企業(yè)需要探索如何將零信任安全模型應用于存儲系統(tǒng)。考慮到當今的網(wǎng)絡威脅形勢，額外的數(shù)據(jù)保護對企業(yè)來說至關重要。IT團隊必須謹慎執(zhí)行零信任存儲策略，本文介紹了實現(xiàn)這個策略時需要記住的8個最佳實踐。

企業(yè)在試圖保護其數(shù)據(jù)和存儲系統(tǒng)時面臨越來越多的挑戰(zhàn)。然而，零信任存儲策略采用了一種“不相信任何人”的安全方法，這種方法認識到當今數(shù)據(jù)邊界的流動性。

敏感數(shù)據(jù)不再局限于專用網(wǎng)絡，可能存在于多個位置，就像勞動力的工作日益分散一樣。IT團隊還面臨著越來越多的規(guī)定如何存儲和保護數(shù)據(jù)的法規(guī)，這進一步使數(shù)據(jù)管理復雜化。傳統(tǒng)的網(wǎng)絡安全方法已經(jīng)不能滿足當今的許多數(shù)據(jù)保護需求。

在零信任模型中，在進行敏感資源適當驗證之前，所有用戶和設備都禁止訪問。盡管這種方法可以幫助更好地保護數(shù)據(jù)，但是實現(xiàn)零信任存儲策略需要大量的工作。IT團隊為這樣的任務準備得越充分，就越有可能部署一個有效的系統(tǒng)來保護數(shù)據(jù)。

零信任存儲策略需要什么?

保護敏感資源的傳統(tǒng)方法是基于在IT基礎設施周圍建立一個強大的邊界?；谶吔绲哪Ｐ褪褂梅阑饓推渌W(wǎng)絡安全技術來創(chuàng)建一個城堡和護城河結構，將信任擴展到該邊界內的所有用戶和設備。盡管基于外圍邊界的安全在過去運行良好，但基于云的服務、遠程工作人員、BYOD計劃、邊緣計算和物聯(lián)網(wǎng)設備的持續(xù)擴散，已經(jīng)為敏感數(shù)據(jù)帶來了一系列新的風險。僅保護外圍邊界已經(jīng)不足以應對當今日益增多的復雜網(wǎng)絡威脅。

零信任安全限制和控制對數(shù)據(jù)、存儲系統(tǒng)和其他資源的訪問。零信任模型假設，在用戶、設備、服務或其他系統(tǒng)首次連接到網(wǎng)絡并在多個點上進行驗證之前，任何用戶、設備或其他系統(tǒng)都不能被信任。該模型始終使用微分段、系統(tǒng)監(jiān)控、身份和訪問管理等工具，以及定義對存儲、數(shù)據(jù)和其他資源的細粒度控制的全面安全策略，對所有資源保持嚴格的訪問控制。

近年來，由于數(shù)據(jù)威脅的增加，零信任方法獲得了穩(wěn)定的發(fā)展勢頭。2018年，調研機構Forrester公司推出了零信任擴展生態(tài)系統(tǒng)及其七個核心支柱，以實現(xiàn)有效的零信任平臺。同年，美國國家標準與技術研究院為實現(xiàn)零信任平臺的核心組件提供了廣泛的指南。最近，美國聯(lián)邦政府機構已經(jīng)采取措施在國家層面實施零信任安全。

零信任平臺控制著對企業(yè)所有數(shù)據(jù)的訪問，無論是靜態(tài)數(shù)據(jù)還是動態(tài)數(shù)據(jù)。該平臺還保護與維護這些系統(tǒng)相關的通信和數(shù)據(jù)。網(wǎng)絡中的任何一個點都可能代表一個潛在的漏洞。一個漏洞可能會影響這個點以及其他網(wǎng)絡資源，包括存儲系統(tǒng)及其數(shù)據(jù)。出于這個原因，零信任計劃必須是整個網(wǎng)絡范圍的工作，它將存儲與所有其他資源結合在一起。

實現(xiàn)零信任存儲的最佳實踐

IT團隊必須謹慎執(zhí)行零信任存儲策略，以下是實現(xiàn)這個策略時需要記住的8個最佳實踐。

(1)繪制出敏感數(shù)據(jù)當前駐留的位置及其流動方式

識別整個保護面，需要保護防范網(wǎng)絡攻擊的關鍵數(shù)據(jù)和系統(tǒng)以及這些系統(tǒng)的入口點。這些信息還應該包括管理員、應用程序和設備之間的通信通道。

對所有數(shù)據(jù)進行編目，包括數(shù)據(jù)的位置和存儲方式。最后采用一張全面的地圖顯示所有事物的位置以及它們之間的聯(lián)系。

(2)評估當前存儲和數(shù)據(jù)安全性

確定適當?shù)拇鎯ΡＷo以及企業(yè)如何對每個組件應用安全性。識別各種攻擊面和頂級漏洞。實施一些清理工作(例如刪除舊的或未使用的賬戶)并應對直接的網(wǎng)絡威脅，直到零信任平臺完全投入運行。

