媒介：为了进步工作服从和机动性，当代企业答应各种范例的终端装备毗连并访问企业的应用程序和数据资源，为企业网络带来了巨大的安全挑衅。作为零信托安全本领建立中的单薄环节，构造必须全面相识毗连到网络的装备，并采取一系列安全步伐，以确保只有康健合规的装备才华访问构造资源，掩护企业的敏感数据和资源免受潜伏的安全威胁。本文重要从装备相干的安全本领建立入手，讨论资产和供应链的风险管理、装备合规监控、资源访问授权和终端威胁掩护等题目。
关键字：零信托；威胁掩护；风险管理；安全合规
一
零信托装备安全
随着IT底子办法的演变发展，风险面也随着访问点数量的增长而扩大，与以往任何时间相比，业务体系的访问者（包罗员工、承包商、相助搭档和供应商等）利用了更多的装备和位置，访问存储在本地和云端的更多资源和数据。更为严峻的是，这些访问点正以惊人的速率被攻击者利用，特别是装备安全缺陷已经成为身份攻击和数据泄漏的重要缘故起因。
从直观上看，构造直担当理的PC、平板电脑和智能手机都属于装备，但安全职员还必要思量第三方装备（比方，BYOD、客户或相助搭档利用的装备）和接入点、物联网装备和底子办法组件（比方，服务器、互换机，及其固/软件）。在零信托安全体系中，装备也是正在寻求资源访问权限的实体，它们代表着潜伏的袒露点，也必要被纳入零信托安全框架。
可见，“装备”是零信托安全本领框架中的一个复杂范畴，涵盖了毗连到网络（资源）上的全部资产，如服务器、台式机、条记本电脑、打印机、智能手机、物联网装备、网络装备等，以及各类资产的硬件、软件和固件。按管理归属的实体分别，大多数构造的装备可分为以下三类：
●
员工利用的企业装备，重要由构造管理；
●
员工利用的个人装备，重要由员工管理；
●
第三方利用的非托管装备（比方，承包商、合规审计员），由第三方管理。
在辨认、判定装备的安全态势时，由于构造对差别范例的装备存在差别控制力度，也导致这些装备面对着差别的安全风险。在图1中，Gartner给出了差别BYOPC战略下，控制本领和安全风险的关系。
图1差别BYOPC战略下控制和风险的关系
由构造管理的装备每每最易控制。这些装备大概安装了装备或终端管控软件，可以或许通过序列号记录和跟踪装备，并对装备安全设置举行锁定和连续检察。从IT安全的角度来看，这些装备状态处于精良状态，可以或许根据必要举行控制，在可疑环境下，管理员可以采取立即举措。
对于员工利用的个人装备，控制要少得多。在移动化、分布式的工作环境中，险些不可克制BYOD装备。固然一些构造要求用户安装特定软件才华访问公司资源，但这并非逼迫性要求，而是鼓励性步伐。
末了，第三方利用的非托管装备通常是未知的，构造无法看到这些装备，也险些没有控制权。管理员对这些装备存在大量的隐性信托，重要依靠身份授权来确定其访问权限。
二
装备安全的关键本领
装备安全本领在零信托范畴中重要包罗装备管理追踪、安全设置管理、弊端补丁管理、访问控制、安全监控和威胁检测等步伐，以掩护企业网络免受装备相干的安全威胁和风险。
图2装备安全办理方案应具备的重要本领
1
装备资产与风险管理
资产管理涉及对企业全部装备的正确定位、分类和跟踪。体系化的零信托安全本领必要正确相识企业中的装备，创建并维护全部资产的动态清单、设置信息及相干弊端。通过利用主动化工具和装备辨认技能，及时监控和管理装备的状态、设置和访问权限，从而低落潜伏的风险。
市场上与企业装备管理相干的工具，多数具备对装备的形貌和跟踪本领。比方，同一装备管理（UDM）、企业装备管理（EDM）、移动装备管理（MDM）、IT资产管理（ITAM）等。通常，这些工具的装备资产清单必要办理并明白答复以下题目：
●哪些用户装备（包罗公司装备、BYOD，以及其他人为控制的装备）可以访问企业资源？
●哪些非人为控制的物联网或其他装备可以访问企业资源？
●哪些范例/型号的BYOD装备可以访问企业资源？
●这些装备在什么位置（包罗地理位置、网络接入位置）？
●哪些装备已经被逾期镌汰、烧毁？
供应链风险管理是零信托装备安全中的另一个紧张思量因素。通常，企业中利用的装备来自各种供应商和相助搭档，大概存在潜伏的弊端、后门或恶意代码。因此，企业必要实行供应链风险管理步伐，包罗对供应商举行严格的筛选和评估，确保其装备的安全性和合规性。
