零信任：需要提出的问题

F5

制定“零信任战略”与制定“云战略”非常相似。如果不了解您希望实现什么目标以及目前处于什么阶段，这样的战略几乎没有意义。就连“零信任”这个名称也可能产生误导，因为总有一些对象需要信任。零信任的基本定义可以是“不根据网络位置来信任用户或设备”，但如果真有这么简单，大家早就完成部署了。作为F5的全球解决方案架构师，我有机会接触大量访问架构。许多组织都希望实现零信任，但真正达成目标的寥寥无几。

更恰当的定义似乎应该是重新界定信任边界，将身份、设备和应用纳入其中，而不是以网络边界为界。这当然不是什么新理念，我也看到许多客户在这方面取得了进展。如今，随着供应商着手解决核心挑战，让没有庞大开发团队来构建定制解决方案的组织也能真正落地这一理念，它正获得越来越多的关注。更令人困惑的是，可选模式多种多样，例如代理、微隧道、微分段和无代理模式；此外，还有微分段、软件定义边界（SDP）等相互竞争的术语和相关概念。面对如此模糊的概念和众多选项，该如何定义成功，又该从何处着手评估解决方案？首先需要明确目标和要求。因此，我建议先从以下问题入手……

您希望保护哪些类型的应用？

代理通常擅长处理Web应用，可提供SSO功能和良好的用户体验，部署和管理也相对简单。是否还需要为服务器访问提供零信任保护？有些解决方案提供SSH和RDP代理。对于上述三种协议，也有无代理解决方案可直接集成到应用代码或服务器身份验证模块中。但请注意，这意味着无法在流量到达服务器或应用之前将其阻止，因此需要承担更高的风险。

如果应用目标不止这些，可能需要扩展到基于隧道的解决方案。不同隧道解决方案的能力并不相同。有些解决方案利用传统VPN，将连接限制在单个网关。微隧道通常是更合适的方法，可与不同端点建立多条隧道，帮助满足应用无论部署在何处的访问需求。

需要实施哪些类型的保护措施？

这是一个很好的机会，可确保每个应用前端都部署多重身份验证，并采用某种形式的凭据填充和暴力破解防护、机器人防护、流量可见性（集成数据丢失防护和入侵防御系统等安全服务），以及面向Web应用的Web应用防火墙。实施一致的访问模型，也能为接入所有这些服务提供统一位置。请谨慎采用端到端保密解决方案。这类方案听起来很有吸引力，但实际上意味着必须绕过所有安全服务。零信任绝不应削弱安全态势。一个有效的策略是在网关处终止隧道，然后通过可见性和安全设备路由流量。

是否需要单点登录（SSO）？

隧道解决方案通常无法将身份信息传递给应用，有时需要依赖环境中已有的其他无缝身份验证机制。您可能需要使用代理或直接集成代码，才能实现所需的单点登录（SSO）。能否做到这一点，很可能是赢得众多利益相关方支持的关键。正确部署合适的解决方案，可以在增强安全性的同时改善用户体验。

您的分析策略是什么？

您应对此抱有较高期望。在整个组织内为访问部署一致的策略框架时，一项关键优势应是能够了解谁在何时、何地、通过何种设备访问了哪些资源。应充分利用这些数据，并结合其他安全工具的数据进行分析，以识别和缓解威胁。这为降低组织内部风险提供了契机：在杀伤链的每个环节增强能力，包括可见性、威胁识别和缓解。目前，该领域的供应商尚未提供完整的解决方案，因此应寻找将第三方分析功能集成到解决方案中的方式，以增强其能力。选择除自身解决方案外还注重合作伙伴集成的供应商，而不是试图通过单一平台提供所有功能，是一种有效的策略。

可以期待怎样的用户体验？

代理通常能为Web应用提供更好的用户体验，因为用户无需改变浏览器使用习惯，客户端所需的组件也更少。不过，其他解决方案可能需要隧道客户端。可以合理预期，最终用户完全或几乎感知不到隧道的存在。与微隧道相比，传统VPN的用户体验往往较差，并且还存在上述其他限制。

需要支持哪些平台？

有些解决方案可为桌面设备提供出色的平台，但不支持移动设备。请务必评估解决方案，确定其能否根据需要满足主流桌面操作系统、移动设备和原生移动应用用户的需求，并提供一致的用户体验和功能集。

后续步骤

明确目标。首先，目标可能包括改善用户体验、加强安全服务集成、为所有资源部署多重身份验证，以及制定分析集成策略。这有助于确定哪些供应商和架构值得投入时间进行深入评估。接下来，重点关注拥有良好合作伙伴战略的供应商。没有任何一家供应商能够提供这种架构应具备的全部功能，因此需要选择一个可持续扩展的平台。从长远来看，这会让您更加满意，相信我！

关于作者

F5

F5 的更多博客文章