作為評估的一部分，確定哪些用戶或帳戶當前被授權訪問資源及其訪問級別。確定他們連接到資源的端點，何時訪問這些資源以及訪問這些資源的頻率。仔細記錄所有發(fā)現(xiàn)，以便快速參考和理解訪問模式。

(3)驗證和識別所有與存儲相關的設備和服務

IT團隊應該了解存儲硬件的類型、存儲類型、軟件和固件的類型和版本，以及存儲網(wǎng)絡的詳細信息。

IT團隊應該能夠驗證所有連接到其網(wǎng)絡的設備。如果沒有能夠對網(wǎng)絡資源進行身份驗證、授權和驗證的適當標識，任何系統(tǒng)都不應該能夠訪問網(wǎng)絡資源。企業(yè)團隊應該為每個設備附加一個強大的身份，并確保它只有一個身份，而不是多個身份，他們還應該確保每個設備滿足其企業(yè)的特定安全要求。

(4)規(guī)劃和實施網(wǎng)絡分段

保護網(wǎng)絡的最有用的工具之一是微分段，它將網(wǎng)絡劃分為控制對數(shù)據(jù)和資源訪問的邏輯組件。微分段減少了直接的網(wǎng)絡攻擊面，并防止了通過網(wǎng)絡的橫向移動，這有助于遏制任何數(shù)據(jù)泄露。IT管理員經(jīng)常在下一代防火墻中使用微分段，這些防火墻包括入侵防御和深度包檢測等高級功能。

即使使用了微分段，IT團隊也應該采用零信任策略，將每個渠道都視為潛在威脅，直到事實證明并非如此。它們永遠不應該假設同一網(wǎng)絡上或彼此物理接近的兩個實體之間存在隱含的信任。此外，他們應該保護資源之間的所有通信，以防止竊聽并確保這些通信的完整性。IT團隊還可以使用軟件定義的邊界，通過在資源周圍形成虛擬邊界來控制對資源的訪問。

(5)制定并實施細粒度的零信任策略

零信任存儲策略的核心是一組策略，這些策略授予用戶對特定資源的訪問權限，同時禁止所有其他訪問。零信任安全策略應該適用于每個人，無論他們在企業(yè)中的地位如何，或者他們是否被認為是資源的所有者。除了管理員明確授予的權限之外，用戶不應該能夠訪問任何其他資源。

基于最小權限原則的基本權限，訪問僅限于必要的內容，并且只在需要時訪問。管理員應該在會話結束后立即撤銷訪問權限。為了執(zhí)行這些策略，開發(fā)一個框架來管理它們，并在每個入口點應用它們?？蚣芙M件應該通過單獨的控制平臺進行通信，以促進安全通信。

(6)對存儲系統(tǒng)和網(wǎng)絡進行監(jiān)控和審計

監(jiān)視和審計策略應該能夠跟蹤存儲資源，無論是在內部部署、云平臺還是在其他環(huán)境中。單獨評估設備和服務，將它們相互作用的方式聯(lián)系起來，并關注諸如數(shù)據(jù)用戶訪問或他們執(zhí)行的操作等細節(jié)。

IT團隊應該設置警報，這樣他們就可以立即收到任何可疑活動的通知。他們應該維護活動日志，并持續(xù)分析收集到的信息，以確定哪些是有效的，哪些需要改進，哪些可能存在安全漏洞，以及是否存在任何異常行為。IT團隊應該自動化監(jiān)控和審計操作，特別是在實時響應威脅時。這些團隊還應該進行滲透測試，并及時掌握威脅情報。

(7)不要相信本地網(wǎng)絡

在本地網(wǎng)絡上，部署基本的安全措施，加強更大的零信任努力，并為存儲和數(shù)據(jù)提供額外的保護。例如，加密所有靜態(tài)和動態(tài)數(shù)據(jù)。

IT部門應使用多因素身份驗證、單點登錄和IAM等工具，進一步提高安全性。零信任存儲策略應該包括一個備份和恢復平臺，該平臺集成了與其他資源相同的保護措施。備份數(shù)據(jù)的至少一個副本應該是不可變的和氣隙的，以防止可能的篡改。企業(yè)還應該考慮其他步驟來防止數(shù)據(jù)丟失，例如應用程序允許列表和物理保護設備免受潛在威脅攻擊。

(8)不要忘記最終用戶

最終用戶在有效的零信任存儲策略的成敗中起著至關重要的作用。IT團隊應該解釋他們?yōu)槭裁葱枰獙嵤┰摬呗约捌錆撛谟绊憽＿@不僅能讓他們更好地為不可避免的變化做好準備，而且還提供了一個機會，讓他們了解潛在的安全風險，以及如何幫助保護數(shù)據(jù)。

最終用戶訪問數(shù)據(jù)、存儲系統(tǒng)和其他網(wǎng)絡資源的體驗是關鍵。如果用戶在嘗試執(zhí)行任務時面對大量的多因素身份驗證步驟，他們就會變得越來越沮喪，可能會達到幾乎不看提示或通知的程度。用戶與安全系統(tǒng)的交互應該盡可能簡化和直接，而不會使他們的工作變得更加困難。