Er Zero Trust et produkt eller en filosofi?

Begge. Filosofien er veldefineret (NIST 800-207). Produkterne, der implementerer det, udgør en stak: identitetsudbyder, enhedsadministration, adgangsproxy, politikmotor, telemetri. Sælgere sælger stykker; "Zero Trust" er den arkitektur, du sammensætter ud fra dem.

Eliminerer Zero Trust behovet for firewalls?

Ikke helt. Firewalls er stadig nyttige til grov netværksfiltrering og DDoS-resiliens. Men de er ikke længere det primære adgangskontrollag; adgangsproxyen er. De fleste Zero Trust-installationer har stadig firewalls; deres rolle er skiftet fra "det" forsvar til "et" forsvar.

Kan en lille virksomhed adoptere Zero Trust?

Ja, nemmere end nogensinde før. Cloudflare Access har et gratis niveau; Tailscale har en generøs gratis plan; Google Workspace og Microsoft 365 samler Zero Trust-funktioner til virksomhedsabonnenter. Barrieren koster ikke længere; det er den operationelle ændring af politik-administrering af hver app.

Er Zero Trust bare SASE / SSE / ZTNA / SDP / [næste akronym]?

Det er relaterede kategorier. SASE (Secure Access Service Edge) er den cloud-leverede netværk + sikkerhedsplatform. SSE (Security Service Edge) er den eneste sikkerhedsundergruppe. ZTNA (Zero Trust Network Access) er den specifikke applikationsadgang. SDP (Software-Defined Perimeter) er en ældre betegnelse for den samme idé. Nul tillid er filosofien; det er produkter, der implementerer det.

Hvor lang tid tager en Zero Trust-migrering?

For en virksomhed: 2-5 år. Arbejdet er ikke teknologien – det er at identificere hver applikation, hvert service-til-service flow, hver ældre godkendelsesmekanisme og migrere hver enkelt til den nye model. Virksomheder, der siger, at de er "Zero Trust", betyder normalt, at de har en identitetsbevidst proxy for de fleste apps og stadig arbejder gennem den lange hale.

Zero Trust Architecture forklaret: Sikkerhedsmodellen, der erstattede netværksperimeteren

Zero Trust er sikkerhedsmodellen, der antager, at ingen del af netværket er troværdig, og at enhver adgangsanmodning skal være autentificeret og autoriseret, uanset hvor den kom fra. Det erstattede den gamle idé om en hård ydre omkreds med en blød inderside, efter et årti med angreb viste, at omkredsen aldrig var så hård som annonceret.

Hele artiklens krop findes på engelsk nedenfor.

Zero Trust Architecture (ZTA) er en sikkerhedsmodel, der kræver eksplicit verifikation for hvert adgangsforsøg til hver ressource, uden implicit tillid givet baseret på netværksplacering. "Stol aldrig, bekræft altid" - slagordet er blevet træt, men princippet holder. Modellen opstod fra John Kindervags Forrester-forskning fra 2010 og er nu kodificeret i NIST SP 800-207.

Hvad erstattede det

Den traditionelle model — "slot og voldgrav" — antages:

Ttrusler kommer udefra; når du først er inde, har du tillid til dig
Firewalls og VPN'er definerer perimeteren
Netværket er sikkerhedsgrænsen

Dette virkede, indtil det ikke gjorde det. Kompromitterede legitimationsoplysninger, forsyningskædeangreb, ondsindede insidere og fjernarbejde omgik alle perimeteren. De berygtede brud i 2010'erne - Target, OPM, Anthem, Sony, Equifax - involverede alle en angriber, der kom inden for perimeteren og derefter bevægede sig frit. Omkredsen var det enkelte fejlpunkt.

Zero Trust siger: antag, at angriberen allerede er inde. Godkend og godkend enhver anmodning, som om den kom fra et fjendtligt netværk. Forsvaret er ikke afhængigt af en perimeter.

Kerneprincipperne

NISTs syv principper:

Alle datakilder og computertjenester er ressourcer. Ingen speciel status for "9XX88 interne" kommunikationssystemer. er sikret uanset netværksplacering. Krypter altid under transport; stol ikke på, bare fordi trafikken er inde i firewallen.
Adgang til individuelle ressourcer gives på per-session-basis. Autentificer pr. ressource, pr. anmodning, ikke én gang pr. netværksindgang.
Adgang bestemmes af enhedens-kontekst, +-enheds-score, +Dynamik-score, +XPLZ39. ikke kun "er i undernet 10.0.x.x."
Virksomheden overvåger og måler integriteten af alle ejede og tilknyttede aktiver. Kontinuerlig enhedssundhedskontrol.
Alle ressourceautentificeringer og XPLZ kan håndhæves dynamisk7 og XPLZ-håndhævelse7. afsluttes, når kropsholdningen ændrer sig.
Virksomheden indsamler så mange oplysninger som muligt om aktivtilstand, netværksinfrastruktur og kommunikation. Telemetri føder risikobeslutningen.

