网络零信任安全架构应该避免哪些误区

网络零信任安全架构常见的误区有：

• 选择一个重要的应用程序作为试验场

  这是很常见的一个误区，因为从单个应用开始验证零信任的有效性似乎更容易。但困难在于您不知道这个应用与其他应用程序的互连，它的访问途径以及哪些用户需要对应用程序的访问权限。零信任要求对每个应用程序进行细分，将它们彼此隔离。由于企业内部通常缺乏有关应用程序交互方式的知识和信息，因此从特定应用程序切入非常困难。更好的选择是从应用程序生态系统的细分入手。然后，你可以控制对该应用程序的访问，而不必担心服务交付失败。从处理应用程序生态系统入手意味着你可以将注意力集中在用户到应用程序的交互边界上，而不必同时处理用户到应用程序、应用程序到应用程序，以及应用程序到基础结构的边界，这会让你崩溃。

• 过于专注于身份

  大多数实施零信任的企业都会掉入一个陷阱，那就是零信任方案需要理解和定义企业中的每个身份。最初，这似乎很简单，但随后你会发现身份主体还包括大量服务、机器和应用程序。火上浇油的是，身份项目还必须包含权限，并且每个应用程序都有其自己的授权架构，且没有标准化。总之，仅专注于身份会让你掉入无休止的项目开发泥沼。正确的做法是将重点放在用户账户上。我们从应用程序生态系统入手的目的是关注用户和应用程序边界。身份方面，应该从交互式登录入手，例如用户执行操作前需要访问账户。通过使用证书和循环凭证来代替通用登录，确保不可否认性。

• 在任何地方向任何设备提供向任何应用程序的访问权限都会导致丢掉工作

  大多数董事会的高管们对零信任的理解都比较“简单粗暴”，那就是，零信任就是可以用任何设备开展业务的一种方式。这实际上是“零信任主义”安全业务双赢的终极目标和结果。对于刚刚开始实施零信任的团队来说，直奔“最高纲领”会让你的防御系统漏洞百出。事实上，零信任的目的是从技术上表达对任何设备或网络的不信任态度（原则）。这是一个安全原则和范型的转移，也是一个循序渐进的过程。首先，提供对正确应用程序的正确身份访问，并确保这些用户及其访问之间存在细分。接下来，将已批准的设备移至可对设备或用户进行身份验证的位置（确保已建立对应的身份验证基础结构）。一旦建立零身份验证基础设施，你就可以进一步扩展可访问网络的设备类型。

• 放弃企业数据中心，使用云将大大加快零信任的实现

  从零信任的角度来看，将企业数据中心环境转移到云中不可避免地会带来安全灾难。这里的陷阱通常是缺乏对数据中心资产，它们所连接的对象，以及企业各部门的可见性。仅在云中重新实例化数据中心并不能赋予您这种可见性。实际上，这样做会进一步降低可见性，因为与数据中心相比，可在云端增加摩擦的控件更少。在迁移到云之前，请确保对以上提到三大要素有足够的可见度，应用程序生态系统到用户的边界，执行身份验证所需的用户身份属性，以及需要访问资产的设备。数字化转型的趋势已经不可阻挡，这意味着企业将无可避免地走上零信任之路。现在的问题不再是上不上零信任，而是如何避免误区和陷阱，希望以上总结的四个零信任误区能够帮助企业安全主管们少走弯路。