可以被解密一次，由任意數(shù)量的單獨(dú)安全設(shè)備串聯(lián)進(jìn)行檢查，然后在繼續(xù)進(jìn)入或離開環(huán)境之前重新加密。雖然對(duì)性能可能仍然有很小的影響，但它只是循環(huán)方法復(fù)合效果的一小部分，而且為有效的零信任所需的全面可見性付出的代價(jià)很小。

當(dāng)前的網(wǎng)絡(luò)犯罪浪潮需要CIO和CISO緊急應(yīng)對(duì)。在當(dāng)今高度分布式的環(huán)境、多孔的企業(yè)網(wǎng)絡(luò)和在任何地方工作的勞動(dòng)力中，零信任提供了一種加強(qiáng)安全性的方法，但前提是它的模型能夠在不犧牲服務(wù)質(zhì)量的情況下完全實(shí)現(xiàn)。

對(duì)全面交通檢查的需要常常迫使組織在安全與性能之間做出不可能的權(quán)衡。但是通過(guò)采用一種集中的方法來(lái)進(jìn)行SSL和TLS檢查，CIO和CISO可以實(shí)現(xiàn)對(duì)他們的業(yè)務(wù)需求的保護(hù)——以及他們的客戶所期望的性能。