零信任安全模型

零信任安全模型(英語:Zero trust security model),也稱零信任架構零信任網絡架構ZTAZTNA等,還有時稱為無邊界安全perimeterless security),此概念描述了一種IT系統設計與實施的方法。零信任安全模型的主要概念是「從不信任,總是驗證」 ,即不應默認信任設備,即使設備已經連接到經許可的網絡(例如公司局域網)並且之前已通過驗證。大多數現代企業網絡結構複雜,包含眾多相互連接的區域、雲服務以及基礎設施,以及與遠程和移動環境的連接、非常規IT連接(例如物聯網設備)。零信任原則是因傳統的方法(如在名義上的「企業邊界」內信任設備,或者設備通過VPN進行連接)不切合企業網絡的環境複雜性。零信任提倡相互認證英語mutual authentication,包括在不考慮位置的前提下檢查設備身份和完整性,以及基於設備身份和設備狀況的置信度來結合用戶身份驗證,提供對應用程序和服務的訪問許可。[1]

背景

編輯

1994年4月,Stephen Paul Marsh在其斯特靈大學計算機安全專業的博士論文中提出了「零信任(zero trust)」一詞。Marsh的研究將「信任」視作可以用數學描述的有限事物,斷言「信任」的概念超越了道德倫理合法性正義和判斷等人為因素。[2]

2003年的Jericho Forum英語Jericho Forum強調了為組織IT系統定義邊界的挑戰性,討論了當時稱為「去邊界化」的趨勢。2009年,Google實施了一種名為BeyondCorp英語BeyondCorp的零信任架構。Forrester Research英語Forrester Research的分析師John Kindervag在2010年使用術語「零信任模型」表示更嚴格的公司內部網絡安全計劃和訪問控制。[3] [4]

2019年,英國國家網絡安全中心英語National Cyber Security Centre (United Kingdom)(NCSC)建議網絡架構師考慮對新增IT部署採用零信任措施,尤其是大量使用雲服務的計劃。[5]

原則和定義

編輯

2018年, NISTNCCoE英語National Cybersecurity Center of Excellence的網絡安全研究人員在美國開展的工作促成了「SP 800-207,零信任架構」的發布。 [6][7]此刊物將零信任(ZT)定義為「一組概念和想法」,用以應對「受損」(遭侵入)的網絡,減少信息系統和服務準確為每個請求執行訪問權限決策時的不確定性。零信任架構(ZTA)屬於企業級的網絡安全規劃,採用零信任理念,並包含組件關係、工作流程規劃和訪問策略。

NCSC[5]採用了一種替代但保持一致的舉措來確定零信任架構背後的關鍵原則:

  1. 一種足夠強的用戶身份源
  2. 用戶身份驗證
  3. 機器身份認證
  4. 額外上下文,例如策略合規性和設備健康狀況
  5. 訪問一個應用的授權策略
  6. 應用程序中的訪問控制策略

參見

編輯

參考資料

編輯
  1. ^ Mutual TLS: Securing Microservices in Service Mesh. The New Stack. 2021-02-01 [2021-02-20]. (原始內容存檔於2021-03-13) (美國英語). 
  2. ^ Stephen Marsh, Google Scholar, 2021-03-03 [2021-03-03], (原始內容存檔於2018-12-01) 
  3. ^ Akamai Bets on 'Zero Trust' Approach to Security. www.wsj.com. [2022-02-17]. (原始內容存檔於2022-02-18) (英語). 
  4. ^ Forrester Pushes 'Zero Trust' Model For Security. www.darkreading.com. [2022-02-17]. (原始內容存檔於26 August 2021) (英語). 
  5. ^ 5.0 5.1 Network architectures. www.ncsc.gov.uk. [2020-08-25]. (原始內容存檔於2021-01-21) (英語). "Network architectures"頁面存檔備份,存於網際網路檔案館). www.ncsc.gov.uk. Retrieved 2020-08-25.
  6. ^ Zero Trust Architecture | NCCoE. www.nccoe.nist.gov. [2020-08-25]. (原始內容存檔於2021-04-22). 
  7. ^ Rose, Scott; Borchert, Oliver; Mitchell, Stu; Connelly, Sean. Zero Trust Architecture (PDF). nvlpubs.nist.gov. NIST. [2020-10-17]. (原始內容 (PDF)存檔於2021-04-21).