随着远程办公已成为常态，多云使用范围不断扩大，“公司网络内部安全”的传统外围防御已完全失去效力。取而代之的是倡导“从不信任，始终验证”的零信任架构。然而，即使他们理解这个概念，许多组织在现场实施时也遇到困难。我们将回答基础设施改造领域人士提出的三个核心问题。
Q1。为什么“有内部 VPN 就安全”的神话破灭了？
传统 VPN 存在结构性缺陷，一旦突破网关，它们就可以在公司 LAN 中横向移动。如果攻击者通过利用恶意软件感染或泄露的凭据以合法用户身份渗透，则在外围通信无条件信任的环境中很难检测到。零信任通过在每次请求发生时确定用户的身份、设备的运行状况和连接源的上下文，并动态地仅向单个应用程序授予最低限度的必要访问权限，从根本上防止入侵后损害的蔓延。
Q2。如何使用微分段和 ID 感知代理？
这两种技术并不矛盾，而是互补的。身份感知代理 (IAP) 主要控制用户到 SaaS 和 Web 应用程序的“入口”，无需 VPN 即可提供安全访问。另一方面，微分段是一种对容器环境和虚拟机之间的“东西向流量（横向通信）”进行碎片化和阻塞的技术。该领域的标准是一种混合配置，其中应用微分段来保护内部工作负载，例如 Kubernetes 集群内 Pod 之间的通信以及对数据库的访问，并使用 IAP 将远程工作人员连接到业务应用程序。
Q3。制定一个在实施初期不会引起职场反对的认证政策，关键点是什么？
如果零信任过于严格，要求每小时进行一次多重身份验证（MFA），则会显着降低用户的便利性，并鼓励使用非官方工具（影子IT）。成功的关键是实施“基于风险的身份验证”。如果您在正常时间从同一个公司提供的终端访问，请保持会话并设计上下文评估，仅当来自海外IP、深夜或来自未知终端的请求时才需要额外的身份验证。平衡安全性和运营效率的渐进过渡将决定它是否会在您的组织中扎根。