零信任網(wǎng)絡簡介

零信任是IT組織使用的一種“從不信任，總是驗證”的框架，用于增強對竊取敏感數(shù)據(jù)、私有信息和資源的外部攻擊的防御。IT和企業(yè)架構師使用基于零信任原則的零信任架構來設計和實現(xiàn)健壯且有彈性的基礎設施。當零信任通過保護網(wǎng)絡和通信來保護傳輸中的數(shù)據(jù)時，稱之為零信任網(wǎng)絡。

在2020年以后，網(wǎng)絡零信任的概念在企業(yè)中變得非常流行，其原因如下：

• 通過網(wǎng)絡采用自帶設備辦公的遠程用戶和員工增加。
• 位于企業(yè)網(wǎng)絡邊界之外基于云的資產(chǎn)的增加。
• 全球范圍內的去全球化和網(wǎng)絡威脅。
• 嚴格遵守法規(guī)，確保網(wǎng)絡安全。
• 采用Kubernetes容器編排平臺進行擴展。

零信任網(wǎng)絡可以通過消除或減少對用戶和應用程序對資產(chǎn)或資源的信任來實現(xiàn)，而不考慮網(wǎng)絡位置。隨著混合云中微服務的不斷增加，選擇各種應用程序來實現(xiàn)可能是一項非常艱巨的任務。實現(xiàn)零信任網(wǎng)絡的最佳方法是使用服務網(wǎng)格，例如Istio或Linkerd。

零信任網(wǎng)絡的十大支柱

根據(jù)美國國家標準與技術研究院和美國國家網(wǎng)絡安全卓越中心制定的SP800-207標準，以及網(wǎng)絡安全服務商在大型企業(yè)實施零信任方面數(shù)十年的專業(yè)知識，提出了IT經(jīng)理應該考慮的10個安全和合規(guī)支柱，以實現(xiàn)零信任網(wǎng)絡。

(1)使用Authn/Authz身份

身份意味著驗證用戶對資源(例如web應用程序、API、平臺、設備或數(shù)據(jù)庫)的使用情況的數(shù)字身份。用戶可以是人員——客戶、雇員、顧問成員、參與者，也可以是機器——應用程序、API調用、硬件設備等。用戶的身份及其使用資源的權限可以使用身份驗證和授權(Authn/AuthZ)機制進行驗證。除了身份管理之外，企業(yè)處理多個微服務的安全需求還包括對用戶和應用程序的粒度控制、合規(guī)性標準、RBAC等。在現(xiàn)實生活中，身份識別與訪問管理(IAM)的實現(xiàn)可能非常復雜。

(2)使用基于mTLS的通信的安全通道

相互傳輸層安全(mTLS)是一種在網(wǎng)絡上連接的雙方之間進行身份驗證的方法。基于mTLS的通信在雙方(例如客戶端和服務器)之間是高度安全的，因為每個應用程序首先使用X.509證書對自己進行身份驗證，并且通信是基于定期輪換的私鑰進行的。mTLS被認為是安全套接字層(SSL)的繼承者。

(3)認證管理

確保雙方之間的連接是其中的一部分，證書管理和輪換是持續(xù)維護的一部分。在安全策略定期升級或安全漏洞的情況下，舊證書將會無效。云計算架構師和平臺工程師應該為管理員和運營團隊想出一種有效的方法，輕松地輪換SSL或SAML證書，生成私鑰并在所有微服務之間分發(fā)。

(4)RBAC、多租戶和隔離

允許或拒絕用戶對各種資源的讀/寫/刪除權限是一個持續(xù)的任務。應該有必要的控制措施來實現(xiàn)基于角色的訪問控制的粒度策略。大型企業(yè)通常需要為各種項目或平臺團隊創(chuàng)建專用的工作空間，并且應該規(guī)定將多租戶作為安全措施的一部分。

(5)將可信源列入白名單

白名單可能是安全工程師采用的最簡單的“網(wǎng)絡安全措施”，它包括向管理員批準的IP和應用程序提供對系統(tǒng)的訪問，這在最近的BYOD場景中特別有用，在這種場景中，某些應用程序被允許訪問VPN中的資源。

(6)FIPS和SOC-2合規(guī)性(適用于美國公司)

美國國家標準與技術研究院和美國注冊會計師協(xié)會等機構為每個IT組織提供指導和FIPS和SOC法規(guī)。根據(jù)NIST的規(guī)定，美國所有非軍事、政府機構和供應商必須遵守聯(lián)邦信息處理標準。類似地，系統(tǒng)和組織控制標準規(guī)定了服務組織處理客戶數(shù)據(jù)的方式。它涵蓋了5個主要方面——客戶數(shù)據(jù)的安全性、可用性、處理完整性、保密性和隱私性。因此，對于任何在北美以外運營的公司來說，遵守諸如FIPS和SOC-2之類的法規(guī)是很重要的。

(7)Web應用防火墻

Web應用防火墻可以保護Web應用免受DOS攻擊、SQL注入攻擊、交叉?zhèn)卧斓裙?。WAF是一種L7協(xié)議，作為Web應用程序的盾牌，網(wǎng)絡工程師可以創(chuàng)建各種規(guī)則和策略，例如流量過濾，以防止應用程序中的漏洞。

(8)防止數(shù)據(jù)丟失

數(shù)據(jù)丟失防護是檢測和防止數(shù)據(jù)泄露的實踐。數(shù)據(jù)丟失防護也是SOC-2合規(guī)性的一部分。數(shù)據(jù)丟失防護是法案的主要目的是防止數(shù)據(jù)在組織邊界之外的非法傳輸。網(wǎng)絡團隊和云計算工程師應該專注于構建一個能夠抵御惡意內部人員或外部勒索軟件威脅的系統(tǒng)。

(9)機密管理

在Kubernetes中，集群內部或外部的許多服務使用機密信息相互通信。開發(fā)人員應該進行適當?shù)臋C密管理——將敏感數(shù)據(jù)(例如密碼、密鑰和令牌)存儲在具有嚴格訪問控制的安全環(huán)境(例如Vault)中。

(10)多集群可見性

大量使用云計算和容器的IT組織應該有一個多集群可見性的中心平臺。他們應該能夠查看所有名稱空間和集群的工作負載、資源和基礎設施(例如入口和負載平衡器)以及運行狀況和性能狀態(tài)。站點可靠性工程(SRE)應該具有實時日志和指標聚合和分析功能，以便通過快速診斷更快地應對任何情況。