后边界时代的信任是“零信任”

公司企业采用零信任方法的案例在增多，敏感受限文件及应用只能被可信用户及设备访问。

过去二十年里，大多数企业都依赖外向型安全方法，设置企业防火墙以阻止外部入侵者进入企业网络。然而，随着员工远程工作情况的增加，企业安全防护工作也变得复杂了许多。现在的攻击者技术高超，方法多样，可以不触发任何警报就绕过防线，而一旦进入企业内网，引起的破坏不可估量。以防火墙为中心的策略面临被攻击者蹂躏的风险。

后边界时代需要以“零信任”为基础的新安全方法。零信任模型既能赋予员工随时随地登录的灵活性，又能让安全团队通过验证试图连接系统的任何人和物而继续掌有控制权。

边界安全：墙上的缺口

云应用和移动设备的普及驱动了远程工作模式的兴盛。即便IT预算不多，也能引入多个云服务供公司员工从世界任何角落访问关键文件及应用。事实上，很多初创公司都是完全基于云的。

如今，员工在世界另一端利用开会间隙在咖啡馆上网干活的效率，并不比在公司办公桌前伏案工作的低。远程工作模式给公司企业和员工自身都带来了巨大的商业利益。但是，基于边界的安全方法就惨遭重击了。攻击者可以使用偷来的登录凭证，或者利用被黑掉的肉鸡，很轻松地溜进公司企业内网。那些区分不出合法员工与恶意黑客的公司企业将直面数据泄露的巨大风险。

安全访问解决方案供应商 Duo Security 的《Duo可信访问报告2018》分析了近1100万台设备每月约5亿次登录的数据，发现43%的受保护应用及数据访问请求都来自公司外部。2017到2018年间，客户及公司企业需验证的外部网络数量增加了10%，代表着越来越多的公司业务可能是员工从不安全WiFi网络接入公司完成的事实。工作模式变革的程度昭然若揭。

远程风险

对接入企业网络的移动设备管理不善，又进一步加剧了安全事件发生的风险。研究发现，90%的安卓设备并未升级到最新的操作系统，85%的 Chrome OS 设备也没有保持更新。

不勤打补丁也不更新操作系统的设备就是黑客眼中的肥羊，他们只需得手一台这种设备，就可借此将攻击延伸进整个企业内网。入侵者还可突袭设备本身，搜罗其中存储的各种登录凭证，为后续大型攻击做准备。设备上的机密数据、接入的企业网络及云应用，都有可能被黑客盗取或篡改。

不信任任何人，验证所有事物

随着旧边界安全墙的崩塌，仅仅因为用户身处内网就赋予信任的方式不再适用。越来越多的公司企业开始采用零信任方法，只有受信用户及设备可访问敏感受限文件和应用。但凡不能验明正身的用户或安全状况不达标的设备都不会得到授权，无论他们的请求是否来自应受信任的位置。

用户身份验证可以通过双因子身份验证(2FA)等方法实现。2FA可以防止攻击者以盗来的凭证冒充合法用户。除此之外，设备必须保持操作系统和安全补丁更新，保证没感染任何恶意软件。

基于风险的方法是管理零信任安全的最佳方式。该方法根据对业务的潜在风险和指向可疑行为的外部因素调整访问要求。如果用户是从补丁完整的企业托管设备登录工作应用，他们无需更多验证步骤便可享有完整权限。但如果用户是用更新不及时的个人设备登录，那他们就会被要求通过额外的步骤进一步验证其身份，或者只享有有限的访问权限。

该过程不能给用户带来负担。基于风险的方法所提供的灵活性意味着公司企业可以在不给合法用户增加非必要障碍的基础上实现零信任策略，让合法用户就好像在公司办公室里登录一样快捷。

虽然传统边界防护或许已壮士暮年，但公司企业仍能通过零信任方法保护自身，确保只有真实可信的用户被授权访问公司网络。

《Duo可信访问报告2018》：

https://duo.com/resources/ebooks/the-2018-duo-trusted-access-report