黑客如何绕过你的安全防御系统 | 零信任真的安全吗

相关阅读

视频讲解

零信任真的安全吗？还是只是一个销售时的术语？本期视频，我们将带大家使用AppLocker模拟零信任的架构，对用户访问权限进行设置，尽可能限制访问权限。同时我们会模拟攻击者入侵时的场景，使用Cobalt Strike生成一个hta文件，并且我只需要修改一行代码，规定写入路径，避开零信任设置的访问权限，则可以完成入侵、进行远程控制！

相关资料

来自Florian Roth的Twitter，图片展示了一个梗，摘下来零信任的面具，发现其实是网络分割和最小权限原则的理念

下面是一篇比较全面的文章介绍零信任

什么是零信任

传统上，IT行业一直依赖周边安全策略来保护其最有价值的资源，如用户数据和知识产权。这些安全策略涉及使用防火墙和其他基于网络的工具来检查和验证进出网络的用户。然而，数字化转型和向混合云基础设施的转移正在改变各行业的业务方式。依靠网络边界已经不够了。

许多组织也在调整他们的商业模式。他们正在为客户提供他们所需要和想要的新的数字体验，同时也在启用一个全球性的、分散的劳动力。最近的事件只是加速了这一数字转型之旅。突然间，企业有成千上万的人在IT部门控制之外的家庭电脑上连接。用户、数据和资源分布在全球各地，使其难以快速、安全地连接。而且，由于没有传统的企业内部基础设施的保护，员工的家庭环境更容易受到损害，使企业面临风险。

使事情变得更加复杂的是，许多企业目前正在使用一个拼凑的安全解决方案和工具，而且集成度很低。因此，安全团队正在花费更多的时间在手工任务上。他们缺乏有效减少组织的攻击面所需的背景和洞察力。数据泄露的增加和全球法规的增加使保护网络变得困难。就背景而言，数据泄露的平均成本是近400万美元的业务损失和罚款。

应用程序、用户和设备需要快速和安全地访问数据，以至于整个行业的安全工具和架构都是为了保护数据而建立的。零信任解决了这种数据驱动的混合云环境的安全需求。它为企业提供了对用户、数据和资产的适应性和持续保护，以及主动管理威胁的能力。换句话说，这种从不信任和总是验证的做法旨在为每一个用户、设备和连接的每一项交易提供安全保障。应用零信任框架还可以帮助防御者获得对其安全业务的洞察力。他们可以一致地执行安全策略，并以精确的方式更快地检测和应对威胁。然而，它也会产生一些必然的好处，例如：

• 由于子网的流量减少，网络性能得到增强
• 提高了解决网络错误的能力
• 由于颗粒度大，记录和监控过程更加简化
• 更快的漏洞检测时间

零信任如何运作

零信任架构由John Kindervag在2010年担任Forrester Research的首席分析师时开发，是一个广泛的框架，承诺有效保护一个组织最宝贵的资产。它的工作原理是假设每一个连接和端点都被认为是一种威胁。该框架可以保护这些威胁，无论是外部还是内部，甚至是那些已经在内部的连接。简而言之，一个零信任网络：

• 记录并检查所有企业网络流量
• 限制和控制对网络的访问
• 验证并确保网络资源的安全

为了扩展，零信任安全模型确保数据和资源在默认情况下是不可访问的。用户只能在正确的情况下有限地访问它们，即所谓的最小权限访问。零信任安全模型验证和授权每一个连接，例如当用户通过应用编程接口（API）连接到一个应用程序或软件到一个数据集。它确保互动符合组织的安全政策的条件要求。零信任安全策略还根据动态策略，使用来自尽可能多的数据源的上下文，对每个设备、网络流和连接进行认证和授权。

为了成功地实施零信任架构，企业需要连接来自每个安全领域的信息。整个公司的安全团队必须就优先事项达成一致，并在访问策略上保持一致。他们必须确保整个企业的所有连接，从数据到用户和设备到应用程序、工作负载和网络。这种架构需要一个精心策划的战略和路线图，以实施和整合安全工具，实现以业务为重点的特定结果。为了使零信任模式发挥作用，采用者必须：

• 做出整个组织的承诺。
• 对所有IT和数据资产进行分类，并根据角色分配访问权限。
• 锁定一些常见的漏洞。
• 对数据进行分类，采取以数据为中心的方法（链接在example.com之外）。
• 对网络进行分割，以防止横向移动（链接在example.com之外），这是数据泄露的罪魁祸首。
• 在虚拟机和云服务器交叉移动期间隔离和保护工作负载。

从外部角度看，这可能是一个限制性的过程。但是，零信任模型的成功实施可以帮助安全团队对快速发展的攻击面带来背景和洞察力，并改善用户的体验。

零信任的最低要求

零信任需要广泛的安全能力和经验组合：身份、数据、设备和工作负载、分析和可见性、自动化和协调以及网络和端点。

身份

定义和管理零信任安全策略，通过SSO、多因素认证和生命周期管理，管理所有用户和特权账户的访问。

数据

使用零信任安全实践保护关键数据。根据风险发现、分类和管理数据访问。

设备和工作负载

利用零信任的安全实践来保卫组织–从设计安全的应用程序到监控和管理端点。

分析和可视性

通过智能分析监控和执行零信任安全策略。查看和监控企业内所有用户、资源和数据的连接行为。

自动化和协调

通过协调的行动和通用的操作手册，快速解决和迭代作为零信任实践的一部分而出现的安全问题。

网络和端点

应用成熟的技能、专业知识和现代解决方案，保护网络、基础设施和端点免受当今的网络安全威胁。

注重背景，实现有效的零信任模式

零信任模式需要上下文（链接位于example.com之外）才能有效。因此，安全团队必须收集和使用来自整个企业的信息，以创建必要的上下文，快速决定每个连接的可信任度。当持续执行时，这种模式可以帮助企业加快安全授权连接的过程。它使正确的用户在正确的条件下获得对正确数据的正确访问。以下四个零信任原则建立了一个治理模型，用于在安全工具之间共享上下文，以保护用户的连接、数据和资源。

定义上下文

了解用户、数据和资源，以创建与业务相一致的协调安全策略。这个过程需要根据风险来发现和分类资源，定义细化的资源边界，并根据角色和职责来分离用户。

验证和执行

通过快速和一致地验证背景和执行政策来保护组织。这一细节要求积极监测和验证所有访问请求与公司政策中定义的条件，以便快速和一致地授予正确的资源访问权。

解决事件

通过采取有针对性的行动，在对业务影响最小的情况下解决安全违规问题。这项工作需要准备和采取有针对性的行动，如撤销个别用户或设备的访问权限，调整网络分段，隔离用户，擦拭设备，创建一个事件票据或生成合规报告。

分析和改进

通过调整政策和实践，不断改善安全态势，以做出更快、更明智的决定。这种操作需要不断评估和调整政策、授权行动和补救战术，以收紧每个资源的周边。

零信任网络访问(ZTNA)

与虚拟专用网络（VPN）一样，零信任网络访问（ZTNA）提供对应用程序和服务的安全远程访问。与VPN不同的是，ZTNA是基于定义的访问控制策略，默认情况下拒绝访问，在明确授权的情况下为用户提供服务访问。ZTNA通过安全的加密隧道对用户进行认证后建立安全访问，只允许用户看到他们有权限访问的应用程序和服务。这种保护方法可以防止攻击者的横向移动，这是网络犯罪分子利用的一个漏洞，可以扫描和透视其他服务。有了ZTNA，企业可以实施特定位置和设备的访问控制策略，防止可能受到损害的设备连接到其服务。