为了应对快速发展的网络安全威胁，零信任这个15年前出现的概念，现在已成为政府网络机构的战略重点。根据国防创新委员会（DIB）和美国技术工业咨询委员会的报告，联邦政府现在将零信任放在其增加的网络安全支出的最前沿。零信任（ZT）到底是什么？随着重点转移到个人访问，而不是保护网络的广泛部分，这一概念脱离了基于边界的网络安全。通过缩小网络防御的范围，并增加对资源的保护，因为它们跨越日益分散的网络。听起来很简单，对吧？虽然实现零信任策略有很多方面，但本博客将回顾几个主要的体系结构概念，包括ZT网络需求、ZT框架和ZT可见性结构。
十大零信任网络需求
在零信任环境中，必须对网络上的所有流量进行检查和记录，并对其进行分析，以识别和应对潜在的攻击。在构建零信任架构时，额外的网络需求包括：
- 具备基本的网络连接能力。局域网（LAN），无论是否由企业控制，都提供基本的路由和基础设施（例如DNS）。
- 必须能够区分企业拥有或管理的资产及其当前的安全状态。
- 必须捕获所有网络流量-记录数据包在数据平面上看到，并可以过滤掉有关连接的元数据，如果需要，动态更新策略。
- 在不访问策略实施点（PEP）的情况下，不应该访问资源。
- 数据平面（或应用程序数据流量）和控制平面（即策略引擎、策略管理员和pep）在逻辑上是分离的。
- 用户必须能够访问PEP组件以获得对资源的访问权。这可以采用web门户、网络设备或启用连接的软件代理的形式。
- PEP是访问策略管理员以建立从客户机到资源的通信路径的唯一组件。所有业务流程流量都要经过一个或多个pep。
- 远程资产应该能够访问资源，而不需要链接回企业网络（即虚拟专用网[VPN]）来访问企业使用并由公共云提供商托管的服务（例如，电子邮件）。
- 应该使用于支持访问决策的零信任体系结构基础设施具有可伸缩性，以适应流程负载的变化。
- 由于可观察的因素，资产可能无法达到某些pep，这些因素可能基于位置（地理位置或网络位置）、设备类型或其他标准。
现在下载：零信任网络安全[白皮书]
零信任框架
了解了零信任环境的网络需求后，就可以开始规划网络中的各个组件。美国国家标准与技术研究院（NIST）的逻辑框架模型侧重于策略引擎、策略管理员和策略实施如何相互通信。策略引擎允许用户访问每个资源，并根据企业策略做出决策。一旦策略引擎确定是否允许用户访问资源，以及是否执行和创建所需的身份验证凭据，策略管理员将连接到策略引擎。
策略实施点处理用户和资源之间的连接。它的工作是监测和确定两者之间的持续访问。该框架还展示了如何集成互补组件，包括持续诊断和缓解系统、行业遵从性系统、威胁情报馈报、数据访问策略、企业公钥基础设施、ID管理系统、安全信息、事件管理（SIEM）系统以及网络和系统活动日志。
零信任可见性结构
在这个框架中，“网络和系统活动日志”表示一个企业系统，它聚合了资产日志、网络流量、资源访问操作和其他事件，这些事件提供了对企业信息系统安全状态的实时（或近实时）反馈。虽然每个政府机构网络都需要一个独特的设计来满足特定的需求，但任何零信任架构都需要一个可见性结构来捕获所有网络流量。
当您实现利用网络tap和网络数据包代理（NPB）的可见性基础设施，最终将数据提供给您的网络监控和安全解决方案时，您可以通过以下方式最大限度地提高零信任的有效性：改进的风险评估：能够保证对网络流量和数据流的全面可见性，从而更容易发现漏洞并管理对保护表面的更改。降低网络复杂性：通过负载均衡、包过滤和其他特性，网络tap和npb可以更容易地最大化工具利用率。这些功能最大限度地减少了您需要部署的工具数量，以最大限度地提高可视性，降低了庞大的政府网络的复杂性。简化的基础设施升级：可见层为您的网络创建了更多接入点，并能够实现内联或带外安全性和监控工具。您可以在对体系结构进行更改的同时维护数据流，而不是长时间关闭网络来升级基础设施组件。更好的工具性能：您的安全和监控工具提供最佳结果的唯一方法是让它们看到每个必要的流量数据包。您的网络可见层确保每个工具都提供了支持零信任所需的每一点数据。更大的可扩展性：随着时间的推移，政府网络将需要提高速度以跟上现代用例的步伐。适当的可见层可以更容易地规划带宽增长和对更大流量支持的需求。违规行为减少：由于政府网络存在盲区，违规行为时有发生。当您的监视和安全工具可以看到所有数据包时，您就可以领先于可能出现的问题，直到您的网络不符合要求。如果利用正确的工具，这些好处都可以构建到零信任体系结构中。要构建支持最有效的零信任体系结构的可见性结构，您需要设计网络tap、网络数据包代理（npb）、旁路tap和云可见性解决方案的正确组合。实现零信任的步骤从实施零信任可见性架构开始，通过保证满足最高政府网络安全成熟度的整体网络可见性。体育博彩平台在这里帮助您在零信任的道路上取得成功。体育博彩平台推荐的网络tap、网络包代理、旁路技术和云可见性解决方案将简化您的网络安全升级。与体育博彩平台推荐的一位网络工程师召开一次design - it会议，进行无义务的Visio网络设计会议。
