零信任安全模型

零信任安全模型(英語:Zero trust security model),也稱零信任架構零信任網路架構ZTAZTNA等,還有時稱為無邊界安全perimeterless security),此概念描述了一種IT系統設計與實施的方法。零信任安全模型的主要概念是「從不信任,總是驗證」 ,即不應預設信任裝置,即使裝置已經連接到經許可的網路(例如公司區域網路)並且之前已通過驗證。大多數現代企業網路結構複雜,包含眾多相互連接的區域、雲服務以及基礎設施,以及與遠端和移動環境的連接、非常規IT連接(例如物聯網裝置)。零信任原則是因傳統的方法(如在名義上的「企業邊界」內信任裝置,或者裝置通過VPN進行連接)不切合企業網路的環境複雜性。零信任提倡相互認證英語mutual authentication,包括在不考慮位置的前提下檢查裝置身分和完整性,以及基於裝置身分和裝置狀況的置信度來結合使用者身分驗證,提供對應用程式和服務的訪問許可。[1]

背景

1994年4月,Stephen Paul Marsh在其斯特靈大學電腦安全專業的博士論文中提出了「零信任(zero trust)」一詞。Marsh的研究將「信任」視作可以用數學描述的有限事物,斷言「信任」的概念超越了道德倫理合法性正義和判斷等人為因素。[2]

2003年的Jericho Forum英語Jericho Forum強調了為組織IT系統定義邊界的挑戰性,討論了當時稱為「去邊界化」的趨勢。2009年,Google實施了一種名為BeyondCorp英語BeyondCorp的零信任架構。Forrester Research英語Forrester Research的分析師John Kindervag在2010年使用術語「零信任模型」表示更嚴格的公司內部網路安全計劃和訪問控制。[3] [4]

2019年,英國國家網路安全中心英語National Cyber Security Centre (United Kingdom)(NCSC)建議網路架構師考慮對新增IT部署採用零信任措施,尤其是大量使用雲服務的計劃。[5]

原則和定義

2018年, NISTNCCoE英語National Cybersecurity Center of Excellence的網路安全研究人員在美國開展的工作促成了「SP 800-207,零信任架構」的發布。 [6][7]此刊物將零信任(ZT)定義為「一組概念和想法」,用以應對「受損」(遭侵入)的網路,減少資訊系統和服務準確為每個請求執行存取權限決策時的不確定性。零信任架構(ZTA)屬於企業級的網路安全規劃,採用零信任理念,並包含組件關係、工作流程規劃和訪問策略。

NCSC[5]採用了一種替代但保持一致的舉措來確定零信任架構背後的關鍵原則:

  1. 一種足夠強的使用者身分源
  2. 使用者身分驗證
  3. 機器身分認證
  4. 額外上下文,例如策略合規性和裝置健康狀況
  5. 訪問一個應用的授權策略
  6. 應用程式中的訪問控制策略

參見

參考資料

  1. ^ Mutual TLS: Securing Microservices in Service Mesh. The New Stack. 2021-02-01 [2021-02-20]. (原始內容存檔於2021-03-13) (美國英語). 
  2. ^ Stephen Marsh, Google Scholar, 2021-03-03 [2021-03-03], (原始內容存檔於2018-12-01) 
  3. ^ Akamai Bets on 'Zero Trust' Approach to Security. www.wsj.com. [2022-02-17]. (原始內容存檔於2022-02-18) (英語). 
  4. ^ Forrester Pushes 'Zero Trust' Model For Security. www.darkreading.com. [2022-02-17]. (原始內容存檔於26 August 2021) (英語). 
  5. ^ 5.0 5.1 Network architectures. www.ncsc.gov.uk. [2020-08-25]. (原始內容存檔於2021-01-21) (英語). "Network architectures"頁面存檔備份,存於網際網路檔案館). www.ncsc.gov.uk. Retrieved 2020-08-25.
  6. ^ Zero Trust Architecture | NCCoE. www.nccoe.nist.gov. [2020-08-25]. (原始內容存檔於2021-04-22). 
  7. ^ Rose, Scott; Borchert, Oliver; Mitchell, Stu; Connelly, Sean. Zero Trust Architecture (PDF). nvlpubs.nist.gov. NIST. [2020-10-17]. (原始內容 (PDF)存檔於2021-04-21).