零信任網絡簡介

　　零信任是IT組織使用的一種“從不信任，總是驗證”的框架，用于增強對竊取敏感數據、私有信息和資源的外部攻擊的防御。IT和企業架構師使用基于零信任原則的零信任架構來設計和實現健壯且有彈性的基礎設施。當零信任通過保護網絡和通信來保護傳輸中的數據時，稱之為零信任網絡。

　　在2020年以后，網絡零信任的概念在企業中變得非常流行，其原因如下：

　　·通過網絡采用自帶設備辦公的遠程用戶和員工增加。

　　·位于企業網絡邊界之外基于云的資產的增加。

　　·全球范圍內的去全球化和網絡威脅。

　　·嚴格遵守法規，確保網絡安全。

　　·采用Kubernetes容器編排平臺進行擴展。

　　零信任網絡可以通過消除或減少對用戶和應用程序對資產或資源的信任來實現，而不考慮網絡位置。隨著混合云中微服務的不斷增加，選擇各種應用程序來實現可能是一項非常艱巨的任務。實現零信任網絡的最佳方法是使用服務網格，例如Istio或Linkerd。

　　零信任網絡的十大支柱

　　根據美國國家標準與技術研究院和美國國家網絡安全卓越中心制定的SP800-207標準，以及網絡安全服務商在大型企業實施零信任方面數十年的專業知識，提出了IT經理應該考慮的10個安全和合規支柱，以實現零信任網絡。

　　(1)使用Authn/Authz身份

　　身份意味著驗證用戶對資源(例如web應用程序、API、平臺、設備或數據庫)的使用情況的數字身份。用戶可以是人員——客戶、雇員、顧問成員、參與者，也可以是機器——應用程序、API調用、硬件設備等。用戶的身份及其使用資源的權限可以使用身份驗證和授權(Authn/AuthZ)機制進行驗證。除了身份管理之外，企業處理多個微服務的安全需求還包括對用戶和應用程序的粒度控制、合規性標準、RBAC等。在現實生活中，身份識別與訪問管理(IAM)的實現可能非常復雜。

　　(2)使用基于mTLS的通信的安全通道

　　相互傳輸層安全(mTLS)是一種在網絡上連接的雙方之間進行身份驗證的方法。基于mTLS的通信在雙方(例如客戶端和服務器)之間是高度安全的，因為每個應用程序首先使用X.509證書對自己進行身份驗證，并且通信是基于定期輪換的私鑰進行的。mTLS被認為是安全套接字層(SSL)的繼承者。

　　(3)認證管理

　　確保雙方之間的連接是其中的一部分，證書管理和輪換是持續維護的一部分。在安全策略定期升級或安全漏洞的情況下，舊證書將會無效。云計算架構師和平臺工程師應該為管理員和運營團隊想出一種有效的方法，輕松地輪換SSL或SAML證書，生成私鑰并在所有微服務之間分發。

　　(4)RBAC、多租戶和隔離

　　允許或拒絕用戶對各種資源的讀/寫/刪除權限是一個持續的任務。應該有必要的控制措施來實現基于角色的訪問控制的粒度策略。大型企業通常需要為各種項目或平臺團隊創建專用的工作空間，并且應該規定將多租戶作為安全措施的一部分。

　　(5)將可信源列入白名單

　　白名單可能是安全工程師采用的最簡單的“網絡安全措施”，它包括向管理員批準的IP和應用程序提供對系統的訪問，這在最近的BYOD場景中特別有用，在這種場景中，某些應用程序被允許訪問VPN中的資源。

　　(6)FIPS和SOC-2合規性(適用于美國公司)

　　美國國家標準與技術研究院和美國注冊會計師協會等機構為每個IT組織提供指導和FIPS和SOC法規。根據NIST的規定，美國所有非軍事、政府機構和供應商必須遵守聯邦信息處理標準。類似地，系統和組織控制標準規定了服務組織處理客戶數據的方式。它涵蓋了5個主要方面——客戶數據的安全性、可用性、處理完整性、保密性和隱私性。因此，對于任何在北美以外運營的公司來說，遵守諸如FIPS和SOC-2之類的法規是很重要的。

　　(7)Web應用防火墻

　　Web應用防火墻可以保護Web應用免受DOS攻擊、SQL注入攻擊、交叉偽造等攻擊。WAF是一種L7協議，作為Web應用程序的盾牌，網絡工程師可以創建各種規則和策略，例如流量過濾，以防止應用程序中的漏洞。

　　(8)防止數據丟失

　　數據丟失防護是檢測和防止數據泄露的實踐。數據丟失防護也是SOC-2合規性的一部分。數據丟失防護是法案的主要目的是防止數據在組織邊界之外的非法傳輸。網絡團隊和云計算工程師應該專注于構建一個能夠抵御惡意內部人員或外部勒索軟件威脅的系統。

　　(9)機密管理

　　在Kubernetes中，集群內部或外部的許多服務使用機密信息相互通信。開發人員應該進行適當的機密管理——將敏感數據(例如密碼、密鑰和令牌)存儲在具有嚴格訪問控制的安全環境(例如Vault)中。

　　(10)多集群可見性

　　大量使用云計算和容器的IT組織應該有一個多集群可見性的中心平臺。他們應該能夠查看所有名稱空間和集群的工作負載、資源和基礎設施(例如入口和負載平衡器)以及運行狀況和性能狀態。站點可靠性工程(SRE)應該具有實時日志和指標聚合和分析功能，以便通過快速診斷更快地應對任何情況。