随着混合云模式成为常态，如今要在不同环境中保持一致的访问安全变得更加困难。许多传统安全工具在缺少传统网络边界的情况下已无法有效发挥作用，而威胁和攻击者的手段也日益复杂。传统身份验证协议同样会带来风险，并已成为常见的攻击途径。要应对这些变化，需要进行重大转型。
全球各地的组织都在采用零信任原则，以保护当今的现代化分布式环境。贵组织是否也应采用？本篇博文将探讨为何以及如何考虑借助F5和Microsoft Entra ID（原Azure Active Directory）实施零信任。
对零信任安全的需求日益增长
过去几年，零信任受到广泛关注。虽然目前已有61%的组织表示已实施战略性零信任计划，但几乎所有组织都计划在不久的将来实施。1
传统安全理念假定网络内部的一切都可信，而零信任则遵循“从不信任，始终验证”的原则。这种方法假定网络内外都存在威胁，因此需要持续验证每个尝试访问资源的用户、设备和应用。
如何保护远程访问
远程办公需要对现代应用和通常承担关键任务的传统应用实施更精细的安全访问控制，因此成为推动采用零信任的关键因素。即使企业已采取重返办公室的举措，截至2024年5月，美国可远程办公岗位的员工中仍有79%采用混合办公或完全远程办公模式。2 这一现实显著扩大了组织的攻击面，也增加了对访问请求进行身份验证的难度。
零信任应用访问的一大优势是，能够结合上下文逐个应用评估访问请求，而不只是依据凭据。
F5 BIG-IP Access Policy Manager (APM)充当身份感知代理，提供集中控制点，根据用户身份和上下文逐一验证每个访问请求。这样可确保用户只能访问特定的授权应用和资源，而非整个网络，从而阻止用户横向移动并缩小攻击面。
“零信任遵循“从不信任，始终验证”的原则。”
上下文信息还有助于识别使用被盗凭据或暴力破解攻击进行的登录尝试，从而提供额外一层保护。BIG-IP APM还可在制定访问决策时考虑第三方行为分析结果，以获取更多上下文信息。
集成Microsoft Entra ID，简化安全访问
管理云端和本地部署的各类应用访问可能颇具挑战。Microsoft Entra ID为数千个SaaS应用提供单点登录（SSO）和多重身份验证（MFA）功能，并支持零信任策略引擎Microsoft Entra Conditional Access。BIG-IP APM与Microsoft Entra ID协同工作，可将SSO和MFA功能扩展到混合云环境中应用组合内的每个应用，包括现代应用、旧版应用和自定义应用。
并非所有应用都能轻松兼容传统SSO解决方案；旧版应用可能使用较早的身份验证方法。反复登录未启用SSO的应用会让用户感到厌烦，往往导致他们放松警惕，因而可能遭受攻击。此外，用户还需要为每个应用创建密码，这可能导致密码重复使用，使攻击者有机可乘：窃取一组用户凭据后，即可访问更多应用。
为避免这一问题，F5 BIG-IP APM可充当转换器，让几乎所有应用都能通过SSO访问。
无论应用托管在Azure、本地环境还是其他云提供商处，F5都可作为集中式访问前端，提供一致的用户体验。跨环境集中管理还可减少安全团队的持续工作量。
保护应用免遭漏洞利用
虽然安全访问是零信任安全模型的重点，但应用安全也应纳入安全策略。根据零信任原则，应假定应用位于不受信任的网络中，容易遭受Web应用和API攻击。因此，不仅要保护网络，还需要保护每个应用和API端点。
F5提供Web应用防火墙（WAF），用于保护所有应用和应用部署；同时提供全面的API安全，可与Microsoft Azure协同工作，防范OWASP Web App Top 10和API Top 10中列出的威胁。
将F5零信任安全引入Azure
F5综合安全解决方案可与Azure及混合云或多云环境的其他部分无缝集成，从而实施严格的安全策略、简化访问管理，并保护所有应用中的敏感数据，无论这些应用位于何处。
访问f5.com/azure，了解详情。
来源
1. Okta，《2023年零信任安全现状》，2023年10月
2. Gallup，混合办公，2024年5月
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。