Sectigo 網誌
零信任網絡架構詳解
什麼是零信任網絡架構？
零信任網絡架構（ZTNA）是一種安全模型，採用多層存取控制、攻擊防護與持續驗證機制，在授予用戶、裝置和程序對數據及應用的存取權限前完成校驗。採用 ZTNA 方案時，信任絕不會被預設授予，且必須持續接受評估。ZTNA 也被稱為零信任網絡存取、軟件定義邊界（SDP）或動態安全邊界（DSP），其運作不依賴預先定義的信任等級。
作為一種安全架構，零信任的目標是為數據和應用（包括面向遙距辦公人員的存取場景）提供更安全的存取能力。現今企業運作在複雜度大幅提升的互聯生態與雲服務環境中，零信任可幫助企業抵禦來自外部和內部威脅的惡意活動，避免造成嚴重損失的數據泄露事件。
隨著越來越多企業尋求提升自身網絡安全防護水平的方案，零信任的應用正在快速普及。更重要的是，面向用戶存取的零信任模型適用於任意規模的機構：無論你是小型企業還是大型企業，都可以透過部署零信任提升安全能力。
零信任有哪些優勢？
數碼轉型為機構拓展市場、提升銷售額、提高生產效率創造了新的機遇，但這種轉型也催生了新的攻擊向量，擴大了惡意行為者的攻擊面——現今攻擊者會部署複雜度持續提升的威脅，包括惡意軟件, 釣魚攻擊和勒索軟件。員工以及「受信任」的供應商、合作夥伴往往是系統的入侵入口，無論是無意成為受害目標，還是主動發起攻擊的惡意內部人員。
零信任網絡架構的核心優勢是，它能在當前的現代 IT 環境中，為數碼身份提供可靠的防護方案。IT 安全團隊已無法僅依靠防火牆保護自身網絡架構：當下的複雜環境涵蓋流動裝置、雲環境、DevOps、BYOD、IoT 裝置等多種場景。零信任可向所有身份——包括所有用戶、終端裝置、自動化的機器與應用程序——授予精細化的存取權限。
此外，ZTNA 具備完善的架構設計，不僅能封堵試圖獲取存取權限的外部威脅漏洞，還能在威脅進入網絡後控制其橫向移動。很多機構往往更關注外部邊界的搭建，對內部控制與系統配置的重視程度不足。以剛才提到的惡意內部人員為例，這類人員通常會試圖利用自身的「受信任」身份與憑證，在不被偵測的情況下存取其他系統。零信任透過不對任何身份預設授予信任，填補了這一安全缺口。
除零信任提供的強身份安全優勢外，另一項優勢是它並非「全有或全無」的部署方案。機構無需一次性徹底重構現有網絡基礎設施與雲安全體系，即可增量部署零信任。事實上，美國國家安全局（NSA）已明確零信任的三個成熟度等級並給出相關推薦:
- 基礎級：實現對數據和應用的基礎集成式安全存取。
- 進階級：完善集成能力，新增更多功能。
- 高級：部署高級防護與控制機制，配套完善的分析與編排能力。
這種靈活的部署策略可幫助 IT 團隊節省時間與成本，同時具備适配大型企業的可擴展性。
零信任網絡架構是如何運作的？
零信任網絡架構預設拒絕所有資源存取，僅當用戶或機器被顯式允許時才可存取，不存在預設的信任關係。此外，每次收到存取請求時，系統都會實時針對對應身份持續評估、批准（或拒絕）其存取權限。這種「永不信任，始終驗證」的校驗策略，是零信任與傳統網絡安全模型的核心區別。
它透過用戶認證、授權、檢測等多種機制運作，判定依據包括用戶身份、所在位置、操作系統與韌體版本、終端硬件類型等標準。零信任方案提供細粒度的最小權限存取，以限制威脅橫向移動。
零信任安全模型的三個階段
Gartner 針對零信任網絡存取定義了三階段策略，透過攻擊預測、防護、檢測與回應構建自適應安全態勢。
- 攻擊防護：這是一種將惡意攻擊阻擋在外的防禦性安全態勢。例如，可部署網絡分段、微分段等隔離技術加固網絡邊界。攻擊防護還包括在攻擊發生前進行預判，以及在威脅出現後快速發現、遏制與處置。
