好莱坞教给我的零信任理念

F5生态系统 | 2022年5月05日

如果有朝一日，在某个平行现实或幻想中的未来，我有机会设计星际舰队的计算机系统，我一定会确保武器系统不与生命维持子程序相连。又或者，如果我是受命接管地球的外星入侵部队指挥官，要知道，这颗星球上的物种与我们截然不同，我会坚持采用生物特征认证，而不是口令或令牌。最后，如果我的任何军官或航天器竟然奇迹般地从俘虏他们的人手中“逃脱”，我肯定会先检查他们是否携带了木马。

那么，这与零信任有什么关系？您现在可能已经猜到了，好莱坞偏爱这样的故事情节：因为事先少了几分合理的戒心，最终酿成严重后果。作为一名网络安全从业者，我认为这种保持合理戒心的思维方式，正是零信任理念的核心。

那么，为什么我要特别关注零信任？这是因为我注意到，如今“零信任”一词的使用呈现出一种趋势。再讲一个电影制作领域的轶事。这件事发生在20世纪80年代末，当时好莱坞正从传统模拟技术转向音频、视频和后期剪辑的数字标准。那时，电影制作圈中许多不太懂技术的人并不明白“数字”究竟意味着什么，也不太关心；对他们而言，“数字”实际上就等同于“一流水准”。因此，制片人和导演开始询问灯光或布景搭建是不是“数字化”的，这让与他们共事的技术人员朋友颇为无奈。他们真正想问的是：“灯光设计或布景搭建是否足够出色？”回到今天，我经常听到CSO群体使用“零信任”一词，其方式与1990年电影制片人使用“数字”一词非常相似。

另外，我最近接触到了Simon Sinek的“从为什么开始”框架。回想好莱坞在“数字化”早期对这一概念的理解，以及电影如何围绕安全实践（或不当实践）构建故事，再结合这一框架，我对零信任的诸多思考也逐渐清晰起来。零信任的核心，正是开篇那些好莱坞故事所揭示的道理：在关键系统的安全设计和运营中，如果不愿投入少量精力，审慎做好网络安全预防，日后就会付出沉重的代价，遭受系统失陷之苦。以此类推，在该框架最核心的“为什么”层面，零信任可以表述为以下一组理念：

A. 始终进行明确验证“谁”：即尝试与系统交互的主体。

B. 默认采用所需的最小权限：身份确认后，仅向该主体授予执行特定业务事务所需的系统交互权限，具体所需权限由设计明确列出。

C. 持续监控并（重新）评估：身份验证和权限不应是静态的一次性事项，而必须持续评估和重新评估相关决策。

D. 即便如此，仍应假定系统已遭入侵：最后，即使已采取上述三项措施，也应假定技术高超的攻击者已突破防御。因此，系统还必须考虑如何识别和隔离任何已遭入侵的组件或身份，并制定策略来遏制和／或修复其对系统造成的影响。

简而言之：不要默认信任，而要始终验证。仅授予必要的信任，并持续评估。不要假定能发现所有入侵。这就是采用“零信任”的原因。

当然，“为什么”只是其中一部分。“如何做”，也就是用哪些技术和工具来践行由“为什么”所形成的思维方式，是从业者需要关注的另一个视角，也是上述理念的自然延伸。下面，我将结合当今网络安全从业者现有的工具，具体说明：

