零信任是当今科技领域备受关注的热词（或热门短语）之一。在我们的《2022 年应用策略现状》研究中，零信任被评为第三大令人期待的技术，并受到组织各层级的广泛关注。
关于零信任，一个常被忽视的事实是，它本质上是一种思维方式，而不是某项技术或解决方案。因此，我始终认同我们对零信任的核心理念：
“我们认为，零信任安全的核心是一种思维方式，也是一套信念体系。由此衍生出的技术和策略会利用特定技术，进而用于应对广泛的安全威胁。”
因此，有必要重新审视安全规则零。
如果您不熟悉“规则零”这一概念，它源自规则至关重要的角色扮演游戏。规则决定互动顺序、如何解读掷骰结果，以及哪些事可以做、哪些事不能做。这与现实世界很相似。但角色扮演游戏中有一条凌驾于所有其他规则之上的“规则零”：“游戏主持人（GM）对游戏中的一切拥有最终裁决权。”这实际上意味着GM可以随时更改、添加和删除规则。相信我，他们经常这样做。
有些人可能会惊讶地发现，安全领域也有一条“零号规则”，那就是：
“绝不可相信用户输入，任何时候都不行。”
这并非新规则；此前人们已多次强调这一点，我也曾多次撰文提醒大家，这是安全最佳实践的核心。未遵循此规则会导致可能迅速演变为大范围危险利用的漏洞。
安全规则零如今依然适用，甚至可能比以往任何时候都更加重要。随着API日益普及、数字服务迅猛增长，机器人、脚本和恶意行为者的数量也达到前所未有的水平。尽管凭据填充仍是一种主要攻击技术，但利用未遵循安全规则零的数字服务和API发起攻击的事件也屡见报道。
信任用户输入与零信任理念背道而驰。任何用户输入，无论来自人员、软件还是系统，都不应在未经检查的情况下被视为可安全处理。绝无例外。
零信任的核心原则（即基本理念）之一，是假定系统已遭入侵。遭入侵可能意味着存在恶意软件，或系统已被恶意行为者控制。这是系统的状态。其后果是，来自该系统的数据（即消息）可能具有恶意。
因此，绝不能信任用户的任何输入。没有例外。
如上所述，这项基本规则衍生出可用于检测和化解多种攻击的策略（检查）和技术（WAAP、WAF、NGF）。
安全规则零是零信任的核心组成部分。采用这一规则将带来更有效的策略，并为所有人提供更强的安全保障。
请注意安全。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。