- 存取保護：這是一類存取管理機制，設計目標是僅放行受信任的流量。透過存取安全策略配置、使用情況監控、使用管理三者結合，構建自適應存取防護模型。
- 持續可視性與評估： 為遵守並落實必要的策略與體系，機構應建立相關流程，實現對自身環境的持續可視性與評估。這類流程是持續循環的：落實ZTNA安全狀態、監察狀態運作情況，並對其作出調整。
零信任與SASE有何分別？
安全存取服務邊緣（SASE）是現時流行的另一類安全框架，其設計初衷同樣是為應用程式及數據提供安全存取能力。SASE最初由Gartner於2019年定義為「一類新型技術組合，以軟件定義廣域網（SD-WAN）、安全Web網關（SWG）、雲存取安全代理（CASB）、防火牆即服務（FWaaS）及零信任網絡存取（ZTNA）為核心能力，具備識別敏感數據或惡意軟件的能力、線速解密內容的能力，可持續監察會話的風險及信任等級」。換言之，SASE是一個涵蓋零信任網絡架構的統稱。
兩者都是現代安全架構的重要組成部分，但存在差異：SASE以強數碼身份為基礎，提供全面、多維度的安全框架，不依賴用戶或裝置的實體位置；而零信任作為SASE的組成部分，僅聚焦於資源存取的策略與管控。兩者結合使用時，可提供更全面的安全解決方案，有效防護現今的現代IT生態。
如何構建零信任架構？
要落實這種安全方法，機構需要嚴格管控每一個人員及機器身份的存取權限。但零信任架構的構建極為複雜：本已複雜的環境仍在不斷擴展——涵蓋使用VPN及流動裝置的遙距辦公人員、部署在混合雲與多雲環境中的雲端服務、在DevOps環境中生產程式碼的開發人員、各部門透過機器人流程自動化（RPA）實現自動化的流程、廣泛部署並連接至系統的IoT裝置，以及其他各類企業應用。對於工作負擔過重的IT團隊而言，幾乎不可能高效管理所有這類身份，亦難以有效防範可能導致機構遭遇數據泄露及數據竊取的安全故障。
這正是公鑰基礎設施（PKI）發揮作用的場景。針對零信任場景，目前沒有比基於公鑰基礎設施（PKI）構建的數碼證書所提供的數碼身份更強大、更易用的認證與加密解決方案。2020年2月，美國國家標準與技術研究院（NIST）發布《零信任架構》報告，當中明確將PKI描述為該架構的必要組成部分。
你可透過以下方式使用數碼證書構建這類解決方案：
- 使用用戶身份證書取代密碼
- 自動化處理 的簽發與續期SSL/TLS 證書
- 使用 保障電郵安全S/MIME 證書
- 使用 保障關鍵工作流程安全文檔簽名
此外，與多因素認證（MFA）或雙因素認證（2FA）相比，數碼證書具備顯著優勢。誠然，MFA與2FA透過引入短訊推送通知、一次性密碼（OTP）或硬件令牌等額外步驟，嘗試在簡單密碼的基礎上提升認證安全性，但與MFA不同，數碼證書在ZTNA中為身份認證與安全防護提供關鍵價值：它採用基於密碼學的憑證，難以被竊取；可部署於所有身份場景（不限於用戶身份）；支援可擴展的配置與管理；不影響用戶體驗；同時總擁有成本（TCO）更低。
零信任網絡架構要求對所有證書進行正確的安裝、監察與續期——這正是 證書生命週期管理（CLM）的應用場景。證書生命週期管理（CLM）提供單一管理入口網站，可安全管理數目不斷增長的數碼身份，同時支援與主流技術供應商的產品集成，可適用於各類IT環境。
對於希望透過零信任提升身份安全水平的機構，Sectigo Certificate Manager是一款無關CA雲原生CLM解決方案；它可自動化證書管理的全流程，涵蓋配置、部署到吊銷的各個環節。