“零信任”是最近在互联网上流行的安全术语之一, 但是它是什么意思，为什么安全或it审计团队应该开始关心这个术语? 传统上, 澳门赌场官方下载关心的是通过部署防火墙形成一个分层的防御边界, Web代理和其他边界隔离机制可以防止恶意行为者进入，同时对在澳门赌场官方下载网络内部运行的设备表示一定程度的固有信任. 这种传统的网络防御模式根本行不通 网络攻击增加600% 自COVID-19单独出现以来，通常取得了很大程度的成功. 由于物联网技术的发展，恶意行为者也有了更多的攻击途径, 云技术和针对用户的持续的网络钓鱼攻击. 使用传统安全方法继续保护澳门赌场官方下载关键资产和数据的成本越来越低，到2021年底，平均安全漏洞将会出现 给澳门赌场官方下载造成的损失高达4美元.2400万年.
这篇博文将概述零信任安全模型，以及如何在整个澳门赌场官方下载中迭代地建立零信任(请参阅相关的ISACA白皮书). 这篇博文还将列出审计部门可以采用的一些潜在的审计或咨询方法，以加强其作为澳门赌场官方下载“值得信赖的顾问”的地位. 零信任并不寻求完全取代当前的网络保护模型，甚至不寻求改变基础设施, 而是增强它们以增强网络保护. 读者可以利用这个机会简单地增加他们关于这个主题的知识，或者开始构建评估计划，以确定支持这个新兴模型所需的控制的准备情况或充分性.
零信任生命周期
- 定义保护表面
传统的安全方法通常侧重于定义和保护澳门赌场官方下载网络周围的安全边界，并试图将敏感数据或易受攻击的信息系统与该边界隔离开来. 远程工作人员通过使用VPN等技术将这一传统边界扩展到用户的家庭网络，这不仅使定义澳门赌场官方下载网络具有挑战性, 但也使国防资源分配困难.
Zero Trust通过明确定义和开发带有关键数据分组的“保护表面”来脱离这个模型, 应用程序, 资产, & 按实际使用量付费服务().- 数据应根据其对澳门赌场官方下载的相对重要性进行详尽的识别和分类, 客户, 和业务伙伴使用数据分类策略或标准.
- 应该评估应用程序，以确定它们存储的敏感数据的级别, 在应用程序不可用或被恶意行为者劫持时，向澳门赌场官方下载传输或处理应用程序的价值.
- 资产(笔记本电脑、平板电脑、服务器、路由器等.)应详尽清点，并进一步评估是否包含在个别保护表面.
- 服务(DNS、E-mail、DHCP等.)应被识别和评估是否包含在保护表面.
- 映射事务流在保护表面
在定义了单独的保护表面之后, 应该努力确定数据如何, 应用程序, 资产和服务彼此交互. 这包括端口的确定, 协议, 网络流量基线, 网络上的源和目标位置. 这种映射练习将使澳门赌场官方下载能够在不影响可用性的情况下，微调并实现每个保护区域所需的自定义保护程度, DAAS的性能和可用性.
此阶段的审计重点可能包括获取和检查与保护表面有关的网络图文件, 是否在每个图中考虑了相关的DAAS，以及是否有足够的细节描述了范围内DAAS之间的相互作用. 进一步的保证活动可能包括评估在先前步骤中定义的初始安全策略是否已被修改或在此审查之后是否需要额外的控制，以及是否正式安排了对daa相互依赖关系的例行审查，以识别更改并相应地调整安全策略. - 开发零信任架构
零信任不仅仅是关于访问控制，而且还有效地利用了大量技术，如深度数据包检测, 端点保护, 防止数据丢失, 网络过滤, 等.，只允许可信事务在网络上发生. 在澳门赌场官方下载保护表面和它们各自的DAAS相互依赖关系被确定之后, 根据澳门赌场官方下载独特的保护需求，可以形成实际的零信任体系结构. 澳门赌场官方下载通常会寻求使用防火墙或其他网络隔离机制来分离彼此的保护面, 创建“micro-perimeters.“下一代防火墙由于其固有的能力是这一阶段的支柱 在OSI模型的所有七层提供网络过滤.
此阶段的审计重点可能会附带上一步，以确定上面列出的特定安全设备或服务是否易于与保护表面相关联，并适当地位于网络上. 审计的重点还可能包括确定是否进行了具有适当技术和业务主管签字的架构良好的审查，以验证架构是否满足业务需求. - 创建零信任策略
零信任策略的创建规定了“吉卜林方法”的使用。 确保授予主体(如用户或系统)的任何访问权限都是适当的. 这包括详尽地确定:- 应该允许谁访问澳门赌场官方下载DAAS?
- 哪些应用将被允许访问澳门赌场官方下载DAAS?
- 何时应该访问澳门赌场官方下载DAAS?
- 澳门赌场官方下载DAAS位于何处(物理上或逻辑上)?
- 为什么需要访问澳门赌场官方下载DAAS?
- 如何授予对澳门赌场官方下载DAAS的访问权限?
- 监控和维护零信任架构
监视零信任需要对安全设备和端点保护解决方案产生的工件进行频繁的日志审查和检查. 随着时间的推移, 澳门赌场官方下载应该寻求基线并确定网络上关于资产通信的正常行为, 数据交易量和用户活动. 传入模型以进行评估和调优的数据越多, 更好的, 由于监测活动和微调使得单个保护表面的保护变得越来越有弹性.
这一阶段的审计重点应包括确定管理层是否采用正式的基准, 记录审查和保护地面改进活动. 审计的重点还可能包括对安全策略的计划变更是否由这些审查和改进产生，然后按照指示实施.
零信任并不寻求取代现有的基础设施，也不会让澳门赌场官方下载承担巨大的成本来实现其利益. Zero Trust的迭代特性还允许组织通过开发单个保护层来缓慢地采用模型，同时模型的效率和收益变得明显. 内部审计员可以通过教育自己了解零信任体系结构的好处，并确定他们在多大程度上遵循了采用这种新兴安全体系结构模型的成功策略，从而帮助澳门赌场官方下载完成这一过程.
