ISC 2021 活动现场干货｜以身份为基石的零信任网络（文末下载 PPT）

Authing 官方2021.07.29阅读 839

7月27-29日，由中国互联网协会、360 互联网安全中心等多家机构联合主办的 ISC 2021 第九届互联网安全大会在北京国家会议中心拉开巨幕，作为身份云行业领先的零信任解决方案提供商， Authing 受邀出席本次大会，并分享《以身份为基石的零信任网络，让互联网不再有隐秘的角落》的主题演讲。

随着现在世界越来越多地采用移动和云技术，也就有越来越多的工作在企业安全网络之外完成，企业的敏感资产不再有一堵围墙：员工、合作伙伴和供应商都可以跨传统边界访问企业数据。

安全领域的这种转变导致了零信任模型的诞生。Gartner 在其 2017 年的 CARTA 框架中，特意强调零信任不仅需要更加关注入口的认证和授权，还要通过自适应的、基于风险的评估来识别潜在访问威胁，持续贯穿用户体验。Forrester Reserch 公司将单点登录 (SSO) 等功能称为一项关键功能，并指出多重身份验证 (MFA) “可成倍地减少访问威胁”。

虽然技术演变，但是零信任核心概念依旧保持不变：在当今的安全环境中，它不再与网络有关，而是与访问您系统的人员以及对这些人的访问控制有关。

因此，要实现零信任网络安全体系结构，身份和访问管理应该是组织最先开始的核心技术。我们需要为不同的用户启用安全访问，无论他们的位置、设备和网络。
这也就是 Authing 身份云在零信任中的用武之地，企业可以利用 Authing 作为现在和未来成功的零信任计划的基础。

5个步骤实现无边界安全

01. 在用户身份中建立信任

第一个步骤是将 MFA 部署到所有应用程序和用户设备中。这之后你会得到一份完整的用户和设备列表，对接下来的步骤很有帮助。

部署 MFA 是一个可以让用户轻松过渡到零信任模式的很好方式。同时也会产生一些挑战，比如管理员需要时间来适应无边界安全的理念，用户样需要时间来习惯每次登录时采取额外的安全措施。

02. 用户设备和行为可视化

当已经有了一套系统来确定是否信任用户的身份，接下来要做的是了解他们访问应用程序的设备。
这一步的核心是创建并维护企业和个人所有设备的列表。这能让你能看到所有设备相关的情况，也能帮你捕捉到有关这些设备安全性的关键信息。这非常重要，因为它可以帮你衡量与用户和设备相关的安全⻛险，从而更好地掌握到底是什么类型的设备在访问应用。

03. 确保用户设备的可信度

前面，我们已经谈到了零信任如何基于多个属性来管理安全，在新的范式中，许多关键属性告诉你更多关于请求访问的端点设备的信息。对于第三步，你将定义和审查端点设备的特征，这些特征将在每次登录时得到交叉验证。

例如，许多企业使用零信任模型，以两种关键方式建立设备的可信度。

1. 确认它曾被授予过访问权限

2. 强制要求它满足安全规定(如限制设备操作系统的最低版本等)

了解设备是否由企业管理也很重要。

用户和设备的 "可信度判定 "永远在访问应用程序之前。例如，如果用户拥有正确的凭证，但试图从一个在不符合规定的设备登录他们的工作邮箱，他们仍然会被拒绝访问。

这套策略也被叫做 PBAC (基于策略的权限控制）。

04. 执行基于风险的自适应的访问策略

接下来，需要创建与用户和设备双重相关的安全策略。

例如，如果一个用户在上午 9 点从家里登录检查电子邮件，这可以被认为是典型的行为，是可以被授权的。但如果同一个用户在周末登录，并在 Salesforce 中检查他们以前没有访问过的客户数据，那就可以认为是异常的，基于风险的模型可以捕捉到这一点。

而且由于与用户及其设备相关的⻛险可能会在访问尝试之间发生变化，例如，用户的设备软件过时了，你的访问策略也必须适应不断变化的条件，以保持可接受的⻛险水平。