隨著遠距辦公已成為常態，多雲使用範圍不斷擴大，「公司網路內部安全」的傳統外圍防禦已完全失去效力。取而代之的是倡導「從不信任，始終驗證」的零信任架構。然而，即使他們理解這個概念，許多組織在現場實施時也遇到困難。我們將回答基礎設施改造領域人士提出的三個核心問題。
Q1。為什麼「有內部 VPN 就安全」的神話破滅了？
傳統 VPN 存在結構性缺陷，一旦突破網關，它們就可以在公司 LAN 中橫向移動。如果攻擊者透過利用惡意軟體感染或洩漏的憑證以合法使用者身分滲透，則在外圍通訊無條件信任的環境中很難偵測到。零信任透過在每次請求發生時確定使用者的身分、裝置的運作狀況和連線來源的上下文，並動態地僅向單一應用程式授予最低限度的必要存取權限，從根本上防止入侵後損害的蔓延。
Q2。如何使用微分段和 ID 感知代理？
這兩種技術並不矛盾，而是互補的。身分感知代理程式 (IAP) 主要控制使用者到 SaaS 和 Web 應用程式的“入口”，無需 VPN 即可提供安全存取。另一方面，微分段是一種對容器環境和虛擬機器之間的「東西向流量（橫向通訊）」進行碎片化和阻塞的技術。該領域的標準是一種混合配置，其中應用微分段來保護內部工作負載，例如 Kubernetes 叢集內 Pod 之間的通訊以及對資料庫的訪問，並使用 IAP 將遠端工作人員連接到業務應用程式。
Q3。制定一個在實施初期不會引起職場反對的認證政策，關鍵點是什麼？
如果零信任過於嚴格，要求每小時進行一次多重身份驗證（MFA），則會顯著降低用戶的便利性，並鼓勵使用非官方工具（影子IT）。成功的關鍵是實施「基於風險的身份驗證」。如果您在正常時間從同一個公司提供的終端訪問，請保持會話並設計上下文評估，僅當來自海外IP、深夜或來自未知終端的請求時才需要額外的身份驗證。平衡安全性和營運效率的漸進過渡將決定它是否會在您的組織中紮根。