美国联邦机构正当时：采用零信任

F5生态系统 | 2022年1月28日

保护关键数据面临的挑战日益严峻，尤其是在移动和云端工作环境日益普及的时代，这促使越来越多的联邦机构转向零信任安全模型，以便在这个数字技术高度发达的世界中更好地满足其需求。

根据一项近期调查，近一半的联邦政府IT高管表示，其所在机构正转向以身份为中心的安全策略，即零信任安全策略，以保护数字资源。这项由FedScoop开展、Duo Security资助的研究发现，联邦机构正在逐步摒弃传统的网络边界防御策略，并日益接受无边界数据环境。在这种环境中，身份和身份验证工具是主要的访问手段。

近期发布的《网络安全行政令》充分表明，零信任的发展势头正在加快，并得到进一步采用。该行政令强调了零信任的重要性，尤其是白宫近期发布了零信任架构战略的最终版本，旨在未来几年大幅提升政府机构系统的网络安全水平。与此同时，多云环境和远程办公人员数量也显著增加。两者都是现代工作环境的重要组成部分，而零信任模型能够有效应对由此带来的挑战。

随着联邦机构和整个商业领域加快采用零信任模型，人们也日益认识到，保护网络边界的传统方法已无法满足需求。由于明确边界内已不再存在可信网络，“信任但要验证”的方法已经过时。联邦安全团队需要转而遵循以下三项更有效的原则：

绝不信任，除非用户和端点确实赢得了信任。
始终验证。这一准则适用于上下文、应用、位置行为分析，以及制定适合端点活动的风险评估方法所需的其他要素。
持续监控：仅进行一次身份验证并假定此后风险会保持较低水平是不够的。只有持续身份验证才能确保安全性始终得到保障。

F5最近入选与NIST的NCCoE合作的18家供应商之一，共同参与“实施零信任架构项目”，为零信任架构的设计和构建制定切实可行且可互操作的方法。F5与率先采用零信任的主要联邦机构开展合作，积累了深厚的专业知识，有助于解决这些重要问题。F5广泛的应用安全产品组合涵盖零信任架构中的4个关键控制点，具体如下：

端点：可信应用访问

F5 Labs 报告称，2020年，与访问相关的入侵事件占已知入侵原因的34%，比例最高。在与访问相关的入侵事件日益增多的时代，可信应用访问解决方案至关重要。

F5 BIG-IP Access Policy Manager (APM)为所有应用提供现代化身份验证。无论用户及其应用位于何处，都能简化并集中管理对应用、API和数据的访问。无论应用部署在本地还是云端，都可通过SSO提供更出色且一致的用户体验，并利用零信任架构打造更安全的环境。

借助身份感知代理（IAP），APM可部署零信任模型验证，保护每次应用访问请求。在美国联邦机构中，特权用户身份验证流程首先由APM向用户显示美国政府警告横幅；用户必须接受该警告，才能继续进行身份验证。APM还可通过多种方式要求用户提供强凭据，例如对照证书吊销列表进行检查，或通过在线证书状态协议服务器进行验证，以确保凭据尚未被吊销。

获得系统访问权限后，APM将查询特权用户的其他属性，以确定该用户可以访问哪些资源。此外，还有多项高级功能可确保客户端的完整性，例如验证客户端是否使用政府配发设备（GFE）、是否符合主机安全系统（HBSS）的要求，以及是否运行受支持的操作系统。