隨著我們對技術的增加，我們面臨著網絡攻擊的風險。大多數設備連接到Internet，包括我們的智能卡，信用卡處理器和企業計算機，使我們脆弱。
網絡安全是全世界政府和組織的重點。每個人都知道如果發生違規，可能會損害其財務狀況和聲譽。
不幸的是，其中許多組織都忽略了內部的風險。內部人士是風險的來源，由於身份妥協。
公司內部的風險
大漏洞成為頭條新聞。我們聽說了從遙遠的土地上級聯的技術故障或惡意黑客，這給了我們錯誤的安全感。
但是任何組織都可能發生漏洞。 Solarwinds違規是發生違規的一個很好的例子 憑證妥協和常規軟件更新。黑客需要用戶下載污染的更新並部署它，然後將其連接到IT的命令和控制，以便攻擊者可以獲得遠程訪問。
結果令人震驚。攻擊者甚至進入了多個政府網絡和關鍵基礎設施。
這並不是唯一涉及損害證書的違規行為。這 殖民管道攻擊首先是來自非活動帳戶的憑證。攻擊者僅使用一個密碼，破壞了美國東南部的燃料供應，阻礙了向主要東海岸市場的燃料運輸。在這種情況下，多因素身份驗證將使攻擊更加困難，或者至少在攻擊者和關鍵系統之間進行了另一種安全措施。
與這些違規行為的相似之處在於，網絡安全性的穩健性不如需要，但最終的根本原因仍然是弱的證書。
這些是內部風險的主要類型：
- 人為錯誤：人為錯誤始終是一種風險。設備可以被盜，可以通過不安全的網絡共享信息，可能會誤導電子郵件，以及更多的，所有這些都導致潛在的弱點。
- 洩漏密碼和惡意意圖：員工可以洩漏密碼偶然地，但有些確實有惡意的意圖。他們共享密碼或信息，目的是損壞公司或竊取數據。
- 被劫持的身份：被劫持的身份使網絡犯罪分子訪問，這可能是通過受損的員工系統或與被盜的證書。然後，惡意黑客可以自由地增加其在系統中的訪問權限並找到所尋求的東西。
- 內幕風險的挑戰之一是來源是可信賴的，因此在檢測程序中可能不會脫穎而出。惡意黑客也可以隱藏自己的曲目，從而限制了法醫調查的好處。
限制性政策可能有助於網絡安全，但可能不能涵蓋受損害的身份。他們還抑制創新和生產力。
實施零信任策略和心態
擁有強大的網絡安全協議和技術，對於建立防禦的基礎至關重要，但這還不夠。組織需要廣泛的計劃，例如零值架構，其中包括零摩擦安全性，以促進具有安全性的良好用戶體驗。
零值模型的指導原則是永遠不要相信，始終驗證。該模型並沒有假設每個人都善良和安全，而是驗證了每個請求，就好像來自未知來源一樣，無論是來自員工還是熟悉的應用程序。
所有用戶都必須在訪問應用程序和數據之前進行身份驗證，授權和驗證。最少的特權和微分段也可以用來最大程度地減少橫向運動，從而確保惡意黑客不能造成太大的傷害。如果確實發生了違規行為，則使用分析來檢測和響應威脅。
零信託依賴於五個指導原則：
- 不斷發展的外圍：管理和捍衛外圍過去就像守護城堡牆一樣。現在，云網絡和遠程勞動力已經改變了周邊，舊模型不再是實用的。零信任可以整合整個網絡的安全性，而不是僅在周長。
- 驗證和身份驗證：所有用戶必鬚根據可用信息（例如身份，服務，位置和工作負載）進行身份驗證和驗證。
- 特權訪問權至少的原則：用戶訪問權限有限，並且僅在短時間內。他們需要在分配的時間完成任務所需的內容，然後將其特權撤銷。
- 假設違反：零信任的目標是如果通過細分訪問發生漏洞，則旨在最大程度地減少“爆炸半徑”。然後使用分析來檢測威脅，改善防禦能力並提高可見度。
- 零固有的信任：零信任體系結構始終假定用戶具有惡意意圖，直到他們證明否則為止。這與網絡中用戶的固有信任的傳統模型相反。必須驗證任何服務或應用程序。
- 勞動力，工作場所，工作量：這種三管齊下的方法適用於不同的方面。勞動力是建立訪問權限的用戶或設備的信任級別。工作場所是網絡上基於信任的訪問控制的實現。工作負載是預防分段網絡中未經授權的訪問。
- 持續信任驗證：零信任使用戶不斷建立信任和以不同的方式驗證其身份，包括多因素身份驗證。它還可以執行最低特權訪問權限。
零信託包括許多國防領域，包括：
- 身份始終通過身份驗證進行驗證和確保
- 在授予訪問之前，在端點上驗證了合規性和健康狀況
- 應用程序內權限，封閉式訪問以及受監視和控制的用戶操作限制應用程序漏洞
- 數據驅動的保護優先於基於外圍的保護，並通過加密和限制訪問
- 最低特權訪問限制損害的身份和活動將自動標記並阻止
- 網絡中的任何內容固有地信任。通信是加密的，訪問受到限制，橫向運動受到微分細分的阻礙
保護自己免受受損身份
零信任已經存在一段時間了，但這對於我們在網絡安全方面面臨的新威脅很重要。企業不斷積累更多數據並與地理分佈式團隊合作，從而在網絡安全方面創造了複雜性。網絡罪犯知道，他們可以通過受損的身份獲得敏感數據，但是具有最低特權訪問權限的零信任模型為防止威脅和減輕損害提供了強大的解決方案。
關於作者
約瑟夫·卡森（Joseph Carson）是一位網絡安全專業人員，在企業安全和基礎設施方面擁有超過25年的經驗。目前，卡森（Carson）是首席安全科學家兼諮詢CISO大綱。他是網絡安全社區的活躍成員和經過認證的信息系統安全專業人員（CISSP）。卡森還是幾個政府，關鍵基礎設施組織以及金融和運輸行業的網絡安全顧問，並在全球會議上發表講話。
免責聲明：生物識別更新的行業見解是提交的內容。這篇文章中表達的觀點是作者的觀點，不一定反映生物識別更新的觀點。
