Zero Trust：并非像听起来那么可怕

如果 Zero Trust 一词最近以惊人的频率出现在您的新闻订阅源中，您可能会认为 Zero Trust 一定是在麻省理工学院的某个研究实验室里研究出的全新技术，由最新的人工智能、机器学习、量子计算和 1.21 千兆瓦的通量电容驱动。在这篇和以后的博文中，我想说明的是，事实上，Zero Trust 十分简单，从核心理念来看，Zero Trust 通过一种强有力的形式体现了古老的最小权限原则。

Zero Trust 现在引起了极大关注，这种关注是一件好事，因为 Zero Trust 确实可以为各种规模的企业和政府机构提供更好的安全成果。事实上，白宫最近发布的关于改善国家网络安全的行政命令把 Zero Trust 置于相当突出的地位。 

该命令表示，“为了应对如今动态和日益复杂的网络威胁环境，联邦政府必须采取果断措施，将其网络安全方法实现现代化。”该命令继续确定了其中的一些举措，包括：“联邦政府必须采用最佳安全做法；向 Zero Trust 架构过渡。”此命令强有力地认可了 Zero Trust 以及它在保护国家免受恶意网络攻击者侵害方面所能发挥的突出作用。

白宫的这项行政命令还表示，“联邦政府必须以身作则，”但在某些方面，私营部门已经指明了方向，许多企业已经实施了 Zero Trust 或者已在实施 Zero Trust 的道路上取得了长足进展。我们已经看到了许多案例研究，包括 Akamai 撰写的案例研究，其中讲述了我们使用自己的产品来实施 Zero Trust 的经验。据我所知，最早的范例可能来自 Google，尽管他们并不将这种模式称为 Zero Trust；他们称其为 BeyondCorp。

Zero Trust 正在逐渐形成趋势，最近，在一些高曝光度的网络攻击之后，我们看到许多文章指出 Zero Trust 方法可以如何挫败这些攻击。在一些攻击中，恶意软件通过网络钓鱼或利用暴露的服务器中的漏洞进入企业。进入企业后，恶意软件会在企业内部横向移动，以寻找高价值目标。正是借助这种模式，勒索软件能够找到一个可以加密的目标，然后索取解密赎金。正如我们经常看到的那样，这个世界从不缺少存在漏洞和暴露在风险下的服务器，也不缺少勒索软件受害者。许多读者也许就能举出几个例子。

幸运的是，Zero Trust 真的可以在这方面发挥巨大作用。基本理念是，Zero Trust 确保用户只能访问他们需要访问的应用程序，而且只能在他们经过严格身份验证和授权后进行访问。事实上，在 Zero Trust 访问模式中，用户甚至不能看到应用程序，除非他们已经过身份验证，然后获得了访问权限。应用程序绝不会真正暴露。此外，使用 Zero Trust 威胁保护时，系统会自动阻止用户访问钓鱼网站或恶意软件分发网站，并自动阻止恶意软件访问它的命令和控制功能。通过这些基本机制，Zero Trust 使恶意软件更难进入企业或进行传播。

Zero Trust 的核心原则在于非常严格的访问控制，以确保只向经过严格身份验证和授权的用户授予访问权限，而且只授予所需资源的访问权限。尽管它的名字叫 Zero Trust，但它并没有什么值得害怕的地方。概念十分简单，可以将其看作实现最小权限的一种强有力的形式。