作者：ADI_bcmaguire
网络边界–高墙即将倒塌。数字革命正在推动连接达到超出传统企业网络的前所未有的水平。这里有一些例子说明了这一点：
到2020年，68%的业务应用工作量将出现在公共云中——《思科全球云指数：预测和方法(2015-2020)》；
80%以上的全球知识工作者从网络外连接——《PGI全球电信网络调查》；
物联网设备和运营技术(OT)正在大量连接到IT网络，这使得人们很难知道连接到网络的是什么；
为了更好地协作和同步，供应商、承包商和合作伙伴的生态系统获得了系统访问权限；并且
Gartner估计，在未来一年内，25%的企业数据流量将绕过边界安全防护，直接从移动设备流向云端
数字时代挑战。在数字时代，识别和保护静态网络边界几乎是不可能的。不出所料，根据2018年《Verizon数据泄露报告》，泄露数量仍然相当大。更糟糕的是，Verizon调查中有68%的入侵事件持续数月都没有被发现。关键是不管您有没有发现破坏分子，他们一直存在于网络中。
有什么问题呢？传统上，与网络的交互是通过局域网(LAN)和广域网(WAN)进行的。这种环境下的安全侧重于使用防火墙、网络访问控制和虚拟专用网络(VPN)来保护边界。一旦用户或设备获得网络的访问权限，他们就可以访问网络边界内的任何地方。典型的漏洞是获得网络访问权限，然后横向移动到预期目标。网络钓鱼攻击和内部威胁都利用了这种漏洞。
保护静态安全网络边界的理念对于现代数字环境没有效果。随着云和移动应用的发展，以及连接设备的激增，网络边界变得非常动态。
为了克服这一挑战，出现了一种基于零信任的不同模式。
零信任–没有内部。零信任是从“信任，但验证”到“永不信任，始终验证”的模式转变。其基本思想是没有“网络内部”，即没有安全边界。假设整个网络都是受到威胁和充满恶意的。在这个模式中，每个用户和设备都同样不受信任。要在授予访问权限之前建立信任，需对访问资源或数据的每个请求进行评估。
正在向零信任转变。将模式更改为执行零信任需要时间。在前一篇文章中，我建议关注“保护表面”，这是一个组织最重要的功能和资产。这个建议同样适用于实施零信任；从“最重要的部分”开始。
在实施零信任时，要应用四个基本原则：
连接前验证–允许连接前验证身份。确保只有经过验证的用户和设备才能访问应用、资源和数据。
限制访问权限–根据身份，采用“最小特权”策略，并严格执行访问控制，以减少过多的用户特权。
提高可见性–检查并记录所有可疑活动的网络流量，以提高安全检测和响应。跟踪何人正在访问网络、从何处访问、访问哪些应用以及何时了解实时用户行为。
保护终端安全以固定信任链–在“数据产生地”终端建立身份，以实现端到端的安全，并为身份验证提供基础。
任何正在评估或实施的网络安全解决方案都应支持这四个原则。
安全终端的六个必备条件。保护终端设备是固定支持零信任模式的信任链的最佳方法。保护终端安全有六个关键要素：
信任身份的硬件根–由于硬件是不可变的（固定的），因此固定在硬件中的身份为身份验证、完整性、认证和防篡改提供了强有力的验证。如果更改或交换硬件，则会拒绝访问。
安全启动–硬件加强了嵌入式软件的完整性和真实性。它确保系统的可靠性并确保执行预期功能。
安全更新–硬件加强了安全更新图像的完整性和真实性。在执行更新过程之前，会对更新图像的来源进行验证。这确保对现场产品的更新只来自受信任的来源。
可信执行环境（TEE）–这是主处理器内的安全区域。它在隔离式环境中与操作系统并行运行。它保证TEE中加载的代码和数据在保密性和完整性方面受到保护。TEE用于安全敏感操作。
安全调试–调试接口访问被锁定，以防止访问调试功能，这是设备最易受攻击的状态。只有受信任/授权的资源才能解锁接口以获得访问权限。
安全通信–两个端点之间的相互验证为正在共享的数据提供了机密性和完整性。
权衡 – 终端性能与安全性。安全并非毫无代价。在端点实现安全性可能需要增加尺寸和重量，损害其他功能，并可能增加成本。提高何处的安全性以及安全性提高到什么程度的答案取决于应用的性能要求和所需的安全级别。
图1提供了一种思考方法。端点的大小、重量和功率方面受到的限制比云受到的限制更多，使安全空间更小。同时，端点需要保护的方面较少，这使得它成为提高安全性的理想选择。这就是为什么从系统的角度考虑网络安全如此重要的原因。可能更改何处的安全性以及安全性更改到什么程度的答案根据系统内的权衡情况决定。作为一个通用概念，目的是保护最重要的端点的安全，在它发挥作用时将安全性从该端点移开。
应用–不会那么快。Forrester Research于2005年提出了零信任的概念。尽管这一概念已经存在了十多年，但尚未被普遍接受。应用程度取决于人们认识到实施零信任所带来的好处超过其所需的更高成本。
意义。由于缺乏可防御的网络边界，将网络风险扩大到远远高于大多数组织可接受的水平，因此应加快采用零信任方法。这将使成本效益分析倾向于转向零信任模式。在数字时代，零信任是一种更好的方式。
我们的ADI团队正在实施保护终端安全的解决方案，并基于硬件中的身份提供信任流和身份验证。保护终端安全具备颠覆性意义。在六个网络安全必备条件下设计有助于保护终端安全并使组织加快数字化转型的步伐
市场反馈结果。2018年《PwC数字信任见解调查》采访了3,000位企业领导人，“81%的受访者表示物联网至少对他们的部分业务至关重要。然而，只有39%的人表示，他们非常有信心，他们正在物联网应用中构建足够的“数字信任”控制——安全、隐私和数据伦理。”
将欢呼送给数字自由战士。将欢呼送给我们的确定性以太网和网络安全工程团队，他们致力于寻找安全地将以太网推动到终端的解决方案。
本文转自：【工程师博客】零信任，一种更好的方式
