FineArt News

面對Insider Threat,資安內控建立起「零信任」設計

零信任(Zero Trust) 是由2010 John Kindervag所提出概念,而Google則再2017年以Beyond Corp加以實踐完成。若將「零信任」當成一個資訊安全框架,特別應用在Insider Threat管控上。「零信任」基本精神是以「企業不信任企業邊界內外的所有實體」為前題,思考資訊安全防護機制,包含各類端點裝置(不論是否連網的裝置)、人員(組織、雇員和第三方合作商)、應用程式(包含PC應用程式、手機App及內嵌在設備的應用系統、開發所需API元件)、以及網路安全防禦機制(收攏管理和監控的可見性IT與OT)。

「零信任」設計敏感性資料、應用和設備的訪問執行採取嚴格設計。包含以身分為中心(例如:AD或是LDAP)的動態存取控制,都視為不可信網路環境。即便以身分為中心,通過動態存取控制技術,以至細微性的應用、介面、資料為核心保護物件,遵循最小許可原則,構築端到端的邏輯身分防護疆界。其優點(1) 在IT治理上,是增強資訊系統與端點裝置的安全性;(2) 在企業管理上,強化安全環境和降低可被攻擊竊取力道。

 

零信任相關分析與價值

有以下四個支持論述,是零信任重要基礎:

  • 增強用戶識別和存取策略
    不同的使用群組,決定信任資源可用度,依據使用者身分或群組,來確認那些資源可以使用,例如:印表機列印使用、外接儲存媒體的使用、上網行為的使用…等。許多企業多以企業疆界為區塊進行防護,例如;以防火牆作為圍阻體,來阻斷外部攻擊。可惜的是缺乏內向外的穿透,傳統圍阻體依然需要,但是端點的行為圍阻體也是需要建立。存取驗證只能證明使用該資源者具備其使用權,往往忽略螢幕背後的身分是否為真實,例如人離開電腦無自動登出,他人依舊可以使用該電腦,只不過身分已經不是當事人。
  • 資料與資源分層存取與限制
    在訪問策略上,如果沒有合適的資料和資源分段時沒有意義。例如:研發部門不該存取或連線碰觸財務ERP系統,或是在非上班時段不該有開機無人使用的電腦,試圖連線存取公司伺服器…等。透過網路分段分區,零信任機制可以防止非授權的用戶連結或是存取關鍵的資訊系統或他人電腦減少攻擊機會,甚至預先阻攔威脅與感染散布,有效降低員工惡意攜入裝置所帶的物理裝置風險。 
  • 強化資料存儲和傳遞安全
    通過分段分層管制,可以有效限制對資源的存取以及攻擊,但在傳遞通道或是資料本體如果不確保存儲安全和傳輸安全,甚至資料加密的必要性,企業依然面臨外洩的風險。此外,員工電腦感染勒索病毒,缺乏端點資料備份與防護都是企業在達成零信任程序上必須要考慮的要素。
  • 安全規劃設計
    這裡涉及以電腦為本體的存取,或是採用以身分存取的安全設計問題,人是一個移動因子,以人為本體較符合零信任的價值與精神,在企業內必須設法將其安全設計架構的覆蓋率達到最大值。在使用上必須把安全與協同應用的價值進行適度的分析與篩選,才有利於相關機制的建立。甚至是重疊性角色應用都需要列入考慮,例如:公用電腦有多人身分登入,就是一個要考慮的安全設計。甚至考慮到出差人員使用外部無線網路時的可用性(可能在企業內可能屏蔽無線訊號,但是必須滿足出差收發信與系統使用的需求)將涵蓋面相最大化,讓衝突與不便性最小化,是需要調適設計的。

 

企業是信任?還是不信任?

伴隨著技術演化進步,企業在安全防護上也要與日俱進,如果人力不足或是能力知溝持續存在,委由第三方專業資安公司來協助規劃建置,也是一個重要配套方案。近期知名VPN產品以及Citrix漏洞,都給資安規劃上帶來再評估的思考。即便已經使用相關機制,隨著漏洞更替,所謂的信任與不信任,都會持續衝擊著企業資安團隊。推演到個人,近期勒索軟體利用系統指令放行問題受建立零信任必須的思考。零信任是個不錯的選擇。