江苏龙网

  1. 首页 > 人文 > >

黑叔科技 解锁零信任安全的关键技术及挑战( 二 )


文章图片
零信任网络控制平面
为了使IP路由与目录一起工作并实施零信任网络策略 ， 网络必须能够保持状态 。 尽管防火墙和其他安全设备保持状态 ， 但迄今为止的IP网络是无状态的 。
原本路由器无状态是为了保持它们的简单和快速 ， 但现在通过在路由器中添加状态 ， 可以添加额外的服务 ， 使路由更加动态、智能和安全 。 多年来网络流量的增长迅速 ， 让路由器不堪重负 ， 所以创建能够快速处理数据包的路由器尤为重要 。
现在的网络需要基于边缘、分布和核心的体系结构 ， 其中路由是在分发层进行的 ， 交换在边缘和核心中完成 。 随着路由器从专用设备转向在网络边缘运行的软件 ， 在路由中增加额外安全和智能的限制或可被解除 。
如果将网络比作道路系统 ， 路面的各种车辆是IP包 ， 路边的房屋是设备或系统 。 今天任何人都可以离开自己的房子 ， 通过各种路线（网络）开车（IP包）到你家门口 。 他（或她）可能没有钥匙进入你的家 ， 但他（或她）可以藏起来 ， 等待进入的机会 ， 就如同网络病毒一样等待机会侵入你的电脑系统 。
然而在一个零信任的世界里 ， 任何人想去你家（访问设备或系统）必须事先和你预约（上报身份信息、设备、系统信息等） ， 并得到同意后才能拜访 。
零信任网络是数字虚拟世界中必要的安全保障 。
如何突破零信任的挑战
部分企业的IT部门已经实现了零信任的很多方面 。 他们通常已经部署了多因子身份验证、IAM和权限管理 。 其环境中也越来越多地实现了微分隔 。
但建立零信任环境不仅仅是实现这些单个技术 ， 而是应用这些技术来施行“无法证明可被信任即无法获得权限”的理念 。
企业得从战略上确定哪些技术有助实现这一理念 ， 然后再去买入这些技术 。
在技术的应用上最忌讳病急乱投医 ， 与其期待乱买来的药能治好病 ， 不如先好好诊断诊断 ， 弄清楚自身情况再采用相应的技术 。
转向零信任模型不是一朝一夕之功 ， 也不是件容易的事儿 ， 尤其是在有不适应该新模型的遗留系统的时候 。 很多公司都在向云端迁移 ， 这是个全新的环境 ， 很适合应用零信任模型 ， 可以从云端开始零信任旅程 。
公司企业 ， 尤其是有着复杂IT环境和大量遗留系统的大型企业 ， 应将零信任迁移看做是多阶段跨年度的一项工程 。
零信任迁移中的另一项挑战 ， 是让员工具备该新理念的思维方式
比较不幸的是 ， 大多数企业IT专家接受的教育或培训让他们默认企业环境是可信的 ， 他们被教导得想当然地认为防火墙能将坏人挡在外面 。
人们需要调整自己的思维模式 ， 要清楚当前态势下坏人可能早就在自家环境中了 。
公司企业还需认识到 ， 零信任与其他成功的IT或安全原则一样 ， 需要长期坚守 ， 不断维护 ， 而且零信任工作中的某些部分会更具挑战性 。
从传统企业网络迁移至BeyondCorp前 ， 谷歌花费两年时间来创建用户和设备信任库 ， 这是一个比较漫长的过程 。 谷歌实行BeyondCorp计划离不开高层的支持 ， 尽管该类型网络维护成本较低 ， 但对预算要求颇高 。
比如说 ， 微分区工作中 ， 安全/IT团队就必须确保配置修改是恰当的 ， 并更新不停改变的IP数据以保证员工工作或企业交易所需访问不被中断 。 否则 ， 企业可能会面临工作阻塞问题 。
很多公司都会想 ， 遭遇恶意软件导致业务中断 ， 和配置错误导致停工一天 ， 本质上都不是什么好事 。
微分隔方法所需的持续维护可能会带来很多临时应急的措施 ， 或许会让网络更加脆弱 。
在遗留系统和现有环境中整体应用零信任模型所导致的复杂性 ， 表明公司企业真的没有做好完全实现该模型的准备 。
因此 ， 公司企业最好是从设计上就打造零信任 ， 而不是在原有基础上修修补补 。 换句话说 ， 应将零信任模型作为公司整体数字转型战略的一部分 ， 实现那些有助于在云迁移过程中达成零信任的技术 ， 淘汰掉那些老旧的遗留系统 。


推荐阅读


上一篇：小胖先森 荣耀30S新配色蝶羽红正式开售

下一篇：【散热器】自己组装电脑，今日再战一城，散热器篇