别的，创建条约和协议中的安全要求和监控机制，举行供应链审计和监督，以确保供应链中的全部环节都符合零信托安全战略。
2
装备卫生与安全监控
装备卫生是指构造必要把握装备的当前状态，并采取根本的安全步伐来掩护装备，此中涵盖了一系列与装备相干的因素，包罗装备归属，安全状态、接入方式，风险数据收罗等。从更高的层面上看，可以将装备卫生视为与安全合规和风险状态相干的核心属性，以确保装备符合企业界说的安全标准和政策。
对于差别种别的装备来说，“安全”或“可信”的实行大概具有差别的寄义，试图利用各种安全工具创建同等的装备信托视图也不太实际。一样平常来说，构造管理的装备可以通过装备管理工具或数字证书等安全机制实现最高级别的安全和信托，但个人和第三方装备比力棘手。
起首，各种安全工具大概在差别平台上具有不同等的功能集，有些工具（如EDR）大概只涵盖桌面而非移动装备，也大概只支持单一平台。固然可以通过高度定制来办理该题目，但这也意味着IT管理的更高复杂性和本钱。
其次，这些安全工具存在于用户身份体系之外，将装备上下文与用户身份毗连起来，以实现访问控制极具挑衅性。从装备提取大量的安全数据后，仍旧必要举行大量额外工作才华将这些数据与终极用户的身份关联起来。
再次，对于个人或第三方装备来说，有些安全工具大概无法实行，移动办公和员工活动使得企业的MDM战略也难以见效。
因此，很多构造转而利用装备姿态查抄，来提供肯定的安全监控覆盖。但即便云云，由于装备和资源在大多数环境中的复杂多样性，很难对装备姿态要求举行标准化的同一管理，比方，由于各个操纵体系平台在安全实现方法上的渺小差别，导致差别的版本补丁更新和暗码强度等战略也会存在差别。
3
安全姿态与动态访问
由于失陷装备可以作为针对其他资源的攻击媒介，零信托访问战略将装备姿态查抄（DPC）作为访问决定的部分依据。DPC评估装备的当前状态和潜伏弊端。为了支持零信托的动态访问战略，装备监控组件必要界说在DPC中评估的装备状态要素，重要包罗：
●
操纵体系版本；
●反病毒软件的版本和更新状态；
●屏幕锁定状态；
●防火墙状态；
●存储加密状态；
●数字证书；
●装备名称和ID；
●管理软件的客户端版本；
●补丁状态与末了更新时间；
●已安装的特定应用程序。
对于全部范例的装备来说，都应通过评估安全姿态来天生信托评级，无论是公司装备、个人装备，还是第三方全部的装备，也包罗服务器和相干的物联网（IoT）装备。
更紧张的是，要通过安全评估和动态访问控制，确保装备及其用户不会以任何方式使敏感数据受到侵害。装备注册是一种典范的方法，将装备指纹及安全姿态存储在基于风险的访问数据库中，实现访问时的动态信托评估，控制各种潜伏威胁（如打单软件）的攻击半径。
4
威胁检测与掩护相应
如今，典范的终端掩护工具包罗终端检测和相应（EDR）和终端掩护平台（EPP），只管在术语概念上存在一些差别，但它们对装备的掩护本领是通用的。
威胁检测通过先辈的安全监测和辨认技能，如及时监控、举动分析、非常检测和威胁谍报等，来辨识大概存在的安全风险或恶意活动。这种连续的监测和检测资助构造及时发现并应对潜伏的安全威胁，掩护企业的资产和敏感数据。
一旦威胁被检测到，掩护相应步伐会被启动，以减轻影响并防止进一步的侵害。这些步伐可以包罗隔离风险装备或用户、制止可疑的网络流量、实行访问控制、应用补丁或安全更新，或触发变乱相应程序等。
简单来说，终端掩护通过毗连上述相干功能来加固装备以抵抗攻击，重要包罗：
●根据威胁谍报和模式分析，猜测终端何时大概受到攻击；
●假如大概，防止终端受到攻击；
●在攻击发生时，举行及时检测并相应。
威胁检测与掩护相应通常采取基于云的平台举行功能交付，以支持无处不在的毗连和及时更新。别的，这些掩护功能还应该能与其他的零信托支柱（比方，零信托网络技能）举行无缝毗连，在实现随时随地的用户访问的底子上，对由职员控制和非职员控制的装备逼迫实行同一的访问战略，确保安全战略的同等性。
三
装备安全的最佳实践
为了创建零信托安全环境，构造必要订定一个装备安全战略，以满意业务需求并实现有效的风险管理。但实行构建零信托的装备安全本领时，构造将谋面临各种停滞和挑衅。
