何为零信任模型? 英文为ZeroTrust模型首次由ForresterResearch于2010年与美国国家标准与技术研究院(NIST)共同推出,零信任模型不是使用“信任验证”的传统指导方法,其指导原则是“永不信任,始终验证”! 零信任模型基于以下三个支柱: 确保所有资源安全地访问,无论处在任何位置(换句话说,不再有受信任区域)。 应用最小权限策略,并严格执行访问控制。在ZeroTrust中,所有用户最初都是不受信任的。 检查所有流量并记录。即使源自LAN的流量也被认为是可疑的,并且被记录和分析,就像它来自WAN一样对待。 据国外安全媒体报道,微软于上周宣布了一种旨在帮助组织了解实施零信任安全模型过程的评估工具。微软高级产品营销经理NupurGoyal称本次推出的零信任评估工具是免费的,任何需要他的人都可以免费使用。 Goyal提到:“评估工具将帮助组织评估身份、设备、应用、网络基础设施、网络和数据之间的情况,然后提供执行任务和部署指南,帮助组织达到关键的里程碑。” 由于新冠状病毒的爆发,越来越多的组织不得不采取员工远程办公模式,这使得防止未经授权访问公司系统比以往显得更加重要。同时,本地身份和安全解决方案提供的功能会受到限制,解决安全远程访问相关挑战的一种方法是实施零信任安全模型。 零信任模型的指导原则是“永不信任,始终验证”,也就是假定每个请求都来自不受控制的网络。在授予访问权限之前,会对每个访问请求进行严格的身份验证并检查验证过程中的异常情况。 当采用零信任模型时,必须确保无论请求来自何处,都可以安全地访问所有资源,应用最低特权策略并严格执行访问控制,即使该流量来自于本地网络也要严格检查和记录。 微软表示,每家希望实施零信任模型的公司都处于发展的不同阶段,而这家科技巨头发布的评估工具可以帮助他们准确自己的位置。 评估工具还能为组织提供有关如何进入到下一阶段的建议。微软表示,计划在即将到来的时期发布针对零信任的六个基本要素(即身份、设备、应用程序、数据、基础架构和网络)中的每个要素的部署指南。