身份验证：任何与受保护系统交互的主体都必须声明自己具有某种身份，在某些情况下还需声明一组身份，例如人员或自动化系统的身份，以及该人员或系统所用设备或平台的身份，甚至还可能包括用于实现访问的浏览器或工具的身份。零信任理念要求，任何此类声明都必须通过一种或多种方式进行核验，即“身份验证”：使用共享密钥、令牌或证书；在较为现代的系统中，还会观察并核验该主体的行为模式。
访问控制：身份确认后，应为该身份分配相应的信任级别，并通过授予该身份的访问控制权限来体现。访问控制策略应遵循最小权限原则，即仅授予主体在系统中履行其角色所需的最低限度权限。合理的访问控制实现应支持对所授予的权限进行精细化定义，例如：角色<X>可访问API <1>、<3>和<4>，并对<Y>类和<Z>类对象拥有读取权限。 需要注意的一项良好实践是：对于面向应用资源的复杂访问控制场景，应通过API进行抽象，而不是授予对对象、文件和网络资源的直接访问权限。
可见性：接下来是这一理念中的“监控”部分，这是“持续重新评估”的前提。系统必须能够持续、实时地了解每个主体在系统中的行为。在此情境下，“没有看到，就等于没有发生”是一项基本原则。此外，收集的“遥测数据”不仅必须可见，还必须可供使用，也就是说，这些数据必须纳入一个能够共享报告内容并为其提供上下文的框架。这样便可对来自多个来源的数据进行有意义的整合与关联，从而支持更稳健、更有效的风险评估。
机器学习辅助的情境分析：上述可见性的目的是落实“持续重新评估”原则。在实施过程中，这一原则不仅要求具备可见性，还要求近乎实时地分析多个数据源，这需要采用前文提到的便于共享的框架。为此，持续评估通常需要借助AI机器学习系统来检测行为异常的参与者，以识别任何可能的系统入侵。最后，强大的分析引擎应能提供比简单的是或否更细致的答案，理想情况下，应给出风险评估及相应的置信度评分。
自动化风险感知修复：最后，由于这一理念体系认为，一些技术高超的攻击者仍可能设法渗透系统，因此系统必须能够采取行动，以便进行更深入的监控，并在必要时遏制和/或阻止此类行为或行为主体。系统的响应措施可能包括仅记录日志、开展深入检查、阻止企图实施的操作，甚至欺骗疑似恶意行为主体；这些措施必须结合更高层面的业务背景加以考量。误报或漏报的可能性及其影响，以及相关操作带来的业务风险，都是需要考虑的因素。例如，只有在高度确信行为主体是恶意网站抓取工具时，才可能适合阻止其浏览产品目录；但对于银行交易，即使置信度较低，也可能适合要求额外身份验证。最后，鉴于现代网络攻击技术复杂且速度极快，运营修复措施必须能够实现自动化，而由人员指定的策略则应以意图驱动的目标来描述。

“为什么、如何做、做什么”框架的最后一个方面是“做什么”，即利用上述工具和技术，可以实现这些目标，并预防或缓解各类攻击。完整的网络攻击分类体系将留待后续文章探讨。不过，作为预告，本文所述的“为什么”和“如何做”确实涵盖了各种复杂的“高级威胁”。例如，零信任理念可以应对勒索软件威胁，即使攻击由“受信任”的软件组件发起（也称为“供应链攻击”）。具体而言，应通过访问控制策略落实最小权限原则，将文件读写权限仅授予确实需要该权限的主体，从而防止文件资源被加密。此外，如果某个主体（例如，拥有文件写入权限的现有软件组件）遭到入侵（利用上述供应链攻击途径），并试图高速加密大量文件，持续重新评估和分析应能通过观察其访问文件的范围和访问速率，迅速检测到这种异常行为。结合自动缓解措施后，检测结果可用于快速阻止此类活动。

那么，让我们回到开篇提到的那些平行世界……如果星际舰队的所有计算机子系统都遵循最小权限原则，重力控制子系统就不应能够调用发射光子鱼雷的API。外星母舰的控制系统不仅会执行基于生物特征的多重身份验证（MFA），其安全控制还会假定入侵必然发生，因此持续监控并重新评估，检测战斗无人机飞入舰内这一异常情况；如果这架异常无人机飞向引擎核心，则缓解相应威胁。这几项关键的预防措施可以避免后续上演大量戏剧性事件，这对好莱坞不利，却对网络安全从业人员有益。

要进一步了解涵盖零信任相关广泛概念的框架、该框架与现有业务背景的关系，以及应用业务负责人应秉持的安全理念，请阅读我们的白皮书《零信任安全：零信任为何重要（其意义不止于访问控制）》。