业务的快速发展以及不绝涌现的新装备和服务，大概导致各类服务器、条记本电脑等装备频仍上线和下线，难以正确地盘点和记录网络上的全部装备。别的，用户或业务部分大概存在未经答应而上线的新装备和服务（影子IT），导致对这些装备缺乏充足的可见性和控制，使得难以对其举行注册、跟踪和监控。
要实行有效的零信托装备安全本领，构造必要采取一种全面的方法来降服这些停滞。这包罗定期检察和更新战略和程序，标准化上线新装备和服务的方式，以及实行强大的装备管理体系，可以或许正确跟踪和监控网络上的全部装备。
1
创建装备清单
开辟装备清单是实行零信托装备安全的紧张步调。假如没有对全部装备举行全面清查，就不大概正确地跟踪、监控或辨认大概导致安全弊端的恶意装备。
已往，IT团队利用电子表格手动跟踪装备非常广泛。如今，装备跟踪必须完全主动化，包罗扫描、监控、更新，以及为安全运营团队主动天生警报。
必要留意的是，零信托安全体系中的装备清单逾越了传统的资产管理，一些非企业拥有的装备（如BYOD、相助搭档拥有的装备）也需纳管，安全团队必须为全部访问终端创建一个完全主动化的装备清单，包罗非传统装备，如传感器、摄像头和其他物联网或OT装备。
零信托装备管理还必要为各种装备及利用举动，创建得当的处理惩罚流程和分类体系，包罗确保全部装备都已注册，并为报废装备订定全面的报废筹划，以安全地处理物理装备以及该装备具有的任何访问权限。
2
连续动态授权
相识装备的运行状态和合规性是实行零信托装备安全的关键步调，这意味着必要对装备状态举行连续监控评估，而不但仅依靠于一次性的时间点评估。连续监控的上风在于：
●
赶早发现安全变乱；
●设定安全查抄基线；
●检测未经授权的登录；
●可以或许检测错误设置；
●有利于实现主动防御。
通常，构造会主动掩护PC免受弊端和攻击，而移动装备通常不受监控且没有掩护步伐。为了资助限定风险袒露，必要监控每个端点以确保其具有可信身份、应用了安全战略，而且恶意软件或数据泄漏等风险级别已颠末评估、修复或被以为是可担当的。比方，假如个人装备存在软件弊端，可以制止其访问网络或业务，以确保企业应用程序不会袒露于已知弊端。
通过全面的可见性和分析监控装备的状态和上下文，构造可以确保根据及时数据驱动的上下文来掩护目标业务和数据，而不是依靠于静态战略，如许可以更及时地应对快速发展的威胁。
3
实行相应掩护
作为正常业务过程的一部分，用户必须可以或许通过装备访问应用和数据。在受感染装备上，合法用户也大概故意/偶然实行一些攻击举动（比方，窃听、DDoS、数据泄漏等），最好的装备安全性是让数据阔别装备。
但除此之外，在装备受到安全威胁时，还可以通过快速相应举措将威胁影响降至最低，比方，将装备与网络举行隔离，限定其影响半径。通常在订定终端安全的应急相应筹划时，应思量以下内容：
●
终端数据发生了什么？是否被加密、删除、泄漏？
●动态访问权限应该做什么调解？
●如那边理惩罚受影响的装备？
四
结语
终端安全本领是构建零信托体系化安全本领的关键要素之一。在零信托架构中，终端装备作为接入构造资源的关键节点，必要具备一系列安全本领来掩护数据和体系免受威胁，包罗装备认证（身份范畴）、安全姿态评估、动态访问控制、威胁检测相应和数据防走漏（数据范畴）等本领。然而，乐成实行身份本领必要综合思量多个因素，并与其他本领和跨域本领相互共同。企业应订定全面的装备安全管理战略，并采取渐渐实行的方法，以确保有效的零信托安全环境的创建。
随着网络威胁日益复杂和企业信息安全风险的增长，实行零信托架构已成为掩护企业关键资产和数据的有效战略。易安联“权说安全”公众号近期拟发布系列研究结果，基于差别厂商、构造所提出的零信托成熟度模子和典范办理方案，从身份、装备、网络、应用与工作负载、数据等差别范畴分析零信托本领建立的内容、方法和趋势，讨论零信托的安全本领构成和最佳实践，资助企业规划、构建和实行零信托战略。
THEAUTHORS
本文作者
本文由易安联
红岸实行室写作
专注网安行业发展方向
解读热门产物技能趋势
欢迎技能大咖学习交换
https://mp.weixin.qq.com/s/dXkv99RRPCtPNJ6AxqYcvQ
CopyrightYourWebSite.SomeRightsReserved.
京ICP备2023016396号-1PoweredByESCLINK.
我要评论