企业如何实现零信任模型？
为员工提供对部署在防火墙后的企业应用程序的安全访问是所有企业的核心要求。企业还必须应对可以产生更大的风险，即提供访问承包商，供应商，合作伙伴，客户和开发人员的各种清单的机会。
无论这些应用程序在何处托管（无论是在公共云还是在私有数据中心中），这都是一项复杂而繁琐的任务，需要内部部署的硬件和软件，例如应用程序交付控制器（ADC），虚拟专用网络（VPN），身份和访问管理（IAM）系统等。
但是，使用所有这些技术，企业仍然面临各种安全风险，这些风险来自对内部应用程序的访问而导致整个网络可能被攻击。为了应对这些挑战，企业已开始依赖零信任理念。在本文中，我们将讨论零信任安全性如何实现。
零信任安全性是一种IT安全模型，要求所有试图访问专用网络上的资源的人和设备（无论它们位于网络外围之内还是之外）都必须进行严格的身份验证。没有单一的特定技术与零信任相关。它是一种结合多种不同原理和技术的整体网络安全方法。
零信任模型没有假设公司防火墙后面的所有信息都是安全的，而是假设违规并验证每个请求，就像它是来自开放网络一样。无论请求来自何处或访问何种资源，零信任都会教我们“永远不要信任，永远要验证”。
在授予访问权限之前，每个访问请求都经过完整的身份验证，授权和加密。微分段和特权最小的访问原理被应用以最小化横向移动。丰富的情报和分析功能可用于实时检测和响应异常。
零信任网络建立在五个基本要素上：
1、网络始终被认为是敌对的；
2、网络上始终存在外部和内部威胁；
3、网络位置不足以决定对网络的信任；
4、每个设备，用户和网络流都经过身份验证和授权；
5、策略必须是动态的，并应从尽可能多的数据源中计算得出。
零信任利用安全信息管理，高级安全分析平台，安全用户行为分析和其他分析系统之类的工具来帮助安全专家实时观察其网络中发生的情况，以便他们可以更智能地确定防御的方向。对与网络相关的事件数据进行分析的重点可以帮助在实际事件发生之前制定主动的安全措施。
最重要的是，数据身份验证是零信任的基础。用户，端点，电子邮件和云应用程序已成为充当攻击媒介的通信渠道。在无法信任任何人或任何设备的零信任模型中，将边界集中在智能身份验证的数据保护上是最好的安全性方法。因此，在开始实施“零信任”之前，代理商必须对用户及其角色，数据和技术资产有清楚的了解。
零信任不依赖于位置。用户，设备和应用程序工作负载现在无处不在，因此您不能在一个位置实施零信任，必须在整个环境中扩散零信任。合适的用户需要有权访问合适的应用程序和数据。
以下是实现零信任访问体系结构的步骤：
零信任网络也利用微分段，微分段是一种将安全边界划分为小区域的做法，以维护对网络各个部分的单独访问。例如，使用微分段的文件驻留在单个数据中心中的网络可能包含数十个单独的安全区域。
未经单独授权，有权访问这些区域之一的个人或程序将无法访问任何其他区域。
MFA是网络安全智能方法的基本构建块。正确使用它可以反映零信任的指导原则：“永远不要信任，永远要再次验证。”
MFA需要提供两个或多个身份验证因素：知识因素（只有用户知道的东西，例如密码，PIN或模式），占有因素（只有用户才知道的东西，例如ATM卡，智能卡，或移动电话）和固有因子（包含生物特征（例如指纹，视网膜扫描或面部扫描）的东西）。在展示时，必须验证每个因素以进行身份验证。
最小特权原则是将用户的访问权限限制为执行工作所需的最低限度的权限。在最小授权原则下，授予用户读取，写入或执行其工作所需的文件或资源的权限：换句话说，就是让用户所需的特权最小。
另外，最小特权原则可以应用于将应用程序，系统，进程和设备的访问权限限制为仅执行授权活动所需的那些权限。
就像用户一样，未经验证就无法信任设备。为了实现零信任安全，必须将以身份为中心的控件扩展到端点。这意味着必须首先注册用于访问公司资源的每台设备，以便可以对其进行识别和验证。
设备验证应使组织能够确定寻求访问内部资源的端点是否满足其安全要求。
通过实施零信任安全性，企业可以增强对谁有权访问哪些资源的控制。这也减少了组织的受攻击面，并通过使未经授权的资源不可访问甚至不可见来防止横向攻击。此外，零信任安全性还可以通过活动监视实现更大的可见性。
