零信任安全的原则

零信任安全的原则如下：

持续监控和验证

零信任网络背后的理念是假设网络内部和外部都有攻击者，所以没有用户或机器应该被自动信任。零信任验证用户身份和权限，以及设备身份和安全。在登录和建立连接后，经过一段时间就会超时，迫使用户和设备不断重新验证。

最低权限

零信任安全的另一原则是最低权限访问。也就是说，仅向用户授予必要的访问权限，就像军队中的将领仅在必要之时将信息告知士兵一样。这样能最大程度减少各个用户接触网络敏感部分的机会。

实施最低权限涉及谨慎管理用户权限。VPN 不太适合用于最低权限的授权方式，因为登录 VPN 后，用户可以访问连接的整个网络。

设备访问控制

除了用户访问控制外，零信任还要求对设备访问进行严格控制。零信任系统需要监控有多少不同的设备在尝试访问他们的网络，确保每个设备都得到授权，并评估所有设备以确保它们没有被入侵。这进一步减少了网络的攻击面。

微分段

零信任网络也利用微分段。微分段是一种将安全边界划分为小区域的做法，以分别维护对网络各个部分的访问。例如，将文件存放在利用微分段的单个数据中心的网络可能包含数十个单独的安全区域。未经单独授权，有权访问其中一个区域的个人或程序将无法访问任何其他区域。

防止横向移动

在网络安全领域，“横向移动”是指攻击者进入网络后在该网络内移动。即使攻击者的进入点被发现，横向移动也难以检测到，因为攻击者会继续入侵网络的其他部分。

零信任旨在遏制攻击者，使他们无法横向移动。由于零信任访问是分段的且必须定期重新建立，因此攻击者无法移动到网络中的其他微分段。一旦检测到攻击者的存在，就可以隔离遭入侵的设备或用户帐户，切断进一步的访问。（在城堡和护城河模型中，如果攻击者可以横向移动，则隔离原始遭入侵设备或用户几乎没有效果，因为攻击者已经到达了网络的其他部分。）

多因素身份验证 (MFA)

多因素身份验证 (MFA) 也是零信任安全的核心价值观。MFA 意味着需要多个证据来对用户进行身份验证；仅输入密码不足以获得访问权限。MFA 的一种常见应用是 Facebook 和 Google 等在线平台上使用的双因素授权 (2FA)。除了输入密码之外，对这些服务启用 2FA 的用户还必须输入发送到其他设备（例如手机）的代码，从而提供两个证据来证明自己是声称的身份。