Hvordan det rent faktisk ser ud i praksis kombinerer:
Identitetsudbyder (Okta, Microsoft Entra, Google Workspace) — enkelt kilde til sandhed for den du er.
Enhedsadministration (Jamf, Intune) — ved, hvilke enheder Chrome er sunde, og Chrome-enheder compliant.
Access proxy (Cloudflare Access, Zscaler, Tailscale, BeyondCorp) — sidder foran hver interne app og håndhæver politik på enhver anmodning.
Mikrosegmentering, også uden implicit trafiktjeneste, ingen implicit trafiktjeneste. netværk.
Policy engine — evaluerer hver anmodning i forhold til regler, der kombinerer identitet, enhed og kontekst.
For brugere er resultatet usynligt: åbn Outlook, tryk Salesforce, rediger en Confluence-side, som derefter tillader identitetsadgang og hver transaktionsruter, og kontrollerer derefter identiteten eller enheden. Brugeren kan ikke se policy-motoren; de ser SSO, og appsene virker bare.
BeyondCorp: modellen
Googles BeyondCorp-initiativ (startet internt 2009, offentliggjort 2014-2017) var den første storstilede Zero Trust-implementering. Google fjernede virksomhedens VPN og gjorde alle interne applikationer tilgængelige direkte over det offentlige internet - bevogtet af en identitetsbevidst proxy, der tjekkede bruger, enhed og kontekst for hver anmodning. Modellen beviste, at Zero Trust kunne fungere i stor skala, og Google fremstillede den som Identity-Aware Proxy på GCP.
BeyondCorps succes drev industrien. De fleste store virksomheder har i det mindste påbegyndt en Zero Trust-rejse, selvom migreringen er langsom, fordi så mange ældre ting blev bygget op omkring den gamle perimetermodel.
Zero Trust og VPNs
Zero Trust bliver nogle gange opfattet som "VPN'ens død." Til dels rigtigt. Traditionelle virksomheds-VPN'er giver adgang til netværket, hvorefter brugeren kan nå alt, hvad de er autoriseret til. Zero Trust giver adgang til specifikke applikationer, ikke netværket - hvilket reducerer eksplosionsradius markant fra en kompromitteret bruger.
Moderne alternativer omfatter Tailscale (som er en VPN, men med ACL'er pr. applikation og identitetsbevidst adgang - faktisk en lille skala Zero Trust), Cloudflare Access og forskellige ZTNA-produkter (Zero Trust Network Access).
Where Zero Trust er svært
dele:
Legacy-applikationer. Apps, der forventer at være på et betroet netværk, har ofte ikke korrekt godkendelse. De skal eftermonteres eller proxieres.
Service-to-service auth. Mikrotjenester, der taler med hinanden, er en stor angrebsoverflade, og mTLS plus identitetsbevidst servicenetværk er operationelt komplekst.
Policy-app-eksplosion er en per-XPLZ-eksplosion. mange regler. Voksne implementeringer bruger abstraktioner (grupper, roller, attributter), men den kognitive belastning er reel.
Migrationsomkostninger. Udskiftning af perimeterbaserede kontroller med Zero Trust-kontroller er en flerårig rejse for enhver stor organisation. De fleste er halvvejs igennem.
Nul Tillid til enkeltpersoner
Principperne nedskaleres. Som enkeltperson:
Brug stærk godkendelse overalt - adgangskoder + 2FA eller adgangsnøgler
Stol ikke på dit hjemmenetværk - krypter alt under transport
Kør mindste privilegerede konti på dine enheder (ikke admin som standardXPLZ3Paxx5, ikke admin som standard) da kompromitterede endepunkter er den mest almindelige Zero Trust-overtrædelse
TBehandl browsersessioner som upålidelige som standard - sandboxed, med indholdsfiltrering
Du vil ikke implementere en Zero Trust-arkitektur derhjemme, men tankegangen - antag, at ethvert enkelt lag kan fejle
direkte.

Ofte stillede spørgsmål

Er Zero Trust et produkt eller en filosofi?: Begge. Filosofien er veldefineret (NIST 800-207). Produkterne, der implementerer det, udgør en stak: identitetsudbyder, enhedsadministration, adgangsproxy, politikmotor, telemetri. Sælgere sælger stykker; "Zero Trust" er den arkitektur, du sammensætter ud fra dem.
Eliminerer Zero Trust behovet for firewalls?: Ikke helt. Firewalls er stadig nyttige til grov netværksfiltrering og DDoS-resiliens. Men de er ikke længere det primære adgangskontrollag; adgangsproxyen er. De fleste Zero Trust-installationer har stadig firewalls; deres rolle er skiftet fra "det" forsvar til "et" forsvar.
Kan en lille virksomhed adoptere Zero Trust?: Ja, nemmere end nogensinde før. Cloudflare Access har et gratis niveau; Tailscale har en generøs gratis plan; Google Workspace og Microsoft 365 samler Zero Trust-funktioner til virksomhedsabonnenter. Barrieren koster ikke længere; det er den operationelle ændring af politik-administrering af hver app.
Er Zero Trust bare SASE / SSE / ZTNA / SDP / [næste akronym]?: Det er relaterede kategorier. SASE (Secure Access Service Edge) er den cloud-leverede netværk + sikkerhedsplatform. SSE (Security Service Edge) er den eneste sikkerhedsundergruppe. ZTNA (Zero Trust Network Access) er den specifikke applikationsadgang. SDP (Software-Defined Perimeter) er en ældre betegnelse for den samme idé. Nul tillid er filosofien; det er produkter, der implementerer det.
Hvor lang tid tager en Zero Trust-migrering?: For en virksomhed: 2-5 år. Arbejdet er ikke teknologien – det er at identificere hver applikation, hvert service-til-service flow, hver ældre godkendelsesmekanisme og migrere hver enkelt til den nye model. Virksomheder, der siger, at de er "Zero Trust", betyder normalt, at de har en identitetsbevidst proxy for de fleste apps og stadig arbejder gennem